Tutorial: Solución de problemas de las directivas de Microsoft Purview para orígenes de datos SQL

En este tutorial, aprenderá a emitir comandos SQL para inspeccionar las directivas de Microsoft Purview que se han comunicado a la instancia de SQL, donde se aplicarán. También aprenderá a forzar una descarga de las directivas en la instancia SQL. Estos comandos solo se usan para solucionar problemas y no son necesarios durante el funcionamiento normal de las directivas de Microsoft Purview. Estos comandos requieren un nivel más alto de privilegios en la instancia de SQL.

Para obtener más información sobre las directivas de Microsoft Purview, consulta las guías conceptuales que se enumeran en la sección Pasos siguientes .

Requisitos previos

• Una suscripción de Azure. Si aún no tienes una, crea una suscripción gratuita.
• Una cuenta de Microsoft Purview. Si no tienes una, consulta el inicio rápido para crear una cuenta de Microsoft Purview.
• Registre un origen de datos, habilite la aplicación de directivas de datos y cree una directiva. Para hacerlo, usa una de las guías de directivas de Microsoft Purview. Para seguir los ejemplos de este tutorial, puede crear una directiva de DevOps para Azure SQL Database.

Probar la directiva

Una vez creada una directiva, las entidades de seguridad de Microsoft Entra a las que se hace referencia en el Asunto de la directiva deben poder conectarse a cualquier base de datos del servidor en el que se publiquen las directivas.

Forzar la descarga de directivas

Es posible forzar una descarga inmediata de las últimas directivas publicadas en la base de datos SQL actual ejecutando el siguiente comando. El permiso mínimo necesario para ejecutar su pertenencia en el rol ##MS_ServerStateManager##-servidor.

-- Force immediate download of latest published policies
exec sp_external_policy_refresh reload

Analizar el estado de directiva descargado desde SQL

Las siguientes DMV se pueden usar para analizar qué directivas se han descargado y están asignadas actualmente a entidades de seguridad de Microsoft Entra. El permiso mínimo necesario para ejecutarlos es VER ESTADO DE SEGURIDAD DE LA BASE DE DATOS - o Auditor de seguridad de SQL del grupo de acciones asignado.

-- Lists generally supported actions
SELECT * FROM sys.dm_server_external_policy_actions

-- Lists the roles that are part of a policy published to this server
SELECT * FROM sys.dm_server_external_policy_roles

-- Lists the links between the roles and actions, could be used to join the two
SELECT * FROM sys.dm_server_external_policy_role_actions

-- Lists all Microsoft Entra ID principals that were given connect permissions  
SELECT * FROM sys.dm_server_external_policy_principals

-- Lists Microsoft Entra ID principals assigned to a given role on a given resource scope
SELECT * FROM sys.dm_server_external_policy_role_members

-- Lists Microsoft Entra ID principals, joined with roles, joined with their data actions
SELECT * FROM sys.dm_server_external_policy_principal_assigned_actions

Pasos siguientes

Guías conceptuales para las directivas de acceso a Microsoft Purview:

• Directivas de DevOps
• Directivas de acceso a autoservicio
• Directivas del propietario de los datos