Políticas de proteção no Microsoft Fabric (visualização)
As políticas de controle de acesso de proteção do Microsoft Purview (políticas de proteção) permitem que as organizações controlem o acesso a itens no Fabric usando rótulos de sensibilidade.
O público-alvo deste artigo são administradores de segurança e conformidade, administradores e usuários do Fabric e qualquer outra pessoa que queira saber como as políticas de proteção controlam o acesso a itens no Fabric. Se quiser ver como criar uma política de proteção para o Fabric, consulte Criar e gerenciar políticas de proteção para o Fabric (visualização).
Nota
Atualmente, não há suporte para a adição de entidades de serviço às políticas de proteção por meio do Portal Microsoft Purview. Para permitir que entidades de serviço acessem itens protegidos por uma política de proteção, você pode adicioná-los à política por meio de um cmdlet do PowerShell. Abra um tíquete de suporte para obter acesso ao cmdlet.
Observe que, se você não adicionar entidades de serviço à lista de usuários permitidos, as entidades de serviço que atualmente têm acesso aos dados terão acesso negado, potencialmente causando a quebra do aplicativo. Por exemplo, entidades de serviço podem ser usadas para autenticação de aplicativos para acessar modelos semânticos.
Como funcionam as políticas de proteção para o Fabric?
Cada política de proteção para malha está associada a um rótulo de sensibilidade. A política controla o acesso a um item que tem o rótulo associado, permitindo que usuários e grupos especificados na política mantenham as permissões que têm no item, enquanto bloqueia o acesso de todos os outros. A política pode:
Permita que usuários e grupos especificados mantenham a permissão de leitura em itens rotulados, se a tiverem. Quaisquer outras permissões que eles tenham no item serão removidas.
e/ou
Permita que usuários e grupos especificados mantenham controle total sobre o item rotulado, se o tiverem, ou mantenham quaisquer permissões que tenham.
Como mencionado, a política bloqueia o acesso ao item para todos os usuários e grupos que não estão especificados na política.
Nota
Uma política de proteção não se aplica a um emissor de etiquetas. Ou seja, o usuário que aplicou pela última vez um rótulo associado a uma política de proteção a um item não terá acesso negado a esse item, mesmo que eles não estejam especificados na política. Por exemplo, se uma política de proteção estiver associada ao rótulo A e um usuário aplicar o rótulo A a um item, esse usuário poderá acessar o item mesmo que não esteja especificado na política.
Casos de utilização
Seguem-se exemplos de domínios em que as políticas de proteção podem ser úteis:
- Uma organização quer que apenas os usuários dentro da organização possam acessar itens rotulados como "Confidenciais".
- Uma organização quer que apenas os usuários do departamento financeiro possam editar itens de dados rotulados como "Dados financeiros", permitindo que outros usuários na organização possam ler esses itens.
Quem cria políticas de proteção para o Fabric?
As políticas de proteção para o Fabric geralmente são configuradas pelas equipes de segurança e conformidade do Purview de uma organização. O criador da política de proteção deve ter a função de administrador de proteção de informações ou superior. Para obter mais informações, consulte Criar e gerenciar políticas de proteção para malha (visualização).
Requisitos
Uma licença do Microsoft 365 E3/E5 conforme necessário para rótulos de sensibilidade do Microsoft Purview Information Protection. Para obter mais informações, consulte Proteção de informações do Microsoft Purview: rotulagem de sensibilidade.
Pelo menos um rótulo de sensibilidade "adequadamente configurado" da Proteção de Informações do Microsoft Purview deve existir no locatário. "Adequadamente configurado" no contexto das políticas de proteção para o Fabric significa que, quando o rótulo foi configurado, ele foi definido como escopo para Arquivos e outros ativos de dados, e suas configurações de proteção foram definidas para incluir acesso de controle (para obter informações sobre a configuração de rótulos de sensibilidade, consulte Criar e configurar rótulos de sensibilidade e suas políticas). Somente esses rótulos de sensibilidade "adequadamente configurados" podem ser usados para criar as políticas de proteção para o Fabric.
Para que as políticas de proteção sejam aplicadas na Malha, a configuração de locatário da Malha Permitir que os usuários apliquem rótulos de confidencialidade para o conteúdo deve ser habilitada. Essa configuração é necessária para toda a imposição de política relacionada a rótulos de sensibilidade na Malha, portanto, se os rótulos de sensibilidade já estiverem sendo usados na Malha, essa configuração já estará ativada. Para obter mais informações sobre como habilitar rótulos de sensibilidade no Fabric, consulte Habilitar rótulos de sensibilidade.
Tipos de itens suportados
Há suporte para políticas de proteção para todos os tipos de itens de malha nativos e para modelos semânticos do Power BI. Todos os outros tipos de item do Power BI não são suportados no momento.
Considerações e limitações
Atualmente, não há suporte para a adição de entidades de serviço às políticas de proteção por meio do Portal Microsoft Purview. Para permitir que entidades de serviço acessem itens protegidos por uma política de proteção, você pode adicioná-los à política por meio de um cmdlet do PowerShell. Abra um tíquete de suporte para obter acesso ao cmdlet.
Observe que, se você não adicionar entidades de serviço à lista de usuários permitidos, as entidades de serviço que atualmente têm acesso aos dados terão acesso negado, potencialmente causando a quebra do aplicativo. Por exemplo, entidades de serviço podem ser usadas para autenticação de aplicativos para acessar modelos semânticos.
Com as políticas de proteção para o Fabric, só pode haver uma etiqueta por política de proteção e apenas uma política de proteção por etiqueta. No entanto, os rótulos usados nas políticas de proteção também podem ser associados a políticas regulares de rótulos de sensibilidade.
Até 50 políticas de proteção podem ser criadas.
Até 100 usuários e grupos podem ser adicionados a uma política de proteção.
As políticas de proteção do Fabric não suportam usuários convidados/externos.
Os pipelines de ALM não funcionarão em cenários em que um usuário cria um pipeline de ALM em um espaço de trabalho que contém um item protegido por uma política de proteção que não inclui o usuário.
Após a criação de uma política, pode levar até 30 minutos para que ela comece a detetar e proteger itens rotulados com o rótulo de confidencialidade associado à política.