Microsoft Purview 中的數據控管角色和許可權

Microsoft Purview 數據控管在 Microsoft Purview 入口網站中有兩個解決方案：數據對應和 整合式目錄。 這些解決方案會使用租使用者/組織層級許可權、現有的數據訪問許可權，以及網域/集合許可權，讓用戶能夠存取治理工具和數據資產。 可用的許可權類型取決於您的 Microsoft Purview 帳戶類型。 您可以在 Microsoft Purview 入口網站的 [ 設定 ] 卡片和 [帳戶] 底下檢查您的 帳戶類型。

如需每個許可權類型的詳細資訊，請參閱下列指南：

• 租使用者/組織許可權 - 在組織層級指派，可提供一般和系統管理許可權。
• 整合式目錄 許可權 - Microsoft Purview 整合式目錄 中的許可權，讓使用者可以瀏覽和管理目錄。
• 網域和集合層級權限 - Microsoft Purview 資料對應 中的許可權，可授與 Microsoft Purview 中數據資產的存取權。
• 數據訪問權 限 - 使用者在其 Azure 數據源上已經擁有的許可權。

如需以帳戶類型為基礎的許可權詳細資訊，請參閱下列指南：

• 免費
• 企業

租用戶層級角色群組

在組織層級指派的租用戶層級角色群組會為 Microsoft Purview 資料對應 和 整合式目錄 提供一般和系統管理許可權。 如果您要管理Microsoft Purview 帳戶或組織的數據控管策略，您可能需要其中一或多個角色。

目前可用的治理租用戶層級角色群組如下：

如需所有可用角色和角色群組的完整清單，而不只是針對數據控管，請參閱 Microsoft Defender 全面偵測回應 和 Microsoft Purview 入口網站中的角色和角色群組。

如何指派和管理角色群組

若要在 Microsoft Purview 中指派和管理角色，請參閱 Microsoft Purview 中的許可權。

整合式目錄許可權

整合式目錄 也會使用三個層級的許可權來允許使用者存取資訊：

• 數據控管 - 具有數據控管 管理員 角色的租用戶/組織層級角色群組。 該角色會委派治理網域建立者的第一層存取權。 (此角色不會顯示在 整合式目錄 中，但會影響您在 整合式目錄.) 中指派許可權的能力
• 目錄層級許可權 - 將擁有權授與治理網域的許可權，以及健康情況管理的存取權。
• 治理網域層級許可權 - 存取和管理特定治理網域內資源的許可權。

目錄層級許可權

在 整合式目錄 本身指派的許可權，並且只提供高階存取權。

如何指派目錄層級角色

1. 在 Microsoft Purview 入口網站中，選取 [ 設定]。
2. 在 [解決方案設定] 底下，選取 [整合式目錄]。
3. 選 取 [角色和許可權]。
4. 選取 [治理網域建立者] 或其他角色新增用戶圖示。
5. 搜尋您想要新增的使用者。
6. 選取使用者。
7. 選取 [儲存]。

治理網域層級許可權

治理網域許可權可提供特定治理網域內的存取權，且應授與數據專家和企業使用者讀取和管理治理網域內的物件。

以下是目前可在 整合式目錄 中使用的治理網域角色：

如何指派治理網域角色

治理網域角色會指派在治理網域的 [ 角色 ] 索引卷標下。 如需詳細資訊，請 參閱如何管理治理網域。

搜尋完整 整合式目錄的許可權

整合式目錄 中不需要特定許可權，即可搜尋 整合式目錄。 不過，搜尋 整合式目錄 只會傳回您有權在數據對應中檢視的相關數據資產。

在下列情況下，用戶可以在 整合式目錄 中找到數據資產：

• 使用者在具有目錄讀取者許可權的控管網域中搜尋數據產品
• 使用者至少擁有可用 Azure 或 Microsoft Fabric 資源的讀取許可權
• 使用者具有儲存資產之數據對應中網域或集合的數據讀取者許可權

這些資產的許可權分別在資源層級和數據對應層級進行管理。 如需提供此存取權的詳細資訊，請遵循提供的連結。

我需要哪些 整合式目錄 許可權？

整合式目錄 角色

以下是用來存取和管理 整合式目錄 的所有角色完整清單。

數據對應許可權

網域和集合 是數據對應用來將資產、來源和其他成品分組到階層中以取得可探索性的工具，以及管理數據對應內的訪問控制。

網域和集合許可權

數據對應會使用一組預先定義的角色來控制誰可以存取帳戶內的內容。 這些角色包括：

• 網域系統管理員 (網 域 層級僅) - 可以指派網域內的許可權並管理其資源。
• 集合管理員 - 用戶必須將角色指派給 Microsoft Purview 治理入口網站或管理集合中其他使用者的角色。 集合管理員可以將使用者新增至其系統管理員所在集合上的角色。 他們也可以編輯集合、其詳細數據，以及新增子集合。 根集合上的集合管理員也會自動擁有 Microsoft Purview 治理入口網站的許可權。 如果您的 根集合管理員 需要變更，您可以 遵循下一節中的步驟。
• 數據編者 - 此角色可讓您存取 Microsoft Purview 整合式目錄 來管理資產、設定自定義分類、建立和管理詞彙，以及檢視數據資產深入解析。 數據編者可以建立、讀取、修改、移動和刪除資產。 它們也可以將批注套用至資產。
• 數據讀 取者 - 此角色提供數據資產、分類、分類規則、集合和詞彙的唯讀存取權。
• 數據源管理員 - 可讓使用者管理數據源和掃描的角色。 如果使用者只被授與給定數據源上 的數據源系統管理員 角色，他們可以使用現有的掃描規則來執行新的掃描。 若要建立新的掃描規則，也必須將使用者授與數據 讀取者 或 數據編者 角色。
• 深入解析讀取者 - 一種角色，可讓您只讀存取集合的深入解析報表，其中深入解析讀取者也至少具有 數據讀取者 角色。 如需詳細資訊，請參閱 深入解析許可權。
• 原則作者 - 此角色可讓使用者透過 Microsoft Purview 內的數據原則應用程式來檢視、更新和刪除 Microsoft Purview 原則。
• 工作流程管理員 - 此角色可讓使用者存取 Microsoft Purview 治理入口網站中的工作流程撰寫頁面，並在具有訪問許可權的集合上發佈工作流程。 工作流程系統管理員只能存取撰寫，因此至少需要集合的數據讀取者許可權，才能存取 Purview 治理入口網站。

新增角色指派

1. 開啟 Microsoft Purview 資料對應。

2. 選取您要新增角色指派的網域或集合。

3. 選取 [ 角色指派] 索引標籤 ，以查看集合或網域中的所有角色。 只有集合管理員或網域管理員可以管理角色指派。

   

4. 選取 [編輯角色指派] 或人員圖示，以編輯每個角色成員。

   

5. 在文字框中輸入 ，以搜尋您要新增至角色成員的使用者。 選 取 [X ] 以移除您不想要新增的成員。

   

6. 選取 [確定 ] 以儲存您的變更，您會看到新使用者反映在角色指派清單中。

拿掉角色指派

1. 選取使用者名稱旁邊的 [X ] 按鈕，以移除角色指派。

   

2. 選取 [確認 您是否確定要移除使用者]。

   

限制繼承

集合許可權會自動繼承自父集合。 您可以使用 [限制繼承的許可權] 選項，隨時限制父集合的繼承。

限制繼承之後，您必須將使用者直接新增至受限制的集合，以授與他們存取權。

1. 流覽至您要限制繼承的集合，然後選取 [ 角色指派] 索引標籤 。

2. 選 取 [限制繼承的 許可權]，然後在快顯對話框中選取 [ 限制存取 ]，以移除此集合和任何子集合的繼承許可權。 集合系統管理員許可權不會受到影響。

   

3. 在限制之後，繼承的成員會從集合管理員預期的角色中移除。

4. 再次選取 [ 限制繼承的許可權 ] 切換按鈕以還原。

   

數據訪問許可權

數據訪問許可權是使用者在其 Azure 數據源上已經擁有的許可權。 這些現有的許可權也會根據許可權層級，授與存取和管理這些來源元數據的許可權：

• 讀取者許可權
• 擁有者許可權

目前，這些功能僅適用於某些 Azure 來源：

讀取者角色包含足夠的許可權，但如果您要建置自訂角色，您的使用者必須包含下列動作：

讀取者許可權

在可用 Azure 資源上至少具有讀者角色的使用者，也可以存取免費和企業帳戶類型的這些資源元數據。

用戶可以在 整合式目錄 中搜尋和流覽來自這些來源的資產，並檢視其元數據。

這些是資源上需要的許可權，讓用戶被視為「讀者」：

擁有者許可權

具有可用 Azure 資源擁有者角色或寫入許可權的使用者，可以免費和企業帳戶類型存取和編輯這些資源的元數據。

擁有使用者可以在 整合式目錄 中搜尋和瀏覽來自這些來源的資產，並檢視其元數據。 他們也可以更新和管理這些資源的元數據。 如需此元數據策劃的詳細資訊，請參閱我們的 元數據數據指標一文。

這些是將使用者視為「擁有者」之資源所需的許可權：

免費版本中的許可權

所有使用者都可以檢視可用來源的數據資產，其中至少有 讀 取許可權。 擁有權的用戶能夠管理至少已擁有擁有者/寫入許可權之可用資產的元數據。 如需詳細資訊，請參閱 數據訪問許可權一節。

您也可以使用 租用戶層級角色群組來指派額外的許可權。

企業版中的許可權

所有使用者都可以檢視可用來源的數據資產，其中至少有 讀 取許可權。 擁有的用戶能夠管理資產的元數據，這些資產至少已經有 擁有者/寫 入許可權。 如需詳細資訊，請參閱 數據訪問許可權一節。

您也可以使用 租用戶層級角色群組來指派額外的許可權。

您也可以在數據對應中指派許可權，讓使用者可以在數據對應中瀏覽資產，或 整合式目錄 他們還沒有數據存取權的搜尋。

整合式目錄 許可權可以指派給使用者，以授與目錄的許可權，以建置其數據控管解決方案。

數據資產生命週期範例

若要瞭解許可權在數據對應與 整合式目錄 之間的運作方式，請檢閱下表，瞭解環境中 Azure SQL 數據表的完整生命週期：

後續步驟

• Microsoft Purview 治理解決方案的免費版本為何？
• 新Microsoft Purview 入口網站
• 中繼資料策劃