使用 Microsoft Purview 保护策略保护 SQL 数据库中的敏感数据
适用于：✅Microsoft Fabric 中的 SQL 数据库
Microsoft Purview 是一系列数据治理、风险和合规性解决方案如何帮助组织治理、保护和管理整个数据资产。 除其他优势外，Microsoft Purview 还允许使用敏感度标签标记 SQL 数据库项，并定义基于敏感度标签控制访问的保护策略。
本文介绍了 Microsoft Purview 保护策略如何配合 Microsoft Fabric 访问控制和 Microsoft Fabric SQL 数据库中的SQL 访问控制。
有关 Microsoft Fabric 的 Microsoft Purview 功能（包括 SQL 数据库）的一般信息，请参阅相关内容中列出的文章。
SQL 数据库中保护策略的工作原理
Microsoft Fabric 的每个保护策略都关联了一个敏感度标签。 保护策略通过两个访问控制来控制对具有关联标签的项目的访问：
允许用户保留读取访问权限 - 启用后，允许指定用户（或属于指定组的用户）保留对已标记项的读取项权限（如果指定用户已有权限）。 指定用户对该项的任何其他权限会被删除。 在 SQL 数据库中，用户需要读取项权限才能连接到数据库。 因此，如果未在此访问控制中指定用户，则该用户无法连接到数据库。
允许用户保留读取完全控制 - 启用后，允许指定用户（或属于指定组的用户）保留对已标记项的完全控制（如果指定用户已有权限），或者他们可能拥有的任何其他权限。 对于 SQL 数据库项，此控件允许用户保留写入项权限，这意味着用户保留数据库中的完全管理访问权限。 如果未在此访问控制中指定用户，则会有效删除该用户的写入项权限。 此控件对数据库中用户的 SQL 本机权限没有影响 - 有关详细信息，请参阅示例 4 和限制。
示例
本节的示例共享以下配置：
- 组织有一个名为“生产”的 Microsoft Fabric 工作区。
- 此工作区包含一个名为“销售”的 SQL 数据库项，其中包含“机密”敏感度标签。
- 在 Microsoft Purview 中，有一个适用于 Microsoft Fabric 的保护策略。 此策略与“机密”敏感度标签相关联。
示例 1
- 用户是“生产”工作区的“参与者”角色的成员。
- “允许用户保留完全控制”访问控制已启用，但不包括该用户。
- “允许用户保留完全控制”访问控制处于禁用/非活动状态。
该策略会删除用户的“读取项”权限，因此用户无法连接到“销售”数据库。 因此，用户无法读取或访问数据库中的任何数据。
示例 2
- 用户具有销售数据库的“读取项”权限。
- 用户是数据库中 db_owner SQL 本机数据库级别角色的成员。
- “允许用户保留完全控制”访问控制已启用，但不包括该用户。
- “允许用户保留完全控制”访问控制处于禁用/非活动状态。
该策略会删除用户的“读取项”权限，因此，无论用户在数据库中的 SQL 本机权限是什么（通过用户在 db_owner 角色的成员身份授予），都无法连接到“销售”数据库。 因此，用户无法读取或访问数据库中的任何数据。
示例 3
- 用户是“生产”工作区的“参与者”角色的成员。
- 用户没有在数据库中授予的 SQL 本机权限。
- “允许用户保留读取访问权限”访问控制已启用，并包括该用户。
- “允许用户保留完全控制”访问控制已启用，但不包括该用户。
作为参与者角色的成员，用户最初对“销售”数据库拥有所有权限，包括读取、读取数据和写入。 策略中的“允许用户保留读取访问权限”访问控制允许用户保留读取和读取数据权限，但“允许用户保留完全控制”访问控制会删除用户的写入权限。 因此，用户可以连接到数据库并读取数据，但用户会失去对数据库的管理访问权限，包括写入/编辑数据的能力。
示例 4
- 用户具有销售数据库的“读取项”权限。
- 用户是数据库中 db_owner SQL 本机数据库级别角色的成员。
- “允许用户保留读取访问权限”访问控制已启用，并包括该用户。
- “允许用户保留完全控制”访问控制已启用，但不包括该用户。
策略中的“允许用户保留读取访问权限”访问控制允许用户保留读取权限。 由于用户最初没有完全控制访问权限（写入项权限），“允许用户保留完全控制”访问控制对 Microsoft Fabric 中授予的用户权限没有任何影响。 “允许用户保留完全控制”访问控制不会影响用户在数据库中的 SQL 本机权限。 作为 db_owner 角色的成员，用户将继续拥有对数据库的管理访问权限。 请参阅限制。
限制
- 在 Microsoft Purview 保护策略中“允许用户保留完全控制”访问控制对数据库中的用户授予的 SQL 本机权限没有影响。