Planejamento de implementação do Power BI: Relatar o planejamento de segurança do consumidor

Este artigo de planejamento de segurança descreve estratégias para consumidores somente leitura. O foco está nas permissões de visualizador para relatórios e aplicativos e em como impor a segurança dos dados. Destina-se principalmente a:

• Administradores do Power BI: os administradores responsáveis por supervisionar o Power BI na organização.
• Equipe do Centro de Excelência, TI e BI: as equipes que também são responsáveis por supervisionar o Power BI. Eles podem precisar colaborar com administradores do Power BI, equipes de segurança da informação e outras equipes relevantes.
• Criadores e proprietários de conteúdo: criadores de BI de autoatendimento que precisam criar, publicar, proteger e gerenciar conteúdo que outros usuários consomem.

A série de artigos destina-se a expandir o conteúdo do white paper de segurança do Power BI. Embora o white paper de segurança do Power BI se concentre em tópicos técnicos importantes, como autenticação, residência de dados e isolamento de rede, o objetivo principal da série é fornecer considerações e decisões para ajudá-lo a planejar a segurança e a privacidade.

Em uma organização, muitos usuários são classificados como consumidores. Os consumidores visualizam o conteúdo que outros utilizadores criaram e publicaram. Os consumidores são o foco deste artigo. Para o planejamento de segurança focado em criadores e proprietários de conteúdo, consulte o artigo Planejamento de segurança do criador de conteúdo.

Para obter o máximo deste artigo, é útil entender o significado dos termos compartilhamento e distribuição no contexto do Power BI.

Compartilhamento é quando um usuário dá a outro usuário (ou grupo de usuários) acesso a um item específico de conteúdo. O recurso de compartilhamento no serviço do Power BI tem como escopo um item. Ocorre mais comumente entre indivíduos que se conhecem e trabalham em estreita colaboração.

Distribuição é onde o conteúdo é entregue a outros usuários, que são conhecidos como destinatários. Muitas vezes, envolve um número maior de usuários em várias equipes. Os destinatários podem não ter solicitado explicitamente o conteúdo, mas é reconhecido que eles precisam dele para desempenhar sua função. Os destinatários que consomem conteúdo distribuído podem ou não conhecer o criador original do conteúdo. Como tal, a distribuição como conceito é mais formal do que a partilha.

Ao conversar com outras pessoas, determine se elas estão usando o termo compartilhamento de uma maneira geral ou literal. A utilização do termo partilha pode ser interpretada de duas formas.

• O termo partilha é frequentemente utilizado de uma forma geral relacionada com a partilha de conteúdos com colegas. Existem várias técnicas para fornecer conteúdo somente leitura, que são descritas neste artigo.
• O compartilhamento também é um recurso específico no Power BI. É um recurso em que um usuário ou grupo recebe acesso a um único item. Links de compartilhamento e compartilhamento de acesso direto são descritos neste artigo.

Estratégia para consumidores somente leitura

No serviço do Power BI, os consumidores podem exibir um relatório ou painel quando tiverem permissão para ambos:

• Exiba o item do Power BI que contém as visualizações (como um relatório ou painel).
• Leia os dados subjacentes (modelo semântico ou outra fonte).

Você pode fornecer acesso somente leitura aos consumidores usando diferentes técnicas. As técnicas comuns usadas pelos criadores de conteúdo self-service incluem:

• Conceder a usuários e grupos acesso a um aplicativo do Power BI.
• Adicionar usuários e grupos a uma função de Visualizador do espaço de trabalho do Power BI.
• Fornecer permissões de usuários e grupos por item usando um link de compartilhamento.
• Fornecer permissões de usuários e grupos por item usando acesso direto.

As opções de função Visualizador do aplicativo Power BI e do espaço de trabalho do Power BI envolvem o gerenciamento de permissões para um conjunto de itens. As duas técnicas de permissões por item envolvem o gerenciamento de permissões para um item individual.

Ao revisar as configurações de segurança de um item, você pode ver que suas permissões são:

• Herdado do espaço de trabalho ou de um aplicativo.
• Aplicado diretamente ao item.

Na captura de tela a seguir, as permissões de acesso direto são mostradas para um relatório. Nesse caso, as funções de Administrador e Membro do espaço de trabalho são atribuídas a um grupo. Essas funções são mostradas para o relatório porque o acesso no nível do relatório é herdado do espaço de trabalho. Há também um usuário que tem permissões de leitura aplicadas diretamente ao relatório.

A estratégia escolhida para consumidores somente leitura pode ser diferente. Deve basear-se na solução individual, nas preferências de quem gere a solução ou nas necessidades do consumidor. O restante desta seção descreve quando considerar o uso de cada uma das técnicas disponíveis.

Lista de verificação - Ao criar sua estratégia de como fornecer conteúdo para consumidores somente leitura, as principais decisões e ações incluem:

Permissões do aplicativo Power BI

Um aplicativo Power BI fornece uma coleção de relatórios, painéis e pastas de trabalho aos consumidores. Um aplicativo oferece a melhor experiência de usuário para os consumidores porque:

• O painel de navegação da aplicação proporciona uma experiência de utilizador simples e intuitiva. É uma experiência mais agradável do que acessar o conteúdo diretamente em um espaço de trabalho.
• O conteúdo pode ser organizado logicamente em seções (que são como pastas) no painel de navegação do aplicativo.
• Os consumidores só têm acesso a itens específicos que foram explicitamente incluídos no aplicativo para seu público.
• Links para informações adicionais, documentação ou outro conteúdo podem ser adicionados ao painel de navegação para seu público.
• Há um fluxo de trabalho interno de acesso de solicitação .

Você pode criar um aplicativo para cada espaço de trabalho como uma maneira formal de distribuir parte ou todo o conteúdo do espaço de trabalho. Os aplicativos são uma boa maneira de distribuir conteúdo amplamente dentro de uma organização, especialmente para usuários que você não conhece ou com quem não colabora de perto.

Você gerencia as permissões do aplicativo separadamente das funções do espaço de trabalho. A separação de permissões tem duas vantagens. Incentiva:

• Conceder acesso ao espaço de trabalho aos criadores de conteúdo. Ele inclui usuários que estão colaborando ativamente no conteúdo, como criadores de modelos semânticos, criadores de relatórios e testadores.
• Concessão de permissões de aplicativo aos consumidores. Ao contrário das permissões de espaço de trabalho, as permissões de aplicativo são sempre somente leitura (ou nenhuma).

Todos os usuários com acesso ao espaço de trabalho podem exibir automaticamente o aplicativo (quando um aplicativo do Power BI tiver sido publicado para o espaço de trabalho). Devido a esse comportamento, você pode pensar conceitualmente em funções de espaço de trabalho como sendo herdadas por cada público de aplicativo. Alguns usuários com acesso ao espaço de trabalho também podem atualizar o aplicativo Power BI, dependendo de sua função de espaço de trabalho atribuída.

Usar um aplicativo para distribuir conteúdo para consumidores somente leitura é a melhor opção quando:

• Você deseja que os usuários possam exibir apenas itens específicos que são visíveis para esse público (em vez de todos os itens no espaço de trabalho subjacente).
• Você deseja gerenciar permissões somente leitura para o aplicativo separadamente do espaço de trabalho.
• Você deseja um gerenciamento de permissões mais simples para usuários somente leitura do que permissões por item.
• Você deseja garantir que a segurança em nível de linha seja imposta aos consumidores (quando eles tiverem permissão somente leitura no modelo semântico subjacente).
• Você deseja garantir que os consumidores não possam visualizar relatórios novos e alterados até que o aplicativo seja republicado.

Embora seja verdade que as alterações em relatórios e painéis não são visíveis para os usuários do aplicativo até que o aplicativo seja republicado, há duas considerações que exigem cuidado.

• Alterações imediatas no modelo semântico: As alterações no modelo semântico sempre entram em vigor imediatamente. Por exemplo, se você introduzir alterações significativas em um modelo semântico no espaço de trabalho, isso poderá resultar inadvertidamente em relatórios que se tornarão instáveis (mesmo que eles não tenham sido republicados no aplicativo). Há duas maneiras de reduzir esse risco: primeiro, faça todo o trabalho de desenvolvimento no Power BI Desktop (separado do espaço de trabalho). Em segundo lugar, isole o aplicativo de produção usando espaços de trabalho separados para desenvolvimento e teste. (Opcionalmente, você pode obter um nível mais alto de controle sobre a implantação do conteúdo do espaço de trabalho, desde o desenvolvimento até o teste e a produção, usando pipelines de implantação.)
• Conteúdo e permissões são publicados juntos: quando você publica um aplicativo, suas permissões são publicadas ao mesmo tempo que o conteúdo. Por exemplo, você pode ter alterações de relatório em um espaço de trabalho que ainda não estão completos, totalmente testados ou aprovados. Portanto, você não pode publicar novamente o aplicativo apenas para atualizar permissões. Para reduzir esse risco, atribua permissões de aplicativo a grupos de segurança e use associações de grupos de segurança (em vez de usuários individuais) ao conceder permissões de aplicativos. Evite republicar um aplicativo apenas para aplicar alterações de permissão.

Público do aplicativo

Cada espaço de trabalho no serviço do Power BI pode ter apenas um aplicativo do Power BI. No entanto, dentro do aplicativo você pode criar um ou mais públicos. Considere o seguinte cenário de exemplo.

• Você tem cinco relatórios de vendas que são distribuídos para muitos usuários em toda a sua organização de vendas global.
• Um público é definido no aplicativo para os representantes de vendas. Este público pode ver três dos cinco relatórios.
• Outro público é definido no aplicativo para a equipe de liderança de vendas. Esse público pode visualizar todos os cinco relatórios, incluindo os dois que não estão disponíveis para representantes de vendas.

Essa capacidade de misturar e combinar conteúdo e públicos tem as seguintes vantagens.

• Alguns relatórios podem estar disponíveis para visualização por vários públicos. Assim, a criação de vários públicos elimina a necessidade de duplicar o conteúdo em diferentes espaços de trabalho.
• Alguns relatórios devem estar disponíveis apenas para um público. Assim, o conteúdo para esse público pode residir no mesmo espaço de trabalho que outro conteúdo relacionado.

A captura de tela a seguir mostra um aplicativo com dois públicos: Liderança de vendas e Representantes de vendas. O painel Gerenciar Acesso ao Público fornece acesso ao grupo de público Liderança de Vendas para dois grupos de segurança: Liderança de Vendas-América do Norte e Liderança de Vendas-Europa. O relatório Análise de Margem Bruta mostrado na captura de tela do grupo de público Liderança de vendas não está disponível para o grupo de público Representantes de vendas.

Ao gerenciar permissões para um aplicativo, na página Acesso Direto, você pode exibir os membros de cada público. Você também pode ver os usuários com uma função de espaço de trabalho listados sob o público Todos . Não é possível atualizar as permissões do aplicativo na página Acesso Direto . Em vez disso, você deve publicar novamente o aplicativo. No entanto, você pode atualizar as permissões do aplicativo na página Pendente quando houver solicitações de acesso aberto para o aplicativo.

Opções de permissão do aplicativo

Quando você cria (ou republica) um aplicativo, cada público tem um painel Gerenciar Acesso ao Público. Nesse painel, as seguintes permissões estão disponíveis.

• Conceder acesso a: Para cada público, você pode conceder acesso a usuários individuais e grupos. É possível publicar o aplicativo para toda a organização quando ele é habilitado pela configuração Publicar aplicativos para todo o locatário da organização e o aplicativo não é instalado automaticamente. Sempre que possível, recomendamos que você atribua grupos a audiências porque adicionar ou remover usuários envolve republicar o aplicativo. Todos com acesso ao espaço de trabalho automaticamente têm permissão para exibir ou atualizar o aplicativo, dependendo de sua função no espaço de trabalho.
• Permissões de modelo semântico: Dois tipos de permissões de modelo semântico podem ser concedidos durante a publicação de um aplicativo:
  • Modelo semântico Recompartilhar: Quando habilitado, os usuários do aplicativo recebem a permissão Recompartilhar o(s) modelo(s) semântico(s) subjacente(s) com outros. Faz sentido ativar esta opção quando o(s) modelo(s) semântico(s) subjacente(s) pode(m) ser prontamente repartilhado(s) com qualquer pessoa. Recomendamos que você obtenha a aprovação do(s) proprietário(s) do modelo semântico antes de conceder a permissão Recompartilhar a um público de aplicativo.
  • Compilação do modelo semântico: Quando habilitada, os usuários do aplicativo recebem a permissão Build para os modelos semânticos. A permissão de compilação permite que os usuários criem novos relatórios, exportem dados subjacentes de relatórios e muito mais. Recomendamos que você obtenha aprovação do(s) proprietário(s) do modelo semântico antes de conceder permissão de compilação a um público de aplicativo.

A capacidade de adicionar o modelo semântico Recompartilhar ou Construir permissões durante a publicação de um aplicativo é conveniente. No entanto, recomendamos que você considere gerenciar permissões de aplicativo e permissões de modelo semântico separadamente. Aqui estão os motivos.

• O modelo semântico compartilhado pode estar em um espaço de trabalho separado: se o modelo semântico for publicado em um espaço de trabalho separado do aplicativo, você precisará gerenciar suas permissões diretamente. A capacidade de adicionar permissões de Leitura, Criação ou Recompartilhamento ao publicar um aplicativo só funciona para modelos semânticos que estão no mesmo espaço de trabalho do aplicativo. Por esse motivo, recomendamos que você adquira o hábito de gerenciar permissões de modelo semântico de forma independente.
• As permissões do modelo semântico são gerenciadas separadamente: se você remover ou alterar as permissões de um aplicativo, essa ação afetará apenas o aplicativo. Ele não remove automaticamente nenhuma permissão de modelo semântico que foi atribuída anteriormente. Dessa forma, você pode pensar nas permissões do aplicativo e nas permissões do modelo semântico como dissociadas. Você precisará gerenciar o modelo semântico diretamente, separadamente do aplicativo, quando as permissões do modelo semântico forem alteradas ou precisarem ser removidas.
• As permissões do modelo semântico devem ser controladas: conceder permissões de modelo semântico por meio de um aplicativo remove o controle do proprietário do modelo semântico. A concessão da permissão Recompartilhar depende do bom senso dos usuários que estão optando por compartilhar novamente o(s) modelo(s) semântico(s). Suas diretrizes internas de governança ou segurança podem se tornar mais difíceis de gerenciar quando o compartilhamento novo é permitido.
• Consumidores e criadores têm objetivos diferentes: normalmente, há muito mais consumidores de conteúdo do que criadores em uma organização. De acordo com o princípio do menor privilégio, os consumidores só precisam de permissão de Ler para o modelo semântico subjacente. Eles não precisam de permissão de compilação, a menos que pretendam criar novos relatórios.

Direitos de pré-instalação da aplicação

Depois de publicar um aplicativo Power BI, um usuário normalmente precisa instalá-lo para poder abri-lo. Um utilizador pode instalar uma aplicação a partir da página Aplicações no serviço Power BI ou utilizando uma ligação que recebeu de outro utilizador. Eles poderão encontrar (e instalar) um aplicativo quando estiverem incluídos em pelo menos um público do aplicativo.

Uma abordagem alternativa para instalar um aplicativo é enviá-lo para os consumidores de aplicativos. Isso resulta na pré-instalação do aplicativo para que ele apareça automaticamente na página Aplicativos no serviço do Power BI. Essa abordagem é uma conveniência para os consumidores, pois eles não precisam encontrar e instalar o aplicativo. No entanto, as aplicações pré-instaladas podem tornar-se um aborrecimento para os utilizadores porque podem ficar sobrecarregados por demasiadas aplicações que não são relevantes para eles.

A configuração de locatário Enviar aplicativos por push para usuários finais controla quem tem permissão para instalar aplicativos automaticamente. Recomendamos que você use esse recurso porque é conveniente para os usuários. No entanto, também recomendamos que você eduque seus criadores de conteúdo sobre quando usá-lo para que não seja usado em excesso.

Lista de verificação - Ao criar sua estratégia para usar aplicativos para visualizadores de conteúdo, as principais decisões e ações incluem:

Função Visualizador do Espaço de Trabalho

Conforme descrito nos artigos de planejamento do espaço de trabalho, o objetivo principal de um espaço de trabalho é a colaboração. Os colaboradores do espaço de trabalho, como criadores de modelos semânticos, criadores de relatórios e testadores, devem ser atribuídos a uma das três funções: Colaborador, Membro ou Administrador. Essas funções são descritas no artigo Planejamento de segurança do criador de conteúdo.

Você pode atribuir a função de Visualizador do espaço de trabalho aos consumidores. Permitir que os consumidores acessem o conteúdo diretamente em um espaço de trabalho pode fazer sentido para pequenas equipes e equipes informais que trabalham juntas.

Permitir que os consumidores acessem diretamente o conteúdo do espaço de trabalho é uma boa opção quando:

• A formalidade de um aplicativo, com suas permissões separadas, não é necessária.
• Os visualizadores têm permissão para visualizar todos os itens armazenados no espaço de trabalho.
• Você deseja um gerenciamento de permissões mais simples do que permissões por item.
• Os usuários do espaço de trabalho também podem exibir um aplicativo (quando um aplicativo é publicado para o espaço de trabalho).
• A intenção é que os espectadores analisem o conteúdo antes que ele seja publicado em um aplicativo.

Aqui estão algumas sugestões para dar suporte aos visualizadores do espaço de trabalho.

• Organize o conteúdo em cada espaço de trabalho para que os itens sejam facilmente localizados pelos consumidores de relatório e para que se alinhem bem com a segurança. A organização do espaço de trabalho por área temática ou projeto geralmente funciona bem.
• Separe o conteúdo de desenvolvimento e teste do conteúdo de produção para que os itens de trabalho em andamento não possam ser acessados pelos visualizadores.
• Use aplicativos (ou permissões por item, quando apropriado) quando espera ter muitas solicitações de acesso para processar. Não há um fluxo de trabalho Solicitar acesso para espaços de trabalho.

Lista de verificação - Ao criar sua estratégia para usar espaços de trabalho para visualizadores de conteúdo, as principais decisões e ações incluem:

Permissões por item

O compartilhamento de item individual concede permissão a um único item. Criadores de conteúdo menos experientes geralmente usam essa técnica como a técnica de compartilhamento principal porque os comandos de compartilhamento são exibidos com destaque no serviço do Power BI. Por esse motivo, é importante educar seus criadores de conteúdo sobre as diferentes opções de compartilhamento, incluindo quando usar permissões de aplicativo em vez de funções de espaço de trabalho.

As permissões por item são uma boa opção quando:

• Você deseja fornecer acesso somente leitura a um item (relatório ou painel).
• Você não quer que o consumidor visualize todo o conteúdo publicado em um espaço de trabalho.
• Você não quer que o consumidor veja todo o conteúdo publicado para um público de aplicativo.

Use permissões por item com moderação porque o compartilhamento concede permissão de Ler a um único item. De certa forma, você pode pensar em permissões por item como uma substituição de funções de espaço de trabalho ou permissões de aplicativo.

Compartilhar muitos itens usando permissões por item pode ser tedioso e propenso a erros, especialmente ao compartilhar com usuários individuais em vez de grupos. Considere este cenário: você tem 40 relatórios que compartilhou com colegas usando suas contas de usuário individuais. Quando um colega é transferido para um departamento diferente, você precisará revogar seu acesso, o que envolverá permissões de edição para todos os 40 relatórios.

Ao compartilhar um item individual, você tem várias opções de permissão.

• Permissão de recompartilhamento: quando habilitada, os usuários podem compartilhar o item com outros usuários, incluindo seus modelos semânticos subjacentes. Faz sentido conceder essa permissão quando o item pode ser prontamente compartilhado com qualquer pessoa. Ele remove o controle da pessoa ou equipe que gerencia o item. Portanto, ele depende do bom senso dos usuários que recebem a permissão Reshare. No entanto, suas diretrizes internas de governança ou segurança podem se tornar mais difíceis de gerenciar quando o compartilhamento novo é permitido.
• Permissão de compilação: quando habilitada, os usuários recebem permissão de compilação para o modelo semântico subjacente. A permissão de compilação permite que os usuários criem novo conteúdo baseado no modelo semântico. Também lhes permite exportar dados subjacentes de relatórios e muito mais. As considerações para conceder permissão de compilação são descritas no artigo de planejamento de segurança do criador de conteúdo.

As permissões por item para relatórios e painéis podem fazer sentido para cenários informais quando o conteúdo é compartilhado com alguns usuários. É uma boa ideia educar os usuários sobre como gerenciar permissões com aplicativos e espaços de trabalho, especialmente quando eles estão compartilhando conteúdo para um grande número de usuários ou usuários fora de sua equipe. É importante enfatizar os seguintes pontos.

• Torna-se mais difícil determinar qual conteúdo foi compartilhado com quais usuários, porque as permissões em cada relatório e painel devem ser revisadas individualmente.
• Em muitos casos, a permissão Recompartilhar é definida porque a experiência do usuário habilita essa opção por padrão. Portanto, há um risco de que o conteúdo seja compartilhado para um conjunto mais amplo de usuários do que o pretendido. Esse resultado pode ser evitado desmarcando a opção Permitir que os destinatários compartilhem este relatório ao compartilhar. Minimizar o excesso de compartilhamento dessa maneira é um problema de treinamento do usuário. O criador de conteúdo que está definindo as permissões de compartilhamento deve considerar essa escolha sempre.
• Todas as alterações em relatórios e painéis são visíveis por outras pessoas imediatamente, o que pode confundir os usuários quando as modificações de conteúdo são um trabalho em andamento. Essa preocupação pode ser atenuada distribuindo conteúdo em um aplicativo ou usando espaços de trabalho separados para segregar o conteúdo de desenvolvimento, teste e produção. Para obter mais informações, consulte o cenário de uso de publicação de conteúdo de autoatendimento .
• Quando um usuário compartilha conteúdo de seu espaço de trabalho pessoal e sai da organização, a TI geralmente desativa sua conta de usuário. Nesse caso, todos os destinatários do conteúdo compartilhado perderão imediatamente o acesso ao conteúdo.

Há três tipos específicos de compartilhamento: links de compartilhamento, compartilhamento de acesso direto e exibições compartilhadas.

Links de permissão por item

Quando você compartilha um item individual, a experiência padrão resulta em um link de compartilhamento. Existem três tipos de links de compartilhamento.

• Pessoas na sua organização: Quando ativado nas definições de inquilino do Power BI, este tipo de ligação de partilha é uma forma simples de fornecer acesso só de leitura a todos na organização. No entanto, o link de compartilhamento não funcionará para usuários externos. Essa opção é mais adequada para quando qualquer pessoa pode visualizar o conteúdo, e o link pode ser compartilhado livremente em toda a organização. A menos que esteja desabilitado pela configuração Permitir links compartilháveis para conceder acesso a todos no locatário da sua organização , esse tipo de compartilhamento é o padrão.
• Pessoas com acesso existente: esta opção não cria um novo link de compartilhamento. Em vez disso, ele permite que você recupere o URL para que você possa enviá-lo para alguém que já tenha acesso.
• Pessoas específicas: esta opção produz um link de compartilhamento para usuários ou grupos específicos. Recomendamos que você use essa opção na maioria das vezes, pois ela fornece acesso específico. Se você normalmente trabalha com usuários externos, você pode usar esse tipo de link para usuários convidados que já existem no Microsoft Entra ID. Para obter mais informações sobre o processo de convite planejado para criar usuários convidados, consulte o artigo Planejamento de segurança em nível de locatário.

Um link de compartilhamento adiciona permissão de Ler ao item. A permissão Recompartilhar é selecionada por padrão. Também é possível adicionar a permissão Build ao modelo semântico subjacente ao mesmo tempo em que o link de compartilhamento é criado.

Os links de compartilhamento são mais fáceis de manter do que o compartilhamento de acesso direto, especialmente quando você precisa fazer alterações em massa. É uma vantagem significativa quando usuários individuais recebem permissões de compartilhamento, mais do que grupos (o que geralmente ocorre quando usuários de autoatendimento são responsáveis por gerenciar permissões). Considere as seguintes comparações.

• Link de compartilhamento: 20 usuários individuais recebem acesso com um link de compartilhamento. Com uma única alteração no link, afeta todos os 20 usuários.
• Acesso direto: 20 pessoas têm acesso direto a um item. Para fazer uma alteração, todas as 20 permissões de usuário devem ser modificadas.

Permissões de acesso direto por item

Você também pode obter permissões por item usando o acesso direto. O acesso direto envolve a configuração das permissões para um único item. Você também pode determinar quaisquer permissões herdadas derivadas de funções de espaço de trabalho.

Quando você concede acesso direto a um usuário, ele recebe permissão de Ler para o item. A permissão Recompartilhar é selecionada por padrão, assim como a permissão Build para o modelo semântico subjacente. Recomendamos que você ensine os criadores de conteúdo a habilitar a permissão de compilação somente quando o consumidor deste relatório também for um criador de conteúdo que talvez precise criar relatórios, exportar dados ou criar modelos compostos a partir do modelo semântico subjacente.

Vistas partilhadas

Use um modo de exibição compartilhado para compartilhar uma perspetiva filtrada de um relatório com outro usuário. Você pode publicar uma exibição compartilhada usando um link de compartilhamento ou por acesso direto.

As visões compartilhadas são um conceito temporário. Expiram automaticamente após 180 dias. Por esse motivo, as exibições compartilhadas são mais adequadas para cenários de compartilhamento informal e temporário. Certifique-se de que seus usuários estejam cientes dessa limitação.

Lista de verificação - Ao criar sua estratégia para usar permissões por item, as principais decisões e ações incluem:

Outras técnicas de consulta do consumidor

As maneiras mais comuns para os consumidores interagirem com o Power BI são com aplicativos, espaços de trabalho e permissões por item (descritas anteriormente neste artigo).

Há outras técnicas que os consumidores podem usar para consultar dados do Power BI. Cada uma das técnicas de consulta a seguir requer modelo semântico ou permissão de compilação do datamart.

• Analisar no Excel: os consumidores que preferem usar o Excel podem consultar um modelo semântico do Power BI usando Analisar no Excel. Esse recurso é uma ótima alternativa para exportar dados para o Excel porque os dados não são duplicados. Com uma conexão em tempo real com o modelo semântico, os usuários podem criar tabelas dinâmicas, gráficos e segmentações de dados. Em seguida, eles podem publicar a pasta de trabalho em um espaço de trabalho no serviço do Power BI, o que permite que os consumidores a abram e interajam com ela.
• Ponto de extremidade XMLA: os consumidores podem consultar um modelo semântico conectando-se ao ponto de extremidade XMLA. Um aplicativo compatível com XMLA pode se conectar, consultar e consumir um modelo semântico armazenado em um espaço de trabalho Premium. Esse recurso é útil quando os consumidores desejam usar um modelo semântico do Power BI como fonte de dados para uma ferramenta de visualização de dados fora do ecossistema da Microsoft.
• Editor de datamart: os consumidores podem consultar um datamart do Power BI usando o editor de datamart. É um editor de consultas visuais baseado na Web para criar consultas sem código. Há também um editor SQL baseado na Web para quando os consumidores preferem escrever consultas SQL. Ambos os editores consultam o Banco de Dados SQL do Azure gerenciado subjacente ao datamart do Power BI (em vez do modelo semântico interno).
• Ponto de extremidade SQL: os consumidores podem consultar um datamart do Power BI usando o ponto de extremidade SQL. Eles podem usar ferramentas como o Azure Data Studio ou o SQL Server Management Studio (SSMS) para executar consultas SQL. O ponto de extremidade SQL direciona consultas para o Banco de Dados SQL do Azure gerenciado subjacente ao datamart do Power BI (em vez do modelo semântico interno).

Para obter mais informações sobre a permissão de compilação, consulte o artigo Planejamento de segurança do criador de conteúdo.

Lista de verificação - Ao planejar quais técnicas de consulta os consumidores usarão, as principais decisões e ações incluem:

Solicitar fluxo de trabalho de acesso para consumidores

Ao compartilhar conteúdo, é comum que um usuário encaminhe um link (URL) para outro usuário. Quando o destinatário tenta visualizar o conteúdo e descobre que não tem acesso a ele, ele pode selecionar o botão Solicitar acesso . Esta ação inicia o fluxo de trabalho Solicitar acesso . O usuário é então solicitado a fornecer uma mensagem para explicar por que deseja acessar.

Existe um fluxo de trabalho de acesso de solicitação para:

• Acesso a um aplicativo do Power BI.
• Acesso a um item, como um relatório ou painel.
• Acesso a um modelo semântico. Para obter mais informações sobre o fluxo de trabalho Solicitar acesso quando um modelo semântico é detetável, consulte o artigo Planejamento de segurança do criador de conteúdo.

Pedidos de acesso à aplicação

Há duas maneiras de saber mais sobre solicitações de acesso pendentes que foram enviadas para um aplicativo.

• E-mail: o(s) contato(s) do aplicativo recebe(m) uma notificação por e-mail. Por padrão, esse contato é o editor do aplicativo. Para fornecer um melhor suporte para aplicativos críticos, recomendamos que você defina o contato para um grupo capaz de responder rapidamente às solicitações de acesso.
• Menu Gerenciar permissões: os administradores e membros do espaço de trabalho podem exibir, aprovar ou recusar solicitações de acesso. A página Gerenciar permissões está disponível na página Aplicativos e pode ser aberta para cada aplicativo. Esse recurso também está disponível para colaboradores do espaço de trabalho quando a configuração Permitir que os colaboradores atualizem o aplicativo para este espaço de trabalho está habilitada.

As solicitações de acesso pendentes para um aplicativo mostram a mensagem fornecida pelo usuário. Cada pedido pendente pode ser aprovado ou recusado. Ao optar por aprovar uma solicitação, um público do aplicativo deve ser selecionado.

A captura de tela a seguir mostra uma solicitação de acesso pendente de um usuário. Para aprová-lo, um dos dois públicos do aplicativo, Representantes de vendas ou Liderança de vendas, deve ser selecionado.

Quando você publica um aplicativo, o conteúdo e as permissões são publicados ao mesmo tempo. Como descrito anteriormente, não é possível publicar apenas as permissões do aplicativo sem alterações de conteúdo também. No entanto, há uma exceção: quando você aprova uma solicitação de acesso pendente (como a mostrada na captura de tela anterior), a alteração de permissão ocorre sem publicar o conteúdo mais recente no espaço de trabalho.

Solicitações de acesso ao espaço de trabalho

O acesso ao espaço de trabalho é concedido por usuários que pertencem à função Administrador ou à função Membro.

Um usuário que está tentando exibir um espaço de trabalho recebe uma mensagem de acesso negado quando não é membro de uma função de espaço de trabalho. Como não há um fluxo de trabalho de solicitação de acesso interno para espaços de trabalho, eles são melhor usados para equipes pequenas e equipes informais que trabalham juntas. Essa é uma das razões pelas quais um aplicativo Power BI é mais adequado para equipes maiores e cenários de distribuição de conteúdo mais amplos.

Solicitações de acesso por item

Há duas maneiras de saber mais sobre solicitações de acesso pendentes que foram enviadas para um item individual, como um relatório.

• E-mail: O(s) contato(s) do item recebe(m) uma notificação por e-mail. Para fornecer um melhor suporte para relatórios críticos, recomendamos que você defina o contato para um grupo capaz de responder rapidamente às solicitações de acesso.
• Menu Gerenciar permissões: os administradores e membros do espaço de trabalho podem acessar a página Gerenciar permissões para cada item. Eles podem visualizar, aprovar ou recusar solicitações de acesso pendentes.

Gerenciar solicitações de acesso com grupos

Quando um usuário envia o formulário Solicitar acesso para um item do Power BI (como um relatório ou modelo semântico) ou um aplicativo do Power BI, a solicitação é enviada para um usuário individual. No entanto, muitas grandes organizações precisam usar grupos para cumprir suas políticas internas de segurança.

Recomendamos que você use grupos, em vez de indivíduos, para proteger o conteúdo sempre que possível. Para obter mais informações sobre como planejar grupos, consulte o artigo Planejamento de segurança em nível de locatário.

Se você pretende fornecer acesso a grupos em vez de usuários individuais, o proprietário do conteúdo ou administrador que está processando a solicitação de acesso precisará concluir a solicitação em várias etapas:

1. Recuse a solicitação pendente no Power BI (porque ela está associada a um usuário individual).
2. Adicione o solicitante ao grupo correto de acordo com seu processo atual.
3. Notifique o solicitante de que ele agora tem acesso.

Lista de verificação - Ao planejar o fluxo de trabalho de acesso de solicitação, as principais decisões e ações incluem:

Reforçar a segurança dos dados com base na identidade do consumidor

Você pode planejar a criação de menos modelos semânticos e relatórios impondo a segurança dos dados. O objetivo é reforçar a segurança dos dados com base na identidade do utilizador que está a visualizar o conteúdo.

Por exemplo, considere que você pode compartilhar um único relatório de vendas com todos os vendedores (consumidores), sabendo que cada vendedor verá apenas os resultados de vendas de sua região. Essa abordagem permite evitar a complexidade de criar relatórios separados por região que precisariam ser compartilhados com os vendedores dessa região de vendas.

Algumas organizações têm requisitos específicos para modelos semânticos ou datamarts aprovados (certificados ou promovidos). Para dados que serão amplamente utilizados, pode haver um requisito para usar a segurança de dados.

Você pode realizar a segurança de dados de várias maneiras.

• Modelo semântico do Power BI: como criador de dados do Power BI, você pode impor segurança em nível de linha (RLS) e segurança em nível de objeto (OLS). A RLS envolve a definição de funções e regras que filtram linhas do modelo de dados, enquanto o OLS restringe o acesso a tabelas ou colunas específicas. Essas regras RLS e OLS definidas não se aplicam a referências armazenadas fora do modelo semântico, como segmentação de dados e seleções de filtro. As técnicas RLS e OLS são descritas mais adiante nesta seção.
• Analysis Services: um modelo semântico de conexão em tempo real pode se conectar a um modelo de dados remoto, que é hospedado pelo Azure Analysis Services (AAS) ou pelo SQL Server Analysis Services (SSAS). O modelo remoto pode impor RLS ou OLS com base na identidade do consumidor.
• Fonte de dados: algumas fontes de dados, como o Banco de Dados SQL do Azure, podem impor a RLS. Nesse caso, o modelo do Power BI pode aproveitar a segurança existente em vez de redefini-la. Essa abordagem pode ser uma vantagem significativa quando a RLS definida na fonte é complexa. Você pode desenvolver e publicar um modelo DirectQuery e definir as credenciais da fonte de dados do modelo semântico no serviço do Power BI para habilitar o logon único (SSO). Quando um consumidor de relatório abre um relatório, o Power BI passa sua identidade para a fonte de dados. Em seguida, a fonte de dados impõe a RLS com base na identidade do consumidor do relatório. Para obter mais informações sobre RLS do Banco de Dados SQL do Azure, consulte este artigo.

Segurança ao nível da linha

A segurança em nível de linha (RLS) permite que um modelador de dados restrinja o acesso a um subconjunto de dados. Normalmente é usado para garantir que alguns consumidores de relatório não possam ver dados específicos, como resultados de vendas de outras regiões de vendas.

Tenha cuidado, porque se um relatório do Power BI fizer referência a uma linha com RLS configurada, a mesma mensagem será exibida como para um campo excluído ou inexistente. Para esses usuários, parece que o relatório está quebrado.

Há duas etapas para configurar a RLS: regras e mapeamentos de função.

Regras RLS

Para modelos semânticos, um modelador de dados pode configurar a RLS no Power BI Desktop criando uma ou mais funções. Uma função tem um nome exclusivo no modelo e geralmente inclui uma ou mais regras. As regras impõem filtros em tabelas de modelo usando expressões de filtro DAX (Data Analysis Expressions). Por padrão, um modelo não tem funções.

As expressões de regra são avaliadas dentro do contexto de linha. Contexto de linha significa que a expressão é avaliada para cada linha usando os valores de coluna dessa linha. Quando a expressão retorna TRUE, o usuário pode ver a linha. Você pode definir regras que são estáticas ou dinâmicas.

• Regras estáticas: use expressões DAX que se referem a constantes, como [Region] = "Midwest".
• Regras dinâmicas: use funções DAX específicas que retornam valores ambientais (em oposição a constantes). Os valores ambientais são retornados de três funções DAX específicas: USERNAME, USERPRINCIPALNAME e CUSTOMDATA. A definição de regras dinâmicas é simples e eficaz quando uma tabela modelo armazena valores de nome de usuário. Eles permitem que você imponha um design de RLS orientado por dados.

Mapeamentos de função RLS

Depois de publicar o modelo no serviço do Power BI, você deve configurar mapeamentos de função antes que os usuários acessem relatórios relacionados. O mapeamento de funções envolve a atribuição de objetos de segurança do Microsoft Entra a funções. Os objetos de segurança podem ser contas de usuário ou grupos de segurança.

Sempre que possível, é uma prática recomendada mapear funções para grupos de segurança. Dessa forma, haverá menos mapeamentos e o gerenciamento de membros do grupo poderá ser tratado pelo proprietário do grupo.

Recomendamos que você disponibilize as informações da conta de segurança do Microsoft Entra para seus criadores de conteúdo. Uma opção é criar um fluxo de dados com dados que são mantidos em sincronia com o Microsoft Entra ID. Dessa forma, os criadores de conteúdo podem integrar os dados de fluxo de dados para produzir um modelo semântico orientado por dados.

Experiência do utilizador RLS

Algumas organizações optam por usar propositalmente a RLS como uma camada secundária de segurança, além das permissões padrão do Power BI. Considere o seguinte cenário: Você compartilha um link para um relatório com toda a organização. Qualquer usuário que exiba o relatório deve ser mapeado para uma função RLS para poder ver os dados no relatório. Se eles não forem mapeados para uma função RLS, eles não verão nenhum dado.

A presença de RLS altera a experiência padrão para os consumidores.

• Quando a RLS não está definida para o modelo semântico: criadores e consumidores com pelo menos permissão de Ler no modelo semântico podem visualizar todos os dados no modelo semântico.
• Quando a RLS é definida no modelo semântico: os criadores e consumidores com apenas permissão de Ler no modelo semântico só poderão visualizar os dados que lhes é permitido ver (com base no mapeamento de funções da RLS).

Quando um usuário exibe um relatório em um espaço de trabalho ou em um aplicativo, a RLS pode ou não ser imposta, dependendo de suas permissões de modelo semântico. Por esse motivo, é fundamental que os consumidores e criadores de conteúdo só possuam permissão de Ler no modelo semântico subjacente quando a RLS deve ser imposta.

Aqui estão as regras de permissão que determinam se a RLS é imposta.

• O usuário tem permissão de Ler no modelo semântico: a RLS é imposta para o usuário.
• O usuário tem permissões de leitura e compilação no modelo semântico: a RLS é imposta para o usuário.
• O usuário tem permissão de gravação no modelo semântico: a RLS não é imposta para o usuário, o que significa que ele pode ver todos os dados no modelo semântico. A permissão Gravar fornece a capacidade de editar um modelo semântico. Pode ser concedido de duas formas:
  • Com as funções de espaço de trabalho Colaborador, Membro ou Administrador (para o espaço de trabalho onde o modelo semântico está armazenado).
  • Com a permissão de modelo semântico de gravação por item.

Para obter mais informações sobre RLS, consulte Restringir o acesso aos dados do modelo do Power BI.

RLS para datamarts

Os datamarts do Power BI também podem impor RLS. No entanto, a implementação é diferente.

A principal diferença é que a RLS para datamarts é configurada no serviço do Power BI, e não no Power BI Desktop.

Outra diferença é que os datamarts impõem RLS no modelo semântico e no Banco de Dados SQL do Azure gerenciado associado ao datamart. A imposição de RLS em ambas as camadas fornece consistência e flexibilidade. Os mesmos filtros RLS são aplicados independentemente de como o usuário consulta os dados, seja conectando-se ao modelo semântico ou ao Banco de Dados SQL do Azure gerenciado.

Para obter mais informações, consulte RLS para datamarts.

Segurança ao nível do objeto

A segurança em nível de objeto (OLS) permite que um modelador de dados restrinja o acesso a tabelas e colunas específicas e seus metadados. Normalmente, você usa o OLS para garantir que colunas confidenciais, como o salário do funcionário, não fiquem visíveis para determinados usuários. Embora não seja possível restringir o acesso a medidas, qualquer medida que faça referência a uma coluna restrita será, ela própria, restringida.

Considere um exemplo de uma tabela de funcionários. Ele contém colunas que armazenam o nome e o número de telefone do funcionário, além do salário. Você pode usar o OLS para garantir que apenas determinados usuários, como funcionários seniores de Recursos Humanos, possam ver os valores salariais. Para aqueles usuários que não conseguem ver os valores salariais, é como se essa coluna não existisse.

Tenha cuidado, porque se um visual de relatório do Power BI incluir salário, os usuários que não tiverem acesso a esse campo receberão uma mensagem de erro. A mensagem informará que o objeto não existe. Para esses usuários, parece que o relatório está quebrado.

Atualmente, não há uma interface no Power BI Desktop para configurar o OLS. Você pode usar o Editor de Tabelas, que é uma ferramenta de terceiros para criar, manter e gerenciar modelos. Para obter mais informações, consulte o cenário de uso de gerenciamento avançado de modelo de dados.

Para obter mais informações sobre o OLS, consulte Restringir o acesso a objetos de modelo do Power BI.

Lista de verificação - Ao planear a SPI e o apoio linguístico em linha, as principais decisões e ações incluem:

Conteúdos relacionados

No próximo artigo desta série, saiba mais sobre o planejamento de segurança para criadores de conteúdo responsáveis pela criação de modelos semânticos, fluxos de dados, datamarts, relatórios ou painéis.