Stratégies en libre-service pour Azure SQL Database (préversion)

Les stratégies en libre-service vous permettent de gérer l’accès à partir de Microsoft Purview aux sources de données qui ont été inscrites pour l’application de la stratégie de données.

Ce guide pratique décrit comment les stratégies libre-service sont créées dans Microsoft Purview pour permettre l’accès à Azure SQL Database. Les actions suivantes sont actuellement activées : Tables de lecture et Affichages en lecture.

Configuration requise

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Un compte Microsoft Purview nouveau ou existant. Suivez ce guide de démarrage rapide pour en créer un.

• Créez un instance de base de données Azure SQL ou utilisez-en un existant dans l’une des régions actuellement disponibles pour cette fonctionnalité. Vous pouvez suivre ce guide pour créer un Azure SQL Database instance.

Prise en charge des régions

Toutes les régions Microsoft Purview sont prises en charge.

L’application des stratégies Microsoft Purview est disponible uniquement dans les régions suivantes pour Azure SQL Database :

Cloud public :

• USA Est
• USA Est2
• USA Centre Sud
• USA Centre Ouest
• USA Ouest3
• Canada Centre
• Sud du Brésil
• Europe Ouest
• Europe Nord
• France Centre
• Sud du Royaume-Uni
• Nord de l’Afrique du Sud
• Centre de l’Inde
• Asie Du Sud-Est
• Asie Est
• Australie Est

Clouds souverains :

• USGov
• Chine Nord 3

Configurer le instance de base de données Azure SQL pour les stratégies à partir de Microsoft Purview

Pour que le serveur logique associé à Azure SQL Database respecte les stratégies de Microsoft Purview, vous devez configurer un administrateur Microsoft Entra. Dans le Portail Azure, accédez au serveur logique qui héberge le Azure SQL Database instance. Dans le menu latéral, sélectionnez Microsoft Entra ID. Définissez un nom d’administrateur sur n’importe quel utilisateur ou groupe Microsoft Entra de votre choix, puis sélectionnez Enregistrer.

Ensuite, dans le menu latéral, sélectionnez Identité. Sous Identité managée affectée par le système, définissez le status sur Activé, puis sélectionnez Enregistrer.

Microsoft Purview Configuration

Inscrire la source de données dans Microsoft Purview

Avant de pouvoir créer une stratégie dans Microsoft Purview pour une ressource de données, vous devez inscrire cette ressource de données dans Microsoft Purview Studio. Vous trouverez les instructions relatives à l’inscription de la ressource de données plus loin dans ce guide.

Configurer les autorisations pour activer l’application de la stratégie de données sur la source de données

Une fois qu’une ressource est inscrite, mais avant qu’une stratégie puisse être créée dans Microsoft Purview pour cette ressource, vous devez configurer les autorisations. Un ensemble d’autorisations est nécessaire pour activer l’application de la stratégie de données. Cela s’applique aux sources de données, aux groupes de ressources ou aux abonnements. Pour activer l’application de la stratégie de données, vous devez disposer de privilèges IAM (Identity and Access Management) spécifiques sur la ressource, ainsi que des privilèges Microsoft Purview spécifiques :

• Vous devez disposer de l’une des combinaisons de rôles IAM suivantes sur le chemin d’accès azure Resource Manager de la ressource ou sur n’importe quel parent de celui-ci (c’est-à-dire, en utilisant l’héritage d’autorisation IAM) :

  • Propriétaire IAM
  • Contributeur IAM et Administrateur de l’accès utilisateur IAM

  Pour configurer les autorisations de contrôle d’accès en fonction du rôle (RBAC) Azure, suivez ce guide. La capture d’écran suivante montre comment accéder à la section Access Control dans la Portail Azure de la ressource de données pour ajouter une attribution de rôle.

  

  Remarque

  Le rôle Propriétaire IAM pour une ressource de données peut être hérité d’un groupe de ressources parent, d’un abonnement ou d’un groupe d’administration d’abonnement. Vérifiez quels Microsoft Entra utilisateurs, groupes et principaux de service détiennent ou héritent du rôle Propriétaire IAM pour la ressource.

• Vous devez également disposer du rôle d’administrateur de source de données Microsoft Purview pour la collection ou une collection parente (si l’héritage est activé). Pour plus d’informations, consultez le guide sur la gestion des attributions de rôles Microsoft Purview.

  La capture d’écran suivante montre comment attribuer le rôle d’administrateur de source de données au niveau de la collection racine.

  

Configurer des autorisations Microsoft Purview pour créer, mettre à jour ou supprimer des stratégies d’accès

Pour créer, mettre à jour ou supprimer des stratégies, vous devez obtenir le rôle auteur de stratégie dans Microsoft Purview au niveau de la collection racine :

• Le rôle Auteur de stratégie peut créer, mettre à jour et supprimer des stratégies DevOps et Propriétaire des données.
• Le rôle Auteur de stratégie peut supprimer des stratégies d’accès en libre-service.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des regroupements dans le Mappage de données Microsoft Purview.

En outre, pour rechercher facilement Microsoft Entra utilisateurs ou groupes lors de la création ou de la mise à jour de l’objet d’une stratégie, vous pouvez bénéficier grandement de l’obtention de l’autorisation Lecteurs d’annuaire dans Microsoft Entra ID. Il s’agit d’une autorisation courante pour les utilisateurs d’un locataire Azure. Sans l’autorisation Lecteur d’annuaire, l’auteur de la stratégie doit taper le nom d’utilisateur ou l’e-mail complet pour tous les principaux inclus dans l’objet d’une stratégie de données.

Configurer des autorisations Microsoft Purview pour publier des stratégies de propriétaire des données

Les stratégies de propriétaire des données permettent des vérifications et des équilibres si vous attribuez les rôles d’auteur de stratégie Microsoft Purview et d’administrateur de source de données à différentes personnes dans le organization. Avant qu’une stratégie de propriétaire de données ne prenne effet, une deuxième personne (administrateur de source de données) doit l’examiner et l’approuver explicitement en la publiant. Cela ne s’applique pas aux stratégies d’accès DevOps ou libre-service, car la publication est automatique pour ces stratégies lors de la création ou de la mise à jour de ces stratégies.

Pour publier une stratégie de propriétaire de données, vous devez obtenir le rôle Administrateur de source de données dans Microsoft Purview au niveau de la collection racine.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des regroupements dans le Mappage de données Microsoft Purview.

Déléguer la responsabilité du provisionnement de l’accès aux rôles dans Microsoft Purview

Une fois qu’une ressource a été activée pour l’application de la stratégie de données, tout utilisateur Microsoft Purview disposant du rôle d’auteur de stratégie au niveau de la collection racine peut provisionner l’accès à cette source de données à partir de Microsoft Purview.

Si un compte Microsoft Purview avec des stratégies publiées est supprimé, ces stratégies cesseront d’être appliquées dans un délai qui dépend de la source de données spécifique. Cette modification peut avoir des implications sur la sécurité et la disponibilité de l’accès aux données. Les rôles Contributeur et Propriétaire dans IAM peuvent supprimer des comptes Microsoft Purview. Vous pouvez case activée ces autorisations en accédant à la section Contrôle d’accès (IAM) de votre compte Microsoft Purview et en sélectionnant Attributions de rôles. Vous pouvez également utiliser un verrou pour empêcher la suppression du compte Microsoft Purview via des verrous Resource Manager.

Inscrire les sources de données dans Microsoft Purview

Les ressources de base de données Azure SQL doivent d’abord être inscrites auprès de Microsoft Purview pour définir ultérieurement des stratégies d’accès. Vous pouvez suivre ces guides :

Inscrire et analyser Azure SQL base de données

Une fois que vous avez inscrit vos ressources, vous devez activer l’application de la stratégie de données. L’application de la stratégie de données peut affecter la sécurité de vos données, car elle délègue à certains rôles Microsoft Purview pour gérer l’accès aux sources de données. Passez en revue les pratiques sécurisées liées à l’application de la stratégie de données dans ce guide :

Comment activer l’application de la stratégie de données

Une fois que votre source de données a le bouton bascule Application de la stratégie de données Activé, elle ressemble à cette image. Cela permet d’utiliser les stratégies d’accès avec le serveur SQL donné et toutes ses bases de données contenues.

Créer une demande d’accès aux données en libre-service

1. Pour rechercher une ressource de données, utilisez la fonctionnalité de recherche ou de navigation de Microsoft Purview.

   

2. Sélectionnez la ressource pour accéder aux détails de la ressource.

3. Sélectionnez Demander l’accès.

   

   Remarque

   Si cette option n’est pas disponible, un workflow d’accès en libre-service n’a pas été créé ou n’a pas été affecté à la collection où la ressource est inscrite. Pour plus d’informations, contactez l’administrateur de collection, l’administrateur de source de données ou l’administrateur de flux de travail de votre collection. Ou, pour plus d’informations sur la création d’un workflow d’accès en libre-service, consultez notre documentation sur le flux de travail d’accès en libre-service.

4. La fenêtre Demander l’accès s’ouvre. Vous pouvez fournir des commentaires sur la raison pour laquelle l’accès aux données est demandé.

5. Sélectionnez Envoyer pour déclencher le workflow d’accès aux données en libre-service.

   Remarque

   Si vous souhaitez demander l’accès au nom d’un autre utilisateur, cochez la case Demande pour quelqu’un d’autre et renseignez l’ID de messagerie de cet utilisateur.

   

   Remarque

   Une demande d’accès à un jeu de ressources envoie en fait la demande d’accès aux données pour le dossier d’un niveau supérieur qui contient tous ces fichiers de jeu de ressources.

6. Les propriétaires de données seront avertis de votre demande et approuveront ou rejetteront la demande.

Afficher une stratégie en libre-service

Pour afficher les stratégies que vous avez créées, suivez l’article pour afficher les stratégies en libre-service.

Tester la stratégie

Le Microsoft Entra compte, groupe, MSI ou SPN pour lequel les stratégies libre-service ont été créées doit maintenant être en mesure de se connecter à la base de données sur le serveur et d’exécuter une requête sélectionnée sur la table ou la vue demandée.

Forcer le téléchargement de la stratégie

Il est possible de forcer le téléchargement immédiat des dernières stratégies publiées dans la base de données SQL actuelle en exécutant la commande suivante. L’autorisation minimale requise pour exécuter la commande est l’appartenance au rôle ##MS_ServerStateManager##-serveur.

-- Force immediate download of latest published policies
exec sp_external_policy_refresh reload

Analyser l’état de stratégie téléchargé à partir de SQL

Les vues de gestion dynamique suivantes peuvent être utilisées pour analyser les stratégies qui ont été téléchargées et qui sont actuellement affectées à Microsoft Entra comptes. L’autorisation minimale requise pour les exécuter est VIEW DATABASE SECURITY STATE ou l’auditeur de sécurité SQL du groupe d’actions affecté.

-- Lists generally supported actions
SELECT * FROM sys.dm_server_external_policy_actions

-- Lists the roles that are part of a policy published to this server
SELECT * FROM sys.dm_server_external_policy_roles

-- Lists the links between the roles and actions, could be used to join the two
SELECT * FROM sys.dm_server_external_policy_role_actions

-- Lists all Azure AD principals that were given connect permissions  
SELECT * FROM sys.dm_server_external_policy_principals

-- Lists Azure AD principals assigned to a given role on a given resource scope
SELECT * FROM sys.dm_server_external_policy_role_members

-- Lists Azure AD principals, joined with roles, joined with their data actions
SELECT * FROM sys.dm_server_external_policy_principal_assigned_actions

Informations supplémentaires

Mappage des actions de stratégie

Cette section contient une référence sur la façon dont les actions des stratégies de données Microsoft Purview sont mappées à des actions spécifiques dans Azure SQL Database.

Étapes suivantes

Consultez le blog, la démonstration et les guides pratiques associés

• stratégies en libre-service
• Présentation des workflows Microsoft Purview
• Workflow d’accès aux données en libre-service pour les patrimoines de données hybrides