Autorisations granulaires SQL dans Microsoft Fabric

S’applique à :✅ point de terminaison d’analytique SQL et Warehouse dans Microsoft Fabric

Lorsque les autorisations par défaut de l'attribution de rôle d'espace de travail ou des autorisations d'élément ne vous donnent pas le niveau de contrôle dont vous avez besoin, utilisez des constructions SQL standard dans un entrepôt Fabric ou un point de terminaison d'analyse SQL pour un contrôle d'accès plus précis.

Pour le point de terminaison d’analyses SQL et Warehouse dans Microsoft Fabric :

  • Gérez la sécurité au niveau de l’objet avec les instructions GRANT, REVOKE et DENY T-SQL.
  • Attribuez des utilisateurs à des rôles SQL, à la fois des rôles de base de données personnalisés et des rôles de base de données intégrés.

Configurer des autorisations granulaires utilisateur dans un entrepôt de Fabric

  • Pour qu’un utilisateur se connecte à un Fabric warehouse ou à un point de terminaison d’analytique SQL, vous devez les affecter à un rôle d’espace de travail ou lui accorder l’autorisation lecture de l’élément. Sans au moins l’autorisation de lecture, la connexion échouera.
  • Pour configurer les autorisations granulaires d’un utilisateur avant de se connecter à l’entrepôt, définissez d’abord les autorisations dans SQL. Ensuite, donnez-leur accès en leur attribuant un rôle d’espace de travail ou en leur accordant des autorisations sur l’élément.

Limitation de CREATE USER

  • Vous ne pouvez pas exécuter CREATE USER explicitement dans un entrepôt de Fabric ou un point de terminaison d'analytique SQL. Lorsque vous exécutez GRANT ou DENY, Fabric crée automatiquement l’utilisateur de base de données. L’utilisateur ne peut pas se connecter tant qu’il ne dispose pas de droits suffisants au niveau de l’espace de travail.

Voir mes autorisations

Une fois qu’un utilisateur se connecte à un entrepôt de Fabric ou à un point de terminaison d’analytique SQL via le chaîne de connexion SQL, il peut afficher les autorisations disponibles à l’aide de la fonction sys.fn_my_permissions.

Autorisations délimitées à la base de données pour l’utilisateur actuel :

SELECT *
FROM sys.fn_my_permissions(NULL, 'Database');

Autorisations délimitées par le schéma pour l’utilisateur actuel :

SELECT *
FROM sys.fn_my_permissions('<schema-name>', 'Schema');

Autorisations délimitées à l’objet pour l’utilisateur actuel :

SELECT *
FROM sys.fn_my_permissions('<schema-name>.<object-name>', 'Object');

Afficher les autorisations accordées explicitement aux utilisateurs dans un entrepôt de Fabric

Lorsqu’il est connecté à un entrepôt Fabric ou à un point de terminaison d’analytique SQL via la chaîne de connexion SQL, un utilisateur disposant d’autorisations élevées peut interroger les autorisations accordées à l’aide de vues système. Cette requête ne retourne pas les autorisations que les utilisateurs reçoivent via un rôle ou un élément d'espace de travail Fabric.

SELECT DISTINCT pr.principal_id, pr.name, pr.type_desc,
    pr.authentication_type_desc, pe.state_desc, pe.permission_name
FROM sys.database_principals AS pr
INNER JOIN sys.database_permissions AS pe
    ON pe.grantee_principal_id = pr.principal_id;

Fonctionnalités de protection des données dans un entrepôt de Fabric

Dans le point de terminaison d’analyse Warehouse et SQL, vous pouvez restreindre l’accès à des colonnes spécifiques et à des lignes spécifiques d’une table et masquer les données sensibles des non-administrateurs.

Contenu connexe

  • Last updated on