Retiro de las políticas de acceso de Microsoft Purview para SQL

Aplica a:Azure SQL Database Azure SQL Managed Instance SQL Server enabled by Azure Arc

Las políticas de acceso de Microsoft Purview para SQL, que incluyen políticas DevOps, políticas de propietario de datos y políticas de autoservicio, se retirarán el 30 de octubre de 2027. En este artículo se explica qué va a cambiar, cómo saber si le afecta y cómo trasladar el acceso que esas directivas conceden a los roles y permisos nativos de SQL.

La retirada se aplica a Azure SQL Database, Azure SQL Managed Instance y Azure Arc-enabled SQL Server 2022.

Qué está cambiando

Las políticas de acceso de Microsoft Purview para SQL se retiran el 30 de octubre de 2027.

En lugar de políticas de acceso de Microsoft Purview, utiliza el modelo nativo de autorización de SQL, que asigna roles y permisos SQL a los usuarios y grupos de Microsoft Entra.

Hasta el 30 de octubre de 2027, tus políticas actuales de DevOps, de propietario de datos y de autoservicio seguirán funcionando como lo hacen hoy. Después de esa fecha, SQL ya no los hace cumplir y elimina cualquier acceso concedido a través de ellos.

Quién se ve afectado

Si su organización utiliza las directivas de Microsoft Purview DevOps, de propietario de datos o de autoservicio para conceder acceso a los recursos de SQL, los usuarios perderán el acceso a partir del 30 de octubre de 2027 a menos que configure los permisos equivalentes mediante la autorización nativa de SQL.

Cómo identificar los recursos afectados

Usa cualquiera de los métodos. El portal de Purview te muestra las propias directivas. Azure Resource Graph te muestra qué recursos SQL tienen activada la gobernanza externa, lo cual es útil cuando gestionas muchas suscripciones.

Revisa las políticas en el portal de Microsoft Purview

Para listar políticas, necesitas los roles de Autor de Políticas, Administrador de Fuentes de Datos, Curador de Datos o Lector de Datos en el nivel de la colección raíz.

Inicie sesión en el portal de gobernanza de Microsoft Purview.
En el panel izquierdo, selecciona Política de datos y luego políticas DevOps para revisar tus políticas DevOps.
Selecciona políticas de datos para revisar tus políticas de propietario de datos.
Seleccione políticas de acceso de autoservicio para revisar las políticas de autoservicio que Purview creó a partir de solicitudes de acceso aprobadas.
Identifica las políticas aplicables a Azure SQL Database, Azure SQL Managed Instance o Azure Arc-enabled SQL Server 2022.

Estos artículos de Microsoft Purview describen la configuración de políticas en cada plataforma: Azure SQL Database, Azure SQL Managed Instance y SQL Server 2022 habilitado para Azure Arc. Para conocer qué hacen las políticas, véase Conceptos de las directivas de DevOps de Microsoft Purview.

Uso de Azure Resource Graph

Las siguientes consultas identifican los recursos SQL que actualmente tienen activadas las políticas de acceso a Purview.

Para Azure SQL Database:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para SQL Server habilitado para Azure Arc 2022:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migrar a roles nativos y permisos SQL

Sustituye cada acción de política de Purview por un rol fijo a nivel de servidor, asignado a los mismos usuarios y grupos de Microsoft Entra. Los siguientes roles están disponibles en Azure SQL Database, Azure SQL Managed Instance y SQL Server habilitado para Azure Arc 2022.

Acción de directiva de Purview	Rol equivalente de servidor SQL
Monitorización del rendimiento de SQL	`##MS_ServerPerformanceStateReader##`, `##MS_PerformanceDefinitionReader##`
Auditoría de seguridad SQL	`##MS_ServerSecurityStateReader##`, `##MS_SecurityDefinitionReader##`
Conectarse a una base de datos sin un usuario de base de datos	`##MS_DatabaseConnector##`

Asigna solo los roles que requiera la función del puesto. Los cuatro roles del lector son cada uno más limitados que ##MS_ServerStateReader## y ##MS_DefinitionReader##, lo que te ayuda a cumplir con el principio del menor privilegio.

Para la lista completa de roles y los permisos que cada uno concede, véase Roles a nivel de servidor y roles de servidor de Azure SQL Database para la gestión de permisos.

Note

En Azure SQL Database, ejecuta CREATE LOGIN y ALTER SERVER ROLE mientras estés conectado a la base de datos virtual master.

Reemplazar el acceso de supervisión del rendimiento de SQL

Crea un inicio de sesión para un grupo de seguridad de Microsoft Entra y luego añádelo a los roles fijos de servidor orientados al rendimiento que necesite tu escenario.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Reemplazar el acceso de auditoría de seguridad de SQL

Crea un login para un grupo de seguridad de Microsoft Entra y luego asigna los roles Estado de seguridad y Lector de definiciones de seguridad que coincidan con las responsabilidades de auditoría que estás conservando.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Permitir conexiones sin un usuario de base de datos

Si una política de Purview permite que un principal se conecte a una base de datos sin que un usuario esté provisionado en esa base de datos, utiliza el ##MS_DatabaseConnector## rol fijo de servidor.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];

Enfoque migratorio recomendado

Crea grupos de seguridad de Microsoft Entra que representen funciones del puesto, como monitores de rendimiento SQL, auditores de seguridad SQL, operaciones SQL y propietarios de datos SQL.
Cree el inicio de sesión de SQL o el usuario de base de datos correspondientes a cada grupo de Microsoft Entra.
Asigna solo los roles fijos de servidor, roles de base de datos o permisos explícitos que requiera la función del trabajo.
Prueba primero los scripts en un entorno no productivo y compara los permisos efectivos con el acceso que otorgó la política de Purview.
Valida el acceso con usuarios representativos antes de eliminar la dependencia de la política de Purview.
Mantén un plan de reversión y elimina las asignaciones heredadas solo después de que termine la validación.

Acción requerida

Para evitar perder el acceso:

Identifica los recursos SQL gobernados por Microsoft Purview DevOps, el propietario de los datos o las políticas de autoservicio.
Revisa los usuarios y grupos que reciben acceso a través de esas políticas.
Recrea el acceso usando roles nativos de SQL y permisos asignados a los usuarios y grupos de Microsoft Entra.
Valida el nuevo acceso antes del 30 de octubre de 2027.
Elimina tus dependencias restantes de las políticas de acceso de Purview para recursos SQL.

Preguntas más frecuentes

¿Qué se va a retirar?

Las políticas de acceso de Microsoft Purview para SQL, que incluyen políticas DevOps, políticas de propietario de datos y políticas de autoservicio, para Azure SQL Database, Azure SQL Managed Instance y SQL Server habilitado para Azure Arc 2022.

¿Mis pólizas actuales se ven afectadas hoy?

N. º Tus pólizas actuales siguen funcionando hasta el 30 de octubre de 2027.

¿Qué ocurre después del 30 de octubre de 2027?

SQL deja de hacer cumplir las políticas de acceso de Purview. El acceso que otorgaban esas directivas ya no está disponible.

¿Qué debería usar en su lugar?

La autorización integrada de SQL, que asigna roles y permisos fijos a nivel de servidor a los usuarios y grupos de Microsoft Entra. Consulta Migrar a roles y permisos nativos de SQL.

¿Cómo sé si me ha afectado?

Revisa tus políticas de DevOps, propietario de datos y autoservicio en el Microsoft Purview portal, y ejecuta las consultas de Azure Resource Graph en Cómo identificar los recursos afectados.

Comentarios

¿Le ha resultado útil esta página?

Se actualizó por última vez el 2026-10-12