Einstellung der Microsoft Purview-Zugriffsrichtlinien für SQL

Gilt für:Azure SQL-DatenbankAzure SQL Managed InstanceSQL Server mit Azure Arc-Unterstützung

Microsoft Purview-Zugriffsrichtlinien für SQL, zu denen DevOps-Richtlinien, Dateninhaber-Richtlinien und Self-Service-Richtlinien gehören, werden am 30. Oktober 2027 eingestellt. Dieser Artikel erklärt, was sich ändert, wie man erkennt, ob man betroffen ist, und wie man den durch diese Richtlinien gewährten Zugriff auf SQL-native Rollen und Berechtigungen übertragen kann.

Die Einstellung gilt für Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Arc-fähigen SQL Server 2022.

Was ändert sich?

Die Microsoft Purview-Zugriffsrichtlinien für SQL werden am 30. Oktober 2027 eingestellt.

Anstelle von Microsoft Purview-Zugriffsrichtlinien verwenden Sie das native Autorisierungsmodell von SQL, das SQL-Rollen und -Berechtigungen an Microsoft Entra-Benutzer und -Gruppen zuweist.

Bis zum 30. Oktober 2027 funktionieren Ihre bestehenden DevOps-, Daten-Owner- und Self-Service-Richtlinien weiterhin wie heute. Ab diesem Datum setzt SQL sie nicht mehr durch und entfernt jeglichen über sie gewährten Zugriff.

Wer betroffen ist

Wenn Ihre Organisation Microsoft Purview DevOps-, Data Owner- oder Self-Service-Richtlinien verwendet, um Zugriff auf SQL-Ressourcen zu gewähren, verlieren Ihre Nutzer nach dem 30. Oktober 2027 den Zugriff, sofern Sie keine entsprechenden Berechtigungen durch die native SQL-Autorisierung konfigurieren.

Wie man betroffene Ressourcen identifiziert

Verwenden Sie eine der beiden Methoden. Das Purview-Portal zeigt Ihnen die Richtlinien selbst an. Azure Resource Graph zeigt Ihnen, bei welchen SQL-Ressourcen die externe Governance aktiviert ist, was nützlich ist, wenn Sie viele Abonnements verwalten.

Richtlinien im Microsoft Purview Portal überprüfen

Um Richtlinien aufzulisten, benötigen Sie die Rolle Policy Author, Data Source Admin, Data Curator oder Data Reader auf der Ebene der Root-Collection.

  1. Melden Sie sich beim Microsoft Purview-Governanceportal an.
  2. Im linken Fenster wählen Sie Datenrichtlinien und wählen Sie dann DevOps-Richtlinien aus, um Ihre DevOps-Richtlinien zu überprüfen.
  3. Wählen Sie Datenrichtlinien, um Ihre Richtlinien für Dateneigentümer zu überprüfen.
  4. Wählen Sie Self-Service-Zugriffsrichtlinien , um die von Purview erstellten Self-Service-Richtlinien aus genehmigten Zugriffsanfragen einzusehen.
  5. Identifizieren Sie die Richtlinien, die für Azure SQL-Datenbank, Azure SQL Managed Instance oder Azure Arc-enabled SQL Server 2022 gelten.

Diese Microsoft Purview-Artikel beschreiben die Richtlinienkonfiguration auf jeder Plattform: Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Arc-enabled SQL Server 2022. Für Hintergrundinformationen zu den Richtlinien siehe Microsoft Purview DevOps Policies Concepts.

Verwenden von Azure Resource Graph

Die folgenden Abfragen identifizieren SQL-Ressourcen, die derzeit Purview-Zugriffsrichtlinien aktiviert haben.

Für Azure SQL-Datenbank:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Für Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Für Azure Arc-enabled SQL Server 2022:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Zu SQL-nativen Rollen und Berechtigungen migrieren

Ersetzen Sie jede Purview-Richtlinienaktion durch eine feste Server-Rolle, die denselben Microsoft Entra-Benutzern und -Gruppen zugewiesen wird. Die folgenden Rollen sind auf Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Arc-fähigem SQL Server 2022 verfügbar.

Purview-Richtlinien-Aktion Äquivalente SQL-Serverrolle
SQL-Leistungsüberwachung ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
SQL-Sicherheitsprüfung ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Verbinden Sie sich mit einer Datenbank ohne Datenbankbenutzerkonto ##MS_DatabaseConnector##

Weisen Sie nur die Rollen zu, die die Jobfunktion verlangt. Die vier Leserrollen sind jeweils enger als ##MS_ServerStateReader## und ##MS_DefinitionReader##, was Ihnen hilft, das Prinzip des geringsten Privilegs einzuhalten.

Für die vollständige Liste der Rollen und die Berechtigungen, die jede gewährt, siehe Server-Level Roles und Azure SQL-Datenbank Server Roles für Berechtigungsmanagement.

Note

Führen Sie in der Azure SQL-Datenbank CREATE LOGIN und ALTER SERVER ROLE aus, während Sie mit der virtuellen master-Datenbank verbunden sind.

SQL-Performance-Monitoring-Zugriff ersetzen

Erstellen Sie einen Login für eine Microsoft Entra-Sicherheitsgruppe und fügen Sie ihn dann den leistungsorientierten festen Serverrollen hinzu, die Ihr Szenario benötigt.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

SQL-Sicherheitsauditzugriff ersetzen

Erstellen Sie eine Anmeldung für eine Microsoft Entra-Sicherheitsgruppe, und weisen Sie dann die Rollen „Sicherheitsstatusleser“ und „Sicherheitsdefinitionsleser“ zu, die den beizubehaltenden Überprüfungsverantwortlichkeiten entsprechen.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Verbindungen ohne Datenbankbenutzerkonto erlauben

Wenn eine Purview-Richtlinie es einem Prinzipal erlaubt, sich mit einer Datenbank zu verbinden, ohne dass ein Benutzer in dieser Datenbank bereitgestellt ist, verwenden Sie die feste ##MS_DatabaseConnector## Serverrolle.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Erstelle Microsoft Entra-Sicherheitsgruppen, die Jobfunktionen repräsentieren, wie SQL-Leistungsmonitore, SQL-Sicherheitsprüfer, SQL-Operationen und SQL-Dateneigentümer.
  • Erstelle den entsprechenden SQL-Login oder Datenbankbenutzer für jede Microsoft Entra-Gruppe.
  • Weisen Sie nur die festen Serverrollen, Datenbankrollen oder explizite Berechtigungen zu, die die Jobfunktion benötigt.
  • Teste die Skripte zuerst in einer nicht-produktiven Umgebung und vergleiche die effektiven Berechtigungen mit dem Zugriff, den die Purview-Richtlinie gewährt hat.
  • Validieren Sie den Zugriff mit repräsentativen Nutzern, bevor Sie die Abhängigkeit von der Purview-Richtlinie entfernen.
  • Halte einen Rollback-Plan bereit und entferne die alten Zuweisungen erst nach Abschluss der Validierung.

Erforderliche Aktion

Um einen Verlust des Zugangs zu vermeiden:

  1. Identifizieren Sie die SQL-Ressourcen, die von Microsoft Purview DevOps, Datenbesitzern oder Self-Service-Richtlinien gesteuert werden.
  2. Überprüfen Sie die Nutzer und Gruppen, die über diese Richtlinien Zugriff erhalten.
  3. Erstelle den Zugriff nach, indem du SQL-native Rollen und Berechtigungen verwendest, die Microsoft Entra-Nutzern und -Gruppen zugewiesen sind.
  4. Validieren Sie den neuen Zugriff bis zum 30. Oktober 2027.
  5. Entferne deine verbleibenden Abhängigkeiten von Purview-Zugriffsrichtlinien für SQL-Ressourcen.

Häufig gestellte Fragen

Was wird eingestellt?

Microsoft Purview-Zugriffsrichtlinien für SQL, darunter DevOps-Richtlinien, Dateninhaber-Richtlinien und Self-Service-Richtlinien für Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Arc-fähigen SQL Server 2022.

Sind meine bestehenden Versicherungspolicen heute davon betroffen?

No. Ihre bestehenden Policen gelten weiterhin bis zum 30. Oktober 2027.

Was passiert nach dem 30. Oktober 2027?

SQL hört auf, Purview-Zugriffsrichtlinien durchzusetzen. Der Zugriff, den diese Richtlinien gewähren, ist nicht mehr verfügbar.

Was sollte ich stattdessen verwenden?

Die von SQL integrierte Autorisierung, die feste Server-Rollen und Berechtigungen an Microsoft Entra-Benutzer und -Gruppen zuweist. Siehe Migration zu SQL-nativen Rollen und Berechtigungen.

Woran erkenne ich, ob ich betroffen bin?

Überprüfen Sie Ihre DevOps-, Datenbesitzer- und Self-Service-Richtlinien im Microsoft Purview-Portal, und führen Sie die Azure Resource Graph-Abfragen in So identifizieren Sie betroffene Ressourcen aus.

Verwandte Inhalte

  • Zuletzt aktualisiert um