Criteri di protezione in Microsoft Fabric (anteprima)
I criteri di controllo di accesso di protezione di Microsoft Purview (criteri di protezione) consentono alle organizzazioni di controllare l'accesso agli elementi in Fabric usando le etichette di riservatezza.
Il gruppo di destinatari di questo articolo è costituito da amministratori della sicurezza e conformità, amministratori e utenti di Fabric e altri utenti che vogliono conoscere il modo in cui i criteri di protezione controllano l'accesso agli elementi in Fabric. Per informazioni su come creare criteri di protezione per Fabric, vedere Creare e gestire i criteri di protezione per Fabric (anteprima).
Nota
L'aggiunta di entità servizio ai criteri di protezione non è attualmente supportata tramite il portale di Microsoft Purview. Per consentire alle entità servizio di accedere agli elementi protetti da criteri di protezione, è possibile aggiungerli ai criteri tramite un cmdlet di PowerShell. Aprire un ticket di supporto per ottenere l'accesso al cmdlet .
Si noti che se non si aggiungono entità servizio all'elenco di utenti consentiti, le entità servizio che attualmente hanno accesso ai dati verranno negate, causando l'interruzione dell'applicazione. Ad esempio, le entità servizio possono essere usate per l'autenticazione dell'applicazione per accedere ai modelli semantici.
Come funzionano i criteri di protezione per Fabric?
Ogni criterio di protezione per Fabric è associato a un'etichetta di riservatezza. I criteri controllano l'accesso a un elemento con l'etichetta associata consentendo a utenti e gruppi specificati nei criteri di conservare le autorizzazioni di cui dispongono per l'elemento, bloccando l'accesso per tutti gli altri utenti. I criteri possono:
Consentire a utenti e gruppi specificati di conservare l'autorizzazione di lettura per gli elementi etichettati, se disponibili. Tutte le altre autorizzazioni disponibili per l'elemento verranno rimosse.
e/o
Consentire agli utenti e ai gruppi specificati di mantenere il controllo completo sull'elemento etichettato se lo dispone o di conservare le autorizzazioni disponibili.
Come accennato, i criteri bloccano l'accesso all'elemento per tutti gli utenti e i gruppi non specificati nei criteri.
Nota
I criteri di protezione non si applicano a un'autorità emittente di etichette. Ovvero, l'utente che ha applicato l'ultima etichetta associata a un criterio di protezione a un elemento non verrà negato l'accesso a tale elemento, anche se non sono specificati nei criteri. Ad esempio, se un criterio di protezione è associato all'etichetta A e un utente applica l'etichetta A a un elemento, tale utente sarà in grado di accedere all'elemento anche se non sono specificati nei criteri.
Casi d'uso
Di seguito sono riportati esempi di casi in cui i criteri di protezione possono essere utili:
- Un'organizzazione vuole che solo gli utenti all'interno dell'organizzazione possano accedere agli elementi etichettati come "Riservato".
- Un'organizzazione vuole che solo gli utenti del reparto finanziario possano modificare gli elementi di dati etichettati come "Dati finanziari", consentendo ad altri utenti dell'organizzazione di leggere tali elementi.
Chi crea criteri di protezione per Fabric?
I criteri di protezione per Fabric sono in genere configurati dai team di sicurezza e conformità di Purview di un'organizzazione. L'autore dei criteri di protezione deve avere il ruolo di amministratore di Information Protection o versione successiva. Per altre informazioni, vedere Creare e gestire i criteri di protezione per Fabric (anteprima).
Requisiti
Una licenza di Microsoft 365 E3/E5 come richiesto per le etichette di riservatezza di Microsoft Purview Information Protection. Per altre informazioni, vedere Microsoft Purview Information Protection: Etichettatura della riservatezza.
Almeno un'etichetta di riservatezza "configurata in modo appropriato" da Microsoft Purview Information Protection deve esistere nel tenant. "Configurato in modo appropriato" nel contesto dei criteri di protezione per Fabric significa che quando l'etichetta è stata configurata , l'ambito è File e altri asset di dati e le relative impostazioni di protezione sono state impostate per includere Controllo dell'accesso (per informazioni sulla configurazione delle etichette di riservatezza, vedere Creare e configurare etichette di riservatezza e i relativi criteri). Solo tali etichette di riservatezza "configurate in modo appropriato" possono essere usate per creare i criteri di protezione per Fabric.
Affinché i criteri di protezione vengano applicati in Fabric, è necessario abilitare l'impostazione del tenant infrastruttura Consenti agli utenti di applicare etichette di riservatezza per il contenuto . Questa impostazione è necessaria per l'imposizione di tutti i criteri correlati alle etichette di riservatezza in Fabric, quindi se le etichette di riservatezza sono già in uso in Fabric, questa impostazione sarà già attiva. Per altre informazioni sull'abilitazione delle etichette di riservatezza in Infrastruttura, vedere Abilitare le etichette di riservatezza.
Tipi di elementi supportati
I criteri di protezione sono supportati per tutti i tipi di elementi di Fabric nativi e per i modelli semantici di Power BI. Tutti gli altri tipi di elementi di Power BI non sono attualmente supportati.
Considerazioni e limitazioni
L'aggiunta di entità servizio ai criteri di protezione non è attualmente supportata tramite il portale di Microsoft Purview. Per consentire alle entità servizio di accedere agli elementi protetti da criteri di protezione, è possibile aggiungerli ai criteri tramite un cmdlet di PowerShell. Aprire un ticket di supporto per ottenere l'accesso al cmdlet .
Si noti che se non si aggiungono entità servizio all'elenco di utenti consentiti, le entità servizio che attualmente hanno accesso ai dati verranno negate, causando l'interruzione dell'applicazione. Ad esempio, le entità servizio possono essere usate per l'autenticazione dell'applicazione per accedere ai modelli semantici.
Con i criteri di protezione per Fabric, può essere presente una sola etichetta per ogni criterio di protezione e un solo criterio di protezione per etichetta. Le etichette usate nei criteri di protezione possono tuttavia essere associate anche ai criteri delle etichette di riservatezza regolari.
È possibile creare fino a 50 criteri di protezione.
È possibile aggiungere fino a 100 utenti e gruppi a un criterio di protezione.
I criteri di protezione per Fabric non supportano utenti guest/esterni.
Le pipeline ALM non funzioneranno negli scenari in cui un utente crea una pipeline ALM in un'area di lavoro che contiene un elemento protetto da criteri di protezione che non includono l'utente.
Dopo aver creato un criterio, potrebbero essere necessari fino a 30 minuti perché inizi a rilevare e proteggere gli elementi etichettati con l'etichetta di riservatezza associata ai criteri.