通过

使用 Microsoft Purview 数据所有者策略 (预览) 预配对整个资源组或订阅的访问权限

  • 项目

重要

此功能目前处于预览阶段。 Microsoft Azure 预览版补充使用条款包括适用于 Beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

数据所有者策略 是一种 Microsoft Purview 访问策略。 它们允许你管理对已在 Microsoft Purview 中注册 数据使用管理的 源中的用户数据的访问权限。 可以直接在 Microsoft Purview 治理门户中创作这些策略，发布后，数据源会强制实施这些策略。

本指南介绍如何注册整个资源组或订阅，然后创建一个策略来管理对该资源组或订阅 中所有 数据源的访问。 该单一策略将涵盖所有现有数据源以及之后创建的任何数据源。

先决条件

仅为资源组或订阅上的访问策略启用这些数据源。 按照以下指南中特定于数据源 () 的 先决条件 部分进行操作：

(*) SQL 类型数据源当前不支持 “修改” 操作。

Microsoft Purview 配置

在 Microsoft Purview 中注册数据源

在 Microsoft Purview 中为数据资源创建策略之前，必须在 Microsoft Purview Studio 中注册该数据资源。 本指南稍后会介绍与注册数据资源相关的说明。

注意

Microsoft Purview 策略依赖于数据资源 ARM 路径。 如果数据资源移动到新的资源组或订阅，则需要取消注册，然后在 Microsoft Purview 中再次注册。

配置权限以在数据源上启用数据使用管理

注册资源后，但在 Microsoft Purview 中为该资源创建策略之前，必须配置权限。 需要一组权限才能启用 数据使用管理。 这适用于数据源、资源组或订阅。 若要启用 数据使用管理，必须 对 资源具有特定的标识和访问管理 (IAM) 特权，以及特定的 Microsoft Purview 特权：

  • 必须在资源的 Azure 资源管理器 路径上使用以下 IAM 角色组合之一，或者 (的任何父角色组合之一，即使用 IAM 权限继承) ：

    • IAM 所有者
    • IAM 参与者和 IAM 用户访问管理员

    若要配置 Azure 基于角色的访问控制 (RBAC) 权限，请按照 本指南操作。 以下屏幕截图显示了如何访问数据资源Azure 门户中的“访问控制”部分以添加角色分配。

    显示Azure 门户中用于添加角色分配的部分的屏幕截图。

    注意

    数据资源的 IAM 所有者 角色可以从父资源组、订阅或订阅管理组继承。 检查哪些 Azure AD 用户、组和服务主体持有或正在继承资源的 IAM 所有者 角色。

  • 如果启用继承) ，还需要具有集合或父集合的 Microsoft Purview 数据源管理员 角色 (。 有关详细信息，请参阅 有关管理 Microsoft Purview 角色分配的指南。

    以下屏幕截图显示了如何在根集合级别分配 数据源管理员 角色。

    显示用于在根集合级别分配数据源管理员角色的选项的屏幕截图。

配置 Microsoft Purview 权限以创建、更新或删除访问策略

若要创建、更新或删除策略，需要在 Microsoft Purview 中获取根集合级别的策略作者角色：

  • 策略作者角色可以创建、更新和删除 DevOps 和数据所有者策略。
  • 策略作者角色可以删除自助服务访问策略。

有关管理 Microsoft Purview 角色分配的详细信息，请参阅在Microsoft Purview 数据映射中创建和管理集合。

注意

必须在根集合级别配置策略作者角色。

此外，若要在创建或更新策略的主题时轻松搜索 Azure AD 用户或组，可以从获取 Azure AD 中的 “目录读取者” 权限中获益匪浅。 这是 Azure 租户中的用户的常见权限。 如果没有目录读取者权限，策略作者必须键入数据策略主题中包含的所有主体的完整用户名或电子邮件。

配置 Microsoft Purview 权限以发布数据所有者策略

如果将 Microsoft Purview 策略作者 和 数据源管理员 角色分配给组织中的不同人员，则数据所有者策略允许进行检查和平衡。 在数据所有者策略生效之前， (数据源管理员) 的第二个人必须对其进行查看并通过发布来显式批准该策略。 这不适用于 DevOps 或自助访问策略，因为创建或更新这些策略时，这些策略会自动发布。

若要发布数据所有者策略，需要获取 Microsoft Purview 中根集合级别的数据源管理员角色。

有关管理 Microsoft Purview 角色分配的详细信息，请参阅在Microsoft Purview 数据映射中创建和管理集合。

注意

若要发布数据所有者策略，必须在根集合级别配置数据源管理员角色。

将访问预配责任委托给 Microsoft Purview 中的角色

为资源启用 数据使用管理后，任何在根集合级别具有 策略作者 角色的 Microsoft Purview 用户都可以从 Microsoft Purview 预配对该数据源的访问权限。

注意

任何 Microsoft Purview 根 集合管理员可以 将新用户分配到根 策略作者 角色。 任何 集合管理员可以 将新用户分配到集合下的 数据源管理员 角色。 最小化并仔细审查拥有 Microsoft Purview 集合管理员、 数据源管理员或 策略作者 角色的用户。

如果删除了具有已发布策略的 Microsoft Purview 帐户，这些策略将在依赖于特定数据源的一段时间内停止强制实施。 此更改可能会影响安全性和数据访问可用性。 IAM 中的“参与者”和“所有者”角色可以删除 Microsoft Purview 帐户。 可以通过转到 Microsoft Purview 帐户的“访问控制 (IAM) ”部分并选择“角色分配”来检查这些权限。 还可以使用锁来防止通过资源管理器锁删除 Microsoft Purview 帐户。

为数据使用管理注册订阅或资源组

需要先向 Microsoft Purview 注册订阅或资源组，然后才能创建访问策略。 若要注册订阅或资源组，请遵循本指南的 先决条件 和 注册 部分：

注册资源后，需要启用数据使用管理。 数据使用管理需要某些权限，并且可能会影响数据的安全性，因为它委托给某些 Microsoft Purview 角色来管理对数据源的访问。 在本指南：如何启用数据使用管理中了解与数据使用管理相关的安全做法

最后，资源将启用“数据使用管理”开关，如屏幕截图所示：

屏幕截图显示如何通过切换资源编辑器中的“启用”选项卡来注册策略的资源组或订阅。

创建和发布数据所有者策略

执行数据所有者策略创作教程的创建新策略和发布策略部分中的步骤。 结果将是类似于图中所示示例的数据所有者策略：提供安全组 sg-Finance修改 资源组 finance-rg 访问权限的策略。 使用策略用户体验中的“数据源”框。

屏幕截图显示了一个示例数据所有者策略，该策略授予对资源组的访问权限。

重要

  • 发布是一项后台操作。 例如，Azure 存储帐户最多可能需要 2 小时 才能反映更改。
  • 更改策略不需要新的发布操作。 将在下一次拉取时选取更改。

取消发布数据所有者策略

通过此链接了解 在 Microsoft Purview 中取消发布数据所有者策略的步骤。

更新或删除数据所有者策略

通过此链接了解 在 Microsoft Purview 中更新或删除数据所有者策略的步骤。

其他信息

  • 在订阅或资源组级别创建策略将使使用者能够访问 Azure 存储系统容器，例如 ，$logs。 如果这是不需要的，请先扫描数据源，然后为每个 (（即容器或子容器级别) ）创建精细的策略。

限制

存储帐户可以强制执行的 Microsoft Purview 策略限制为每个订阅 100 MB，这大致相当于 5000 个策略。

后续步骤

查看博客、演示和相关教程：