Lesezugriff auf Azure Arc-aktiviertes SQL Server 2022 mithilfe von Microsoft Purview bereitstellen Datenbesitzerrichtlinien (Vorschau)

Datenbesitzerrichtlinien sind eine Art von Microsoft Purview-Zugriffsrichtlinien. Sie ermöglichen Ihnen die Verwaltung des Zugriffs auf Benutzerdaten in Quellen, die für die Erzwingung von Datenrichtlinien in Microsoft Purview registriert wurden. Diese Richtlinien können direkt im Microsoft Purview-Governanceportal erstellt und nach der Veröffentlichung von der Datenquelle erzwungen werden.

In diesem Leitfaden wird erläutert, wie ein Datenbesitzer Erstellungsrichtlinien in Microsoft Purview delegieren kann, um den Zugriff auf Azure Arc-fähige SQL Server zu ermöglichen. Die folgenden Aktionen sind derzeit aktiviert: Lesen. Diese Aktion wird nur für Richtlinien auf Serverebene unterstützt. Ändern wird an dieser Stelle nicht unterstützt.

Voraussetzungen

• Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.

• Ein neues oder vorhandenes Microsoft Purview-Konto. Befolgen Sie diese Schnellstartanleitung, um eine zu erstellen.

• Laden Sie die lokale SQL Server-Version 2022 herunter, und installieren Sie sie. Versionen 2022 oder höher werden sowohl unter Windows als auch unter Linux unterstützt. Sie können die kostenlose Developer Edition ausprobieren.
• Konfigurieren Sie Ihre Berechtigungen, und registrieren Sie dann eine Liste von Ressourcenanbietern in dem Abonnement, das Sie zum Onboarding der SQL Server instance in Azure Arc verwenden möchten.
• Erfüllen Sie die Voraussetzungen, und integrieren Sie das SQL Server instance mit Azure Arc. Eine einfache Konfiguration für Windows SQL Server finden Sie hier. Eine alternative Konfiguration für Linux SQL Server finden Sie hier.
• Aktivieren Sie die Microsoft Entra-Authentifizierung in SQL Server. Führen Sie für eine einfachere Einrichtung die Voraussetzungen und den Prozess aus, die in diesem Artikel beschrieben werden.
• Denken Sie daran, Anwendungsberechtigungen zu erteilen und die Administratorzustimmung zu erteilen
• Sie müssen einen Microsoft Entra Administrator für die SQL Server instance konfigurieren, es ist jedoch nicht erforderlich, andere Microsoft Entra Benutzernamen oder Benutzer einzurichten. Sie gewähren diesen Benutzern Zugriff mithilfe von Microsoft Purview-Richtlinien.

Unterstützung für Regionen

Die Erzwingung von Datenrichtlinien ist in allen Microsoft Purview-Regionen verfügbar, mit folgenden Ausnahmen:

• USA, Westen 2
• Ostasien
• US Gov Virginia
• China, Norden 3

Sicherheitsüberlegungen für Azure Arc-aktivierte SQL Server

• Der Serveradministrator kann die Erzwingung der Microsoft Purview-Richtlinie deaktivieren.
• Azure Arc-Administrator- und Serveradministratorberechtigungen bieten die Möglichkeit, den Azure Resource Manager Pfad des Servers zu ändern. Da Zuordnungen in Microsoft Purview Resource Manager Pfade verwenden, kann dies zu falschen Richtlinienerzwingungen führen.
• Ein SQL Server Administrator (Datenbankadministrator) kann die Macht eines Serveradministrators erlangen und die zwischengespeicherten Richtlinien von Microsoft Purview manipulieren.
• Die empfohlene Konfiguration besteht darin, für jede SQL Server-Instance eine separate App-Registrierung zu erstellen. Diese Konfiguration verhindert, dass der zweite SQL Server instance die für den ersten SQL Server instance vorgesehenen Richtlinien liest, falls ein betrügerischer Administrator im zweiten SQL Server instance den Resource Manager Pfad manipuliert.

Überprüfen der Voraussetzungen

1. Melden Sie sich über diesen Link beim Azure-Portal an

2. Navigieren Sie im linken Bereich zu SQL Server . Sie sehen eine Liste von SQL Server-Instanzen in Azure Arc.

3. Wählen Sie die SQL Server instance aus, die Sie konfigurieren möchten.

4. Wechseln Sie im linken Bereich zu Microsoft Entra ID.

5. Stellen Sie sicher, dass die Microsoft Entra-Authentifizierung mit einer Administratoranmeldung konfiguriert ist. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Handbuch.

6. Stellen Sie sicher, dass für SQL Server ein Zertifikat bereitgestellt wurde, mit dem es sich bei Azure authentifizieren kann. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Handbuch.

7. Stellen Sie sicher, dass eine App-Registrierung eingegeben wurde, um eine Vertrauensstellung zwischen SQL Server und Microsoft Entra ID herzustellen. Wenn dies nicht der Fall ist, lesen Sie den Abschnitt Voraussetzungen für Zugriffsrichtlinien in diesem Handbuch.

8. Wenn Sie Änderungen vorgenommen haben, wählen Sie die Schaltfläche Speichern aus, um die Konfiguration zu speichern, und warten, bis der Vorgang erfolgreich abgeschlossen wurde. Dieser Vorgang kann einige Minuten in Anspruch nehmen. Die Meldung "Dies wurde erfolgreich gespeichert" wird oben auf der Seite in grünem Hintergrund angezeigt. Möglicherweise müssen Sie nach oben scrollen, um sie anzuzeigen.

Microsoft Purview-Konfiguration

Registrieren der Datenquelle in Microsoft Purview

Bevor eine Richtlinie in Microsoft Purview für eine Datenressource erstellt werden kann, müssen Sie diese Datenressource in Microsoft Purview Studio registrieren. Die Anweisungen zum Registrieren der Datenressource finden Sie weiter unten in diesem Leitfaden.

Konfigurieren Sie Berechtigungen, um die Erzwingung von Datenrichtlinien für die Datenquelle zu aktivieren

Sobald eine Ressource registriert ist, aber bevor eine Richtlinie in Microsoft Purview für diese Ressource erstellt werden kann, müssen Sie Berechtigungen konfigurieren. Eine Reihe von Berechtigungen ist erforderlich, um die Erzwingung der Datenrichtlinie zu ermöglichen. Dies gilt für Datenquellen, Ressourcengruppen oder Abonnements. Um die Erzwingung von Datenrichtlinien zu aktivieren, müssen Sie sowohl über bestimmte IAM-Berechtigungen (Identity and Access Management) für die Ressource als auch über bestimmte Microsoft Purview-Berechtigungen verfügen:

• Sie müssen entweder eine der folgenden IAM-Rollenkombinationen im Azure Resource Manager Pfad der Ressource oder ein übergeordnetes Element davon haben (d. h. unter Verwendung der IAM-Berechtigungsvererbung):

  • IAM-Eigentümer
  • Sowohl IAM-Mitwirkender als auch IAM-Administrator für Benutzerzugriff

  Folgen Sie dieser Anleitung, um Berechtigungen für die rollenbasierte Zugriffssteuerung (rollenbasierte Zugriffssteuerung, RBAC) für Azure zu konfigurieren. Der folgende Screenshot zeigt, wie Sie im Azure-Portal für die Datenressource auf den Abschnitt "Access Control" zugreifen, um eine Rollenzuweisung hinzuzufügen.

  

  Hinweis

  Die IAM-Eigentümerrolle für eine Datenressource kann von einer übergeordneten Ressourcengruppe, einem Abonnement oder einer Abonnementverwaltungsgruppe geerbt werden. Überprüfen Sie, welche Microsoft Entra-Benutzer, -Gruppen und -Dienstprinzipale die IAM-Eigentümerrolle für die Ressource besitzen oder erben.

• Außerdem benötigen Sie die Rolle "Microsoft Purview-Datenquellenadministrator " für die Sammlung oder eine übergeordnete Sammlung (wenn die Vererbung aktiviert ist). Weitere Informationen finden Sie im Handbuch zum Verwalten von Microsoft Purview-Rollenzuweisungen.

  Der folgende Screenshot zeigt, wie Sie die Rolle des Datenquellenadministrators auf Stammsammlungsebene zuweisen.

  

Konfigurieren von Microsoft Purview-Berechtigungen zum Erstellen, Aktualisieren oder Löschen von Zugriffsrichtlinien

Zum Erstellen, Aktualisieren oder Löschen von Richtlinien müssen Sie die Rolle des Richtlinienautors in Microsoft Purview auf Stammsammlungsebene abrufen:

• Die Rolle "Richtlinienautor " kann DevOps- und Datenbesitzerrichtlinien erstellen, aktualisieren und löschen.
• Die Rolle "Richtlinienautor" kann Self-Service-Zugriffsrichtlinien löschen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen in der Microsoft Purview Data Map.

Um beim Erstellen oder Aktualisieren des Betreffs einer Richtlinie auf einfache Weise Microsoft Entra-Benutzer oder -Gruppen durchsuchen zu können, können Sie außerdem von der Berechtigung "Verzeichnisleseberechtigte" in Microsoft Entra ID profitieren. Dies ist eine allgemeine Berechtigung für Benutzer in einem Azure-Mandanten. Ohne die Berechtigung "Verzeichnisleser" muss der Richtlinienautor den vollständigen Benutzernamen oder die vollständige E-Mail-Adresse für alle Prinzipale eingeben, die im Betreff einer Datenrichtlinie enthalten sind.

Konfigurieren von Microsoft Purview-Berechtigungen zum Veröffentlichen von Richtlinien für Datenbesitzer

Datenbesitzerrichtlinien ermöglichen Checks and Balances, wenn Sie die Rollen "Microsoft Purview-Richtlinienautor" und "Datenquellenadministrator" verschiedenen Personen in der organization zuweisen. Bevor eine Data Owner-Richtlinie wirksam wird, muss eine zweite Person (Datenquellenadministrator) sie überprüfen und durch Veröffentlichung explizit genehmigen. Dies gilt nicht für DevOps- oder Self-Service-Zugriffsrichtlinien, da die Veröffentlichung für sie automatisch erfolgt, wenn diese Richtlinien erstellt oder aktualisiert werden.

Um eine Datenbesitzerrichtlinie zu veröffentlichen, müssen Sie die Rolle des Datenquellenadministrators in Microsoft Purview auf Stammsammlungsebene abrufen.

Weitere Informationen zum Verwalten von Microsoft Purview-Rollenzuweisungen finden Sie unter Erstellen und Verwalten von Sammlungen in der Microsoft Purview Data Map.

Delegieren der Verantwortung für die Zugriffsbereitstellung an Rollen in Microsoft Purview

Nachdem eine Ressource für die Erzwingung von Datenrichtlinien aktiviert wurde, kann jeder Microsoft Purview-Benutzer mit der Rolle "Richtlinienautor" auf der Stammsammlungsebene Zugriff auf diese Datenquelle über Microsoft Purview bereitstellen.

Wenn ein Microsoft Purview-Konto mit veröffentlichten Richtlinien gelöscht wird, werden diese Richtlinien innerhalb eines von der jeweiligen Datenquelle abhängigen Zeitraums nicht mehr erzwungen. Diese Änderung kann sich sowohl auf die Sicherheit als auch auf die Verfügbarkeit des Datenzugriffs auswirken. Die Rollen Mitwirkender und Besitzer in IAM können Microsoft Purview-Konten löschen. Sie können diese Berechtigungen überprüfen, indem Sie zum Abschnitt Zugriffssteuerung (IAM) für Ihr Microsoft Purview-Konto wechseln und Rollenzuweisungen auswählen. Sie können auch eine Sperre verwenden, um zu verhindern, dass das Microsoft Purview-Konto durch Resource Manager-Sperren gelöscht wird.

Registrieren von Datenquellen in Microsoft Purview

Registrieren Sie jede Datenquelle bei Microsoft Purview, um später Zugriffsrichtlinien zu definieren.

1. Melden Sie sich bei Microsoft Purview Studio an.

2. Navigieren Sie im linken Bereich zum Datenzuordnungsfeature , wählen Sie Quellen und dann Registrieren aus. Geben Sie "Azure Arc" in das Suchfeld ein, und wählen Sie SQL Server in Azure Arc aus. Wählen Sie dann Weiter aus.

   

3. Geben Sie einen Namen für diese Registrierung ein. Es empfiehlt sich, im nächsten Schritt den Namen der Registrierung mit dem Servernamen abzugleichen.

4. Wählen Sie ein Azure-Abonnement, den Servernamen und den Serverendpunkt aus.

5. Wählen Sie eine Sammlung aus, in der diese Registrierung abgelegt werden soll.

6. Aktivieren Sie die Erzwingung der Datenrichtlinie. Die Erzwingung von Datenrichtlinien erfordert bestimmte Berechtigungen und kann sich auf die Sicherheit Ihrer Daten auswirken, da sie an bestimmte Microsoft Purview-Rollen delegiert wird, um den Zugriff auf die Datenquellen zu verwalten. Gehen Sie in diesem Leitfaden die sicheren Methoden im Zusammenhang mit der Durchsetzung von Datenschutzrichtlinien durch: So aktivieren Sie die Erzwingung von Datenrichtlinien

7. Wählen Sie unten Registrieren oder Anwenden aus.

Sobald für Ihre Datenquelle der Schalter zur Erzwingung der Datenrichtlinieaktiviert ist, sieht sie wie im folgenden Bild aus.

Richtlinien in Azure Arc-aktiviertem SQL Server aktivieren

In diesem Abschnitt werden die Schritte zum Konfigurieren von SQL Server in Azure Arc für die Verwendung von Microsoft Purview beschrieben. Führen Sie diese Schritte aus, nachdem Sie die Option zur Erzwingung der Datenrichtlinie für diese Datenquelle im Microsoft Purview-Konto aktiviert haben.

1. Melden Sie sich über diesen Link beim Azure-Portal an

2. Navigieren Sie im linken Bereich zu SQL Server . Sie sehen eine Liste von SQL Server-Instanzen in Azure Arc.

3. Wählen Sie die SQL Server instance aus, die Sie konfigurieren möchten.

4. Wechseln Sie im linken Bereich zu Microsoft Entra ID.

5. Scrollen Sie nach unten zu Microsoft Purview-Zugriffsrichtlinien.

6. Wählen Sie die Schaltfläche aus, um die Microsoft Purview-Governance zu überprüfen. Warten Sie, während die Anforderung verarbeitet wird. In dieser Zeit wird diese Meldung oben auf der Seite angezeigt. Möglicherweise müssen Sie nach oben scrollen, um sie anzuzeigen.

   

7. Bestätigen Sie unten auf der Seite, dass der Microsoft Purview-Governancestatus angezeigt wird Governed. Beachten Sie, dass es bis zu 30 Minuten dauern kann, bis der richtige Status angezeigt wird. Fahren Sie mit einer Browseraktualisierung fort, bis dies geschieht.

8. Vergewissern Sie sich, dass der Microsoft Purview-Endpunkt auf das Microsoft Purview-Konto verweist, in dem Sie diese Datenquelle registriert und die Erzwingung der Datenrichtlinie aktiviert haben

Erstellen und Veröffentlichen einer Data Owner-Richtlinie

Führen Sie die Schritte in den Abschnitten "Erstellen einer neuen Richtlinie " und " Veröffentlichen einer Richtlinie " des Lernprogramms zum Erstellen von Richtlinien für Datenbesitzer aus. Das Ergebnis ist eine Datenbesitzerrichtlinie ähnlich dem Beispiel:

Beispiel: Richtlinie lesen. Diese Richtlinie weist den Microsoft Entra-Prinzipal "sg-Finance" der SQL-Datenleseaktion im Bereich von SQL Server DESKTOP-xxx zu. Diese Richtlinie wurde auch auf diesem Server veröffentlicht. Beachten Sie, dass Richtlinien im Zusammenhang mit dieser Aktion unterhalb der Serverebene nicht unterstützt werden.

Aufheben der Veröffentlichung einer Datenbesitzerrichtlinie

Folgen Sie diesem Link für die Schritte zum Aufheben der Veröffentlichung einer Datenbesitzerrichtlinie in Microsoft Purview.

Aktualisieren oder Löschen einer Datenbesitzerrichtlinie

Folgen Sie diesem Link für die Schritte zum Aktualisieren oder Löschen einer Datenbesitzerrichtlinie in Microsoft Purview.

Testen der Richtlinie

Nachdem die Richtlinie veröffentlicht und an die Datenquelle übermittelt wurde, sollte jeder der Microsoft Entra-Benutzer im Subject in der Lage sein, eine Verbindung herzustellen und eine Abfrage auszuführen, die auf die Ressourcen abzielt, auf die die Richtlinie Zugriff gewährt hat. Verwenden Sie zum Testen SSMS oder einen beliebigen SQL-Client, und versuchen Sie die Abfrage. Versuchen Sie beispielsweise, auf eine SQL-Tabelle zuzugreifen, für die Sie Lesezugriff gewährt haben.

Wenn Sie weitere Informationen zur Problembehandlung benötigen, lesen Sie den Abschnitt "Nächste Schritte " in diesem Handbuch.

Details zur Rollendefinition

Dieser Abschnitt enthält einen Verweis darauf, wie relevante Microsoft Purview-Datenrichtlinienrollen bestimmten Aktionen in SQL-Datenquellen zugeordnet werden.

Nächste Schritte

Blog, Demos und verwandte Anleitungen ansehen

• Dokument: Konzepte für Microsoft Purview-Richtlinien für Datenbesitzer
• Dokument: Microsoft Purview-Datenbesitzerrichtlinien für alle Datenquellen in einem Abonnement oder einer Ressourcengruppe
• Dokument: Microsoft Purview-Datenbesitzerrichtlinien für eine Azure SQL Datenbank
• Dokument: Problembehandlung von Microsoft Purview-Richtlinien für SQL-Datenquellen
• Blog: Benutzern Zugriff auf Datenressourcen in Ihrem Unternehmen per API gewähren