Řízení přístupu na základě role (RBAC)

OneLake RBAC používá přiřazení rolí k použití oprávnění pro jeho členy. Role můžete přiřadit jednotlivcům nebo skupinám zabezpečení, skupinám Microsoftu 365 a distribučním seznamům. Každý člen ve skupině uživatelů získá přiřazenou roli.

Pokud je někdo ve dvou nebo více skupinách zabezpečení nebo ve skupině Microsoft 365, získá nejvyšší úroveň oprávnění, která poskytuje role. Pokud vnořete skupiny uživatelů a přiřadíte skupině roli, mají všichni uživatelé s omezením oprávnění.

OneLake RBAC umožňuje uživatelům definovat role přístupu k datům pouze pro položky Lakehouse.

OneLake RBAC omezuje přístup k datům pro uživatele s Prohlížečem pracovních prostorů nebo přístupem pro čtení k jezeru. Nevztahuje se na správce, členy ani přispěvatele pracovního prostoru. V důsledku toho OneLake RBAC podporuje pouze úroveň čtení oprávnění.

Jak vytvořit role RBAC

Role RBAC OneLake můžete definovat a spravovat prostřednictvím nastavení přístupu k datům lakehouse.

Další informace najdete v části Začínáme s rolemi přístupu k datům.

Výchozí role RBAC v lakehouse

Když uživatel vytvoří nový lakehouse, OneLake vygeneruje výchozí roli RBAC s názvem Default Readers. Tato role umožňuje všem uživatelům s oprávněním ReadAll číst všechny složky v položce.

Tady je výchozí definice role:

Dědičnost ve OneLake RBAC

U každé dané složky zdědí oprávnění OneLake RBAC vždy do celé hierarchie souborů a podsložek složky.

Například vzhledem k následující hierarchii jezera v OneLake.

Tables/
──── (empty folder)
Files/
────folder1
│   │   file11.txt
│   │
│   └───subfolder11
│       │   file1111.txt
|       │
│       └───subfolder111
|            │   file1111.txt
│   
└───folder2
    │   file21.txt

Pro danou hierarchii oprávnění OneLake RBAC pro Role1 a Role2 dědí následujícím způsobem:

│   │   file11.txt
│   │
│   └───subfolder11
│       │   file1111.txt
|       │
│       └───subfolder111
|            │   file1111.txt

    │   file21.txt

Procházení a výpis ve OneLake RBAC

OneLake RBAC poskytuje automatické procházení nadřazených položek, aby bylo zajištěno, že data jsou snadno zjistitelná. Udělení oprávnění ke čtení uživatele podsložky11 uživateli uděluje možnost vypsat a procházet nadřazenou složku adresáře1. Tato funkce je podobná oprávněním ke složce Systému Windows, kde poskytnutí přístupu k podsložce poskytuje zjišťování a procházení nadřazených adresářů. Seznam a procházení udělené nadřazené položce se nevztahuje na jiné položky mimo přímé nadřazené položky, čímž zajistíte, že ostatní složky budou zabezpečené.

Například vzhledem k následující hierarchii jezera v OneLake.

Tables/
──── (empty folder)
Files/
────folder1
│   │   file11.txt
│   │
│   └───subfolder11
│       │   file111.txt
|       │
│       └───subfolder111
|            │   file1111.txt
│   
└───folder2
    │   file21.txt

Pro danou hierarchii poskytuje oprávnění OneLake RBAC pro roli1 následující přístup. Mějte na paměti, že přístup k file11.txt není viditelný, protože není nadřazenou podsložkou11. Podobně u role2 není ani file111.txt vidět.

Files/
────folder1
│   │
│   └───subfolder11
│       │   file111.txt
|       │
│       └───subfolder111
|            │   file1111.txt

Files/
────folder1
│   │
│   └───subfolder11
|       │
│       └───subfolder111
|            │   file1111.txt

U klávesových zkratek se chování při výpisu mírně liší. Klávesové zkratky externích zdrojů dat se chovají stejně jako složky, ale klávesové zkratky jiných umístění OneLake mají specializované chování. Přístup ke zkratce OneLake je určen cílovými oprávněními zástupce. Při výpisu zástupců se neprovedou žádné volání ke kontrole cílového přístupu. V důsledku toho se při výpisu adresáře vrátí všechny interní klávesové zkratky bez ohledu na přístup uživatele k cíli. Když se uživatel pokusí otevřít zástupce, kontrola přístupu se vyhodnotí a uživatel uvidí jenom data, která mají požadovaná oprávnění k zobrazení. Další informace o klávesových zkratkách najdete v části zabezpečení zástupců.

Následující příklady používají následující hierarchii složek.

Files/
────folder1
│   
└───shortcut2
|
└───shortcut3

Files/
────folder1
│   
└───shortcut2
|
└───shortcut3

Files/
│   
└───shortcut2
|
└───shortcut3

Jak se oprávnění RBAC OneLake vyhodnocují s oprávněními Fabric

Oprávnění k pracovnímu prostoru a položce umožňují udělit pro danou položku hrubý přístup k datům ve OneLake. Oprávnění OneLake RBAC umožňují omezit přístup k datům v OneLake jenom na konkrétní složky.

Oprávnění OneLake RBAC a pracovního prostoru

Oprávnění pracovního prostoru jsou první hranicí zabezpečení pro data v rámci OneLake. Každý pracovní prostor představuje jednu doménu nebo oblast projektu, kde týmy můžou spolupracovat na datech. Zabezpečení v pracovním prostoru spravujete prostřednictvím rolí pracovního prostoru Fabric. Další informace o řízení přístupu na základě role v prostředcích infrastruktury (RBAC): Role pracovního prostoru

Role pracovního prostoru v prostředcích infrastruktury uděluje v OneLake následující oprávnění.

Oprávnění OneLake RBAC a Lakehouse

V rámci pracovního prostoru můžou mít položky Fabric nakonfigurovaná oprávnění odděleně od rolí pracovního prostoru. Oprávnění můžete nakonfigurovat buď sdílením položky, nebo správou oprávnění položky. Následující oprávnění určují schopnost uživatele provádět akce s daty ve OneLake.

Oprávnění Lakehouse

Oprávnění koncového bodu OneLake RBAC a Lakehouse SQL Analytics

Koncový bod analýzy SQL je sklad, který se automaticky vygeneruje z Lakehouse v Microsoft Fabric. Zákazník může přejít ze zobrazení Lakehouse (který podporuje přípravu dat a Apache Spark) ze zobrazení SQL stejného Lakehouse. Další informace o koncovém bodu analýzy SQL najdete v dokumentaci ke službě Data Warehouse: koncový bod SQL Analytics.

Oprávnění k sémantickému modelu OneLake RBAC a Default Lakehouse

Když uživatel v Microsoft Fabric vytvoří jezero, systém také zřídí přidružený výchozí sémantický model. Výchozí sémantický model obsahuje metriky nad daty lakehouse. Sémantický model umožňuje Power BI načítat data pro vytváření sestav.

Oprávnění RBAC pro Sdílení Lakehouse a OneLake

Když uživatel sdílí objekt lakehouse, udělí ostatním uživatelům nebo skupině uživatelů přístup k jezeře bez udělení přístupu k pracovnímu prostoru a zbývajícím jeho položkám. Sdílené jezero najdete prostřednictvím centra dat nebo části Sdílí se se mnou v Microsoft Fabrics.

Když někdo sdílí lakehouse, může také udělit přístup ke koncovému bodu analýzy SQL a přidruženému výchozímu sémantickému modelu.

Další informace o modelu oprávnění ke sdílení dat:

• Jak funguje sdílení lakehouse
• Sdílení skladu a správa oprávnění

Zástupci

OneLake RBAC v interních zkratkách

Pro všechny složky v jezeře dědí oprávnění RBAC vždy do všech interních zástupců, kde je tato složka definována jako cíl.

Když uživatel přistupuje k datům prostřednictvím zástupce jiného umístění OneLake, identita volajícího uživatele se použije k autorizaci přístupu k datům v cílové cestě zástupce*. V důsledku toho musí mít tento uživatel oprávnění OneLake RBAC v cílovém umístění ke čtení dat.

Definování oprávnění RBAC pro interní zástupce není povolené a musí být definováno v cílové složce umístěné v cílové položce. Vzhledem k tomu, že definování oprávnění RBAC je omezené jenom na položky lakehouse, oneLake povoluje oprávnění RBAC pouze pro zástupce, které cílí na složky v položkách lakehouse.

Další tabulka určuje, jestli je pro definování oprávnění RBAC OneLake podporován odpovídající scénář zástupce.

OneLake RBAC v externích zkratkách (ADLS, S3, Dataverse)

OneLake podporuje definování oprávnění RBAC pro zástupce, jako jsou klávesové zkratky ADLS, S3 a Dataverse. V tomto případě se model RBAC použije nad delegovaným autorizačním modelem povoleným pro tento typ zástupce.

Předpokládejme, že uživatel1 vytvoří zástupce S3 v jezeře odkazující na složku v kbelíku AWS S3. Uživatel 2 se pak pokouší získat přístup k datům v této zkratce.

Oprávnění RBAC musí být definována pro celý obor zástupce (celá cílová složka), ale dědí rekurzivně do všech jejích podsložek a souborů.

Přečtěte si další informace o zkratkách S3, ADLS a Dataverse ve OneLake Shortcuts.

Omezení na OneLake RBAC

Následující tabulka obsahuje omezení rolí přístupu k datům OneLake.

Latence ve OneLake RBAC

• Pokud změníte definici role OneLake RBAC, použití aktualizovaných definic trvá přibližně 5 minut.
• Pokud změníte skupinu uživatelů v roli OneLake RBAC, trvá přibližně hodinu, než OneLake použije oprávnění role u aktualizované skupiny uživatelů.