Aprovisionar acceso de lectura a SQL Server 2022 habilitado para Azure Arc mediante Microsoft Purview Directivas de propietario de datos (versión preliminar)

Las directivas de propietario de datos son un tipo de directivas de acceso de Microsoft Purview. Permiten administrar el acceso a datos de usuario en orígenes que se han registrado para el cumplimiento de directivas de datos en Microsoft Purview. Estas directivas se pueden crear directamente en el portal de gobierno de Microsoft Purview y, después de la publicación, el origen de datos las aplica.

En esta guía se explica cómo un propietario de datos puede delegar las directivas de creación en Microsoft Purview para habilitar el acceso a SQL Server habilitado para Azure Arc. Las siguientes acciones están habilitadas actualmente: Lectura. Esta acción solo se admite para directivas en el nivel de servidor. En este momento, no se admite la modificación.

Requisitos previos

• Una cuenta de Azure con una suscripción activa. Cree una cuenta de forma gratuita.

• Una cuenta de Microsoft Purview nueva o existente. Siga esta guía de inicio rápido para crear uno.

• Obtenga la versión 2022 de SQL Server local e instálela. Las versiones 2022 o más recientes son compatibles tanto con Windows como con Linux. Puedes probar la edición gratuita para desarrolladores.
• Configure los permisos y, a continuación, registre una lista de proveedores de recursos en la suscripción que usará para incorporar la instancia de SQL Server a Azure Arc.
• Complete los requisitos previos e incorpore la instancia de SQL Server con Azure Arc. Ya está aquí una configuración sencilla para Windows SQL Server. Aquí hay una configuración alternativa para Linux SQL Server.
• Habilite la autenticación de Microsoft Entra en SQL Server. Para una configuración más sencilla, complete los requisitos previos y el proceso descrito en este artículo.
• Recuerde conceder permisos de aplicación y conceder el consentimiento del administrador
• Debe configurar un administrador de Microsoft Entra para la instancia de SQL Server, pero no es necesario configurar otros inicios de sesión o usuarios de Microsoft Entra. Concederás acceso a esos usuarios mediante directivas de Microsoft Purview.

Regiones admitidas

La aplicación de directivas de datos está disponible en todas las regiones de Microsoft Purview excepto:

• West US2
• Asia Oriental
• Gobierno de EE. UU. de Virginia
• Norte de China 3

Consideraciones de seguridad para SQL Server habilitado para Azure Arc

• El administrador del servidor puede desactivar la aplicación de directivas de Microsoft Purview.
• Azure permisos de administrador de Arc y administrador del servidor permiten cambiar la ruta de acceso Azure Resource Manager del servidor. Dado que las asignaciones en Microsoft Purview usan rutas de acceso de Resource Manager, puede dar lugar a una aplicación incorrecta de directivas.
• Un administrador de SQL Server (administrador de bases de datos) puede obtener el poder de un administrador de servidor y puede manipular las directivas almacenadas en caché de Microsoft Purview.
• La configuración recomendada consiste en crear un registro de aplicación independiente para cada instancia de SQL Server. Esta configuración impide que la segunda instancia de SQL Server lea las directivas destinadas a la primera instancia de SQL Server, en caso de que un administrador no autorizado de la segunda instancia de SQL Server manipule la ruta de acceso de Resource Manager.

Comprobar los requisitos previos

1. Inicie sesión en Azure Portal a través de este vínculo

2. Vaya a los servidores SQL Server en el panel izquierdo. Verá una lista de instancias de SQL Server en Azure Arc.

3. Seleccione la instancia de SQL Server que desee configurar.

4. Vaya a Microsoft Entra ID en el panel izquierdo.

5. Asegúrese de que la autenticación de Microsoft Entra está configurada con un inicio de sesión de administrador. Si no es así, consulte la sección de requisitos previos de la directiva de acceso en esta guía.

6. Asegúrese de que se ha proporcionado un certificado para que SQL Server se autentique en Azure. Si no es así, consulte la sección de requisitos previos de la directiva de acceso en esta guía.

7. Asegúrese de que se ha especificado un registro de aplicación para crear una relación de confianza entre SQL Server y Microsoft Entra ID. Si no es así, consulte la sección de requisitos previos de la directiva de acceso en esta guía.

8. Si ha realizado algún cambio, seleccione el botón Guardar para guardar la configuración y espere hasta que la operación se complete correctamente. Este proceso puede tardar unos minutos. El mensaje "Guardado correctamente" se mostrará en la parte superior de la página con fondo verde. Es posible que tenga que desplazarse hacia arriba para verlo.

Configuración de Microsoft Purview

Registrar el origen de datos en Microsoft Purview

Antes de crear una directiva en Microsoft Purview para un recurso de datos, debe registrar ese recurso de datos en Microsoft Purview Studio. Encontrará las instrucciones relacionadas con el registro del recurso de datos más adelante en esta guía.

Configurar los permisos para habilitar la aplicación de directivas de datos en el origen de datos

Una vez que se registra un recurso, pero antes de que se pueda crear una directiva en Microsoft Purview para ese recurso, debe configurar los permisos. Se necesita un conjunto de permisos para habilitar la aplicación de directivas de datos. Esto se aplica a los orígenes de datos, los grupos de recursos o las suscripciones. Para habilitar la aplicación de directivas de datos, debe tener privilegios específicos de Administración de identidad y acceso (IAM) en el recurso, así como privilegios específicos de Microsoft Purview:

• Debe tener una de las siguientes combinaciones de roles de IAM en la ruta de acceso Azure Resource Manager del recurso o en cualquier elemento primario del mismo (es decir, mediante la herencia de permisos de IAM):

  • Propietario de IAM
  • Colaborador de IAM y administrador de acceso de usuarios de IAM

  Para configurar los permisos de control de acceso basado en roles (RBAC) de Azure, siga esta guía. En la captura de pantalla siguiente se muestra cómo acceder a la sección Access Control en Azure Portal para que el recurso de datos agregue una asignación de roles.

  

  Nota:

  El rol de propietario de IAM para un recurso de datos se puede heredar de un grupo de recursos principal, una suscripción o un grupo de administración de suscripciones. Compruebe qué usuarios, grupos y entidades de servicio de Microsoft Entra mantienen o heredan el rol de propietario de IAM para el recurso.

• También debe tener el rol de administrador del origen de datos de Microsoft Purview para la colección o una colección primaria (si la herencia está habilitada). Para obtener más información, consulta la guía sobre cómo administrar asignaciones de roles de Microsoft Purview.

  En la captura de pantalla siguiente se muestra cómo asignar el rol de administrador del origen de datos en el nivel de colección raíz.

  

Configurar los permisos de Microsoft Purview para crear, actualizar o eliminar directivas de acceso

Para crear, actualizar o eliminar directivas, debe obtener el rol de autor de directivas en Microsoft Purview en el nivel de colección raíz:

• El rol de autor de directivas puede crear, actualizar y eliminar directivas de DevOps y de propietario de datos.
• El rol de autor de la directiva puede eliminar las directivas de acceso de autoservicio.

Para obtener más información sobre cómo administrar asignaciones de roles de Microsoft Purview, consulte Crear y administrar colecciones en el Mapa de datos de Microsoft Purview.

Además, para buscar fácilmente usuarios o grupos de Microsoft Entra al crear o actualizar el asunto de una directiva, puede beneficiarse enormemente de obtener el permiso Lectores de directorio en Microsoft Entra ID. Se trata de un permiso común para los usuarios de un inquilino de Azure. Sin el permiso del lector de directorios, el autor de la directiva tendrá que escribir el nombre de usuario completo o el correo electrónico de todas las entidades incluidas en el asunto de una directiva de datos.

Configurar los permisos de Microsoft Purview para publicar directivas de propietario de datos

Las directivas de propietario de datos permiten comprobaciones y equilibrios si asigna los roles de autor de directiva de Microsoft Purview y administrador del origen de datos a diferentes personas de la organización. Antes de que una directiva de propietario de datos entre en vigor, una segunda persona (administrador del origen de datos) debe revisarla y aprobarla explícitamente. Esto no se aplica a las directivas de acceso de autoservicio o DevOps, ya que la publicación es automática para ellos cuando se crean o actualizan esas directivas.

Para publicar una directiva de propietario de datos, debe obtener el rol de administrador del origen de datos en Microsoft Purview en el nivel de recopilación raíz.

Para obtener más información sobre cómo administrar asignaciones de roles de Microsoft Purview, consulte Crear y administrar colecciones en el Mapa de datos de Microsoft Purview.

Delegar la responsabilidad de aprovisionamiento de acceso a los roles de Microsoft Purview

Después de habilitar un recurso para la aplicación de directivas de datos, cualquier usuario de Microsoft Purview con el rol de autor de directivas en el nivel de colección raíz puede proporcionar acceso a ese origen de datos desde Microsoft Purview.

Si se elimina una cuenta de Microsoft Purview con directivas publicadas, dichas directivas dejarán de aplicarse en un período de tiempo que depende del origen de datos específico. Este cambio puede tener implicaciones tanto en la seguridad como en la disponibilidad de acceso a datos. Los roles de colaborador y propietario de IAM pueden eliminar cuentas de Microsoft Purview. Para comprobar estos permisos, vaya a la sección Control de acceso (IAM) de su cuenta de Microsoft Purview y seleccione Asignaciones de roles. También puede usar un bloqueo para impedir que la cuenta de Microsoft Purview se elimine a través de bloqueos de Resource Manager.

Registrar orígenes de datos en Microsoft Purview

Registre cada origen de datos con Microsoft Purview para definir posteriormente las directivas de acceso.

1. Iniciar sesión en Microsoft Purview Studio.

2. Vaya a la característica Mapa de datos del panel izquierdo, seleccione Orígenes y, a continuación, seleccione Registrar. Escriba "Azure Arc" en el cuadro de búsqueda y seleccione SQL Server en Azure Arc. A continuación, seleccione Continuar.

   

3. Escriba un nombre para este registro. En el paso recomendado, se recomienda hacer que el nombre del registro coincida con el nombre del servidor en el siguiente paso.

4. Seleccione una suscripción de Azure, un nombre de servidor y un punto de conexión de servidor.

5. Seleccione una colección en la que colocar este registro.

6. Habilite el cumplimiento de directivas de datos. La aplicación de directivas de datos necesita determinados permisos y puede afectar a la seguridad de los datos, ya que delega en ciertos roles de Microsoft Purview administrar el acceso a los orígenes de datos. Revise las prácticas seguras relacionadas con el cumplimiento de directivas de datos en esta guía: Cómo habilitar el cumplimiento de directivas de datos

7. Seleccione Registrarse o Aplicar en la parte inferior.

Una vez que el origen de datos tenga habilitado el botón de alternancia Aplicación de directivas de datos, se verá como en esta imagen.

Habilitar directivas en SQL Server habilitado para Azure Arc

En esta sección se describen los pasos para configurar SQL Server en Azure Arc para usar Microsoft Purview. Ejecute estos pasos después de habilitar la opción de aplicación de directivas de datos para este origen de datos en la cuenta de Microsoft Purview.

1. Inicie sesión en Azure Portal a través de este vínculo

2. Vaya a los servidores SQL Server en el panel izquierdo. Verá una lista de instancias de SQL Server en Azure Arc.

3. Seleccione la instancia de SQL Server que desee configurar.

4. Vaya a Microsoft Entra ID en el panel izquierdo.

5. Desplázate hacia abajo hasta las directivas de acceso de Microsoft Purview.

6. Seleccione el botón para comprobar el gobierno de Microsoft Purview. Espera mientras se procesa la solicitud. Mientras esto sucede, este mensaje se mostrará en la parte superior de la página. Es posible que tenga que desplazarse hacia arriba para verlo.

   

7. En la parte inferior de la página, confirme que el estado de gobierno de Microsoft Purview muestra Governed. Tenga en cuenta que puede tardar hasta 30 minutos en reflejarse el estado correcto. Continúe realizando una actualización del explorador hasta que eso suceda.

8. Confirme que el punto de conexión de Microsoft Purview apunta a la cuenta de Microsoft Purview donde registró este origen de datos y habilitó la aplicación de la directiva de datos

Crear y publicar una directiva de propietario de datos

Ejecute los pasos de las secciones Crear una nueva directiva y Publicar una directiva del tutorial de creación de directivas de propietario de datos. El resultado será una directiva de propietario de datos similar al ejemplo:

Ejemplo: Directiva de lectura. Esta directiva asigna la entidad de seguridad de Microsoft Entra "sg-Finance" a la acción del lector de datos SQL, en el ámbito de SQL Server DESKTOP-xxx. Esta directiva también se ha publicado en ese servidor. Tenga en cuenta que las directivas relacionadas con esta acción no se admiten por debajo del nivel de servidor.

Cancelar la publicación de una directiva de propietario de datos

Siga este vínculo para conocer los pasos para anular la publicación de una directiva de propietario de datos en Microsoft Purview.

Actualizar o eliminar una directiva de propietario de datos

Siga este vínculo para conocer los pasos para actualizar o eliminar una directiva de propietario de datos en Microsoft Purview.

Probar la directiva

Una vez publicada la directiva y comunicada al origen de datos, cualquiera de los usuarios de Microsoft Entra en el asunto debe poder conectarse y ejecutar una consulta dirigida a los activos a los que la directiva concedió acceso. Para probar, use SSMS o cualquier cliente SQL e intente realizar una consulta. Por ejemplo, intente acceder a una tabla SQL a la que ha proporcionado acceso de lectura.

Si necesita soluciones de problemas adicionales, consulte la sección Pasos siguientes de esta guía.

Detalles de definición de roles

Esta sección contiene una referencia de cómo los roles relevantes de la directiva de datos de Microsoft Purview se asignan a acciones específicas en orígenes de datos SQL.

Pasos siguientes

Consulte el blog, la demostración y las guías de procedimientos relacionados

• Doc: Conceptos de las directivas de propietario de datos de Microsoft Purview
• Doc: Directivas de propietario de datos de Microsoft Purview en todos los orígenes de datos de una suscripción o un grupo de recursos
• Doc: Directivas de propietario de datos de Microsoft Purview en una base de datos de Azure SQL
• Documento: Solucionar problemas de directivas de Microsoft Purview para orígenes de datos SQL
• Blog: Conceder a los usuarios acceso a los activos de datos de su empresa a través de la API