Protección de datos confidenciales en base de datos SQL con directivas de protección de Microsoft Purview

Artículo
12/03/2024

Se aplica a:✅Base de datos SQL de Microsoft Fabric

Microsoft Purview es una familia de soluciones de gobernanza, riesgo y cumplimiento de datos que pueden ayudar a su organización a controlar, proteger y administrar todo el patrimonio de datos. Entre otras ventajas, Microsoft Purview permite etiquetar los elementos de la base de datos SQL con etiquetas de confidencialidad y definir directivas de protección que controlan el acceso en función de las etiquetas de confidencialidad.

En este artículo se explica cómo funcionan las directivas de protección de Microsoft Purview junto con controles de acceso de Microsoft Fabric y controles de acceso de SQL en la base de datos SQL de Microsoft Fabric.

Para obtener información general sobre las funcionalidades de Microsoft Purview para Microsoft Fabric, incluida la base de datos SQL, consulte los artículos enumerados en Contenido relacionado.

Funcionamiento de las directivas de protección en base de datos SQL

Cada directiva de protección de Microsoft Fabric está asociada a una etiqueta de confidencialidad. Una directiva de protección controla el acceso a los elementos que tienen la etiqueta asociada a través de dos controles de acceso:

Permitir a los usuarios conservar el acceso de lectura: Cuando está habilitado, permite a los usuarios especificados (o a los usuarios que pertenecen a los grupos especificados) conservar el permiso Leer elemento en los elementos etiquetados si los usuarios especificados ya tienen el permiso. Cualquier otro permiso que tengan los usuarios especificados en el elemento se quiten. En la base de datos SQL, el permiso Leer elemento es necesario para que un usuario se conecte a una base de datos. Por lo tanto, si no se especifica un usuario en este control de acceso, el usuario no puede conectarse a la base de datos.
Permitir a los usuarios conservar el control total: Cuando está habilitado, permite que los usuarios especificados (o los usuarios que pertenecen a los grupos especificados) conserven el control total en el elemento etiquetado si los usuarios especificados ya lo tienen o cualquier otro permiso que puedan tener. En el caso de los elementos de base de datos SQL, este control permite a los usuarios conservar el permiso Escribir elemento, lo que significa que el usuario conserva el acceso administrativo completo dentro de la base de datos. Si no se especifica un usuario en este control de acceso, el permiso Escribir elemento se quita eficazmente del usuario. Este control no tiene ningún efecto en los permisos nativos de SQL del usuario en la base de datos; para obtener más información, consulte Ejemplo 4 y Limitaciones.

Recorte de pantalla de la página Definir controles de acceso en la configuración de la directiva de protección.

Ejemplos

Los ejemplos de esta sección comparten la siguiente configuración:

Una organización tiene un área de trabajo de Microsoft Fabric, denominada Producción.
El área de trabajo contiene un elemento de base de datos SQL, denominado Sales, que tiene la etiqueta confidencial de confidencialidad.
En Microsoft Purview, hay una directiva de protección aplicable a Microsoft Fabric. La directiva está asociada a la etiqueta de confidencialidad confidencial.

Ejemplo 1

Un usuario es miembro del rol Colaborador del área de trabajo Producción.
El control de accesoPermitir que los usuarios conserven el acceso de lecturaestá habilitado, pero no incluye al usuario.
El control de acceso Permitir que los usuarios conserven el control total está deshabilitado o inactivo.

La directiva quita el permiso Leer elemento del usuario, por lo que el usuario no puede conectarse a la base de datos Sales. Por lo tanto, el usuario no puede leer ni acceder a ningún dato de la base de datos.

Ejemplo 2

Un usuario tiene el permiso Leer elemento para la base de datos Sales.
El usuario es miembro del rol de nivel de base de datos nativo de SQL de db_owner en la base de datos.
El control de accesoPermitir que los usuarios conserven el acceso de lecturaestá habilitado, pero no incluye al usuario.
El control de acceso Permitir que los usuarios conserven el control total está deshabilitado o inactivo.

La directiva quita el permiso Leer elemento del usuario, por lo que el usuario no puede conectarse a la base de datos Sales, independientemente de los permisos nativos de SQL del usuario (concedidos a través de la pertenencia del usuario al rol de db_owner) en la base de datos. Por lo tanto, el usuario no puede leer ni acceder a ningún dato de la base de datos.

Ejemplo 3

Un usuario es miembro del rol Colaborador del área de trabajo Producción.
El usuario no tiene permisos nativos de SQL concedidos en la base de datos.
El control de acceso Permitir que los usuarios conserven el acceso de lectura está habilitado e incluye al usuario.
El control de acceso Permitir que los usuarios conserven el control total está habilitado, pero no incluye al usuario.

Como miembro del rol Colaborador, el usuario inicialmente tiene todos los permisos en la base de datos Sales, incluidos Read, ReadData y Write. El control de acceso Permitir a los usuarios conservar el acceso de lectura en la directiva permite al usuario conservar los permisos Read y ReadData, pero el control de acceso Permitir a los usuarios conservar el control total quita el permiso de escritura del usuario. Como resultado, el usuario puede conectarse a la base de datos y leer datos, pero el usuario pierde el acceso administrativo a la base de datos, incluida la capacidad de escribir o editar datos.

Ejemplo 4

Un usuario tiene el permiso Leer elemento para la base de datos Sales.
El usuario es miembro del rol de nivel de base de datos nativo de SQL de db_owner en la base de datos.
El control de acceso Permitir que los usuarios conserven el acceso de lectura está habilitado e incluye al usuario.
El control de acceso Permitir que los usuarios conserven el control total está habilitado, pero no incluye al usuario.

El control de acceso Permitir a los usuarios conservar el acceso de lectura en la directiva permite al usuario conservar el permiso de lectura. Dado que el usuario no tiene inicialmente acceso de control total (el permiso escribir elemento), el control de acceso Permitir a los usuarios conservar el control total no tiene ningún efecto en el permiso del usuario concedido en Microsoft Fabric. El control de acceso Permitir que los usuarios conserven el control total no afecta al permiso nativo de SQL del usuario en la base de datos. Como miembro del rol de db_owner, el usuario sigue teniendo acceso administrativo a la base de datos. Consulte Limitaciones.

Limitaciones

El control de acceso Permitir a los usuarios conservar el control total en las directivas de protección de Microsoft Purview no tiene ningún impacto en los permisos nativos de SQL, concedidos a los usuarios de una base de datos.

Compartir a través de