Que puis-je accomplir avec les stratégies DevOps Microsoft Purview ?

Importante

Le catalogue unifié Microsoft Purview et les fonctionnalités classiques de gouvernance des données Microsoft Purview (anciennement Azure Purview) sont mis hors service. Microsoft consolide ses fonctionnalités de gouvernance des données dans Microsoft Fabric. Vous ne pouvez plus créer de comptes et les fonctionnalités existantes resteront en mode maintenance jusqu’au 12 novembre 2027. Pour connaître les délais de mise hors service, les conseils de transition et les prochaines étapes recommandées, consultez l’annonce de mise hors service de la gouvernance des données Microsoft Purview.

Remarque

Microsoft Purview Data Catalog (classique), Data Health Insights (classique) et Purview Workflow (classique) n’acceptent plus de nouveaux clients et ces services, auparavant Azure Purview, sont désormais en mode support client.

Cet article explique comment gérer l’accès aux sources de données de votre patrimoine de données à l’aide du portail de gouvernance Microsoft Purview. Il se concentre sur les concepts de base des stratégies DevOps. Il fournit donc des informations générales sur les stratégies DevOps que vous devez connaître avant de suivre d’autres articles pour obtenir les étapes de configuration.

Remarque

Cette fonctionnalité est différente du contrôle d’accès interne dans le portail de gouvernance Microsoft Purview.

L’accès aux métadonnées système est crucial pour le personnel informatique et DevOps afin de s’assurer que les systèmes de base de données critiques sont sains, fonctionnent conformément aux attentes et sont sécurisés. Vous pouvez accorder et révoquer cet accès de manière efficace et à grande échelle par le biais de stratégies DevOps Microsoft Purview.

Tout utilisateur qui détient le rôle d’auteur de stratégie au niveau de la collection racine dans Microsoft Purview peut créer, mettre à jour et supprimer des stratégies DevOps. Une fois les stratégies DevOps enregistrées, elles sont publiées automatiquement.

Stratégies d’accès et stratégies DevOps

Les politiques d’accès Microsoft Purview permettent aux clients de gérer l’accès aux systèmes de données sur l’ensemble de leur patrimoine de données, le tout à partir d’un emplacement central dans le cloud. Vous pouvez considérer ces stratégies comme des autorisations d’accès qui peuvent être créées via Microsoft Purview Studio, évitant ainsi le besoin de code. Ils déterminent si une liste de principaux de Microsoft Entra, tels que les utilisateurs et les groupes, doit être autorisée ou refuser un type spécifique d’accès à une source de données ou à une ressource au sein de celle-ci. Microsoft Purview communique ces stratégies aux sources de données, où elles sont nativement appliquées.

Les stratégies DevOps sont un type spécial de stratégies d’accès Microsoft Purview. Ils accordent l’accès aux métadonnées du système de base de données au lieu des données utilisateur. Ils simplifient l’approvisionnement des accès pour les opérations informatiques et le personnel d’audit de sécurité. Les stratégies DevOps accordent uniquement l’accès. Ils ne refusent pas l’accès.

Éléments d’une stratégie DevOps

Trois éléments définissent une stratégie DevOps :

  • Subject

    Il s’agit d’une liste des utilisateurs, groupes ou principaux de service Microsoft Entra auxquels l’accès est accordé.

  • Ressource de données

    Il s’agit de la portée dans laquelle la stratégie est appliquée. Le chemin d’accès de la ressource de données est la composition de la source de données du groupe > de ressources d’abonnement>.

    Les stratégies DevOps Microsoft Purview prennent actuellement en charge les sources de données de type SQL. Vous pouvez les configurer sur des sources de données individuelles et sur des groupes de ressources et abonnements entiers. Vous pouvez créer des stratégies DevOps uniquement après avoir inscrit la ressource de données dans Microsoft Purview avec l’option d’application des stratégies de données activée.

  • Rôle

    Un rôle correspond à un ensemble d’actions que la stratégie autorise sur la ressource de données. Les stratégies DevOps prennent en charge les rôles Analyseur de performances SQL et Auditeur de sécurité SQL. Ces deux rôles permettent d’accéder aux métadonnées du système SQL, et plus particulièrement aux vues de gestion dynamique (DMV) et aux fonctions de gestion dynamique (DMF). Mais l’ensemble des DMV et des DMF que ces rôles accordent est différent. Nous fournissons quelques exemples populaires plus loin dans cet article.

    L’article Créer, répertorier, mettre à jour et supprimer des stratégies DevOps Microsoft Purview détaille la définition du rôle pour chaque type de source de données. En d’autres termes, il fournit un mappage des rôles dans Microsoft Purview aux actions autorisées dans ce type de source de données. Par exemple, la définition de rôle pour SQL Analyseur de performances et SQL Security Auditor inclut des actions de connexion au niveau du serveur et de la base de données, du côté de la source de données.

En substance, la stratégie DevOps attribue les autorisations associées du rôle au sujet et est appliquée dans l’étendue du chemin d’accès de la ressource de données.

Application hiérarchique des stratégies

Une stratégie DevOps sur une ressource de données est appliquée à la ressource de données elle-même et à toutes les ressources enfants qu’elle contient. Par exemple, une stratégie DevOps sur un abonnement Azure s’applique à tous les groupes de ressources, à toutes les sources de données activées par une stratégie dans chaque groupe de ressources et à toutes les bases de données dans chaque source de données.

Exemple de scénario pour illustrer le concept et les avantages

Bob et Alice sont impliqués dans le processus DevOps au sein de leur entreprise. Ils doivent se connecter à des dizaines d’instances SQL Server locales et à des serveurs logiques Azure SQL pour surveiller leurs performances afin que les processus DevOps critiques ne tombent pas en panne. Leur responsable, Mateo, place toutes ces sources de données SQL dans le groupe de ressources 1. Il crée ensuite un groupe Microsoft Entra et inclut Alice et Bob. Ensuite, il utilise les stratégies DevOps Microsoft Purview (stratégie 1 dans le diagramme suivant) pour accorder à ce groupe Microsoft Entra l’accès au groupe de ressources 1, qui héberge les serveurs logiques.

Diagramme montrant un exemple de stratégies DevOps sur un groupe de ressources .

Voici les avantages :

  • Mateo n’a pas besoin de créer des connexions locales dans chaque serveur.
  • Les stratégies de Microsoft Purview améliorent la sécurité en limitant l’accès privilégié local. Ils appuient le principe du moindre privilège. Dans ce scénario, Mateo accorde uniquement l’accès minimal dont Bob et Alice ont besoin pour effectuer la tâche de surveillance de l’intégrité et des performances du système.
  • Lorsque de nouveaux serveurs sont ajoutés au groupe de ressources, Mateo n’a pas besoin de mettre à jour la stratégie dans Microsoft Purview pour qu’elle soit appliquée sur les nouveaux serveurs.
  • Si Alice ou Bob quitte l’organisation et que le poste est remplacé, Mateo met simplement à jour le groupe Microsoft Entra. Il ne doit pas modifier les serveurs ou les stratégies qu’il a créés dans Microsoft Purview.
  • À tout moment, Mateo ou l’auditeur de la société peut voir toutes les autorisations qui ont été accordées directement dans Microsoft Purview Studio.
Principe Avantage
Simplifier Les définitions de rôle SQL Analyseur de performances et SQL Security Auditor capturent les autorisations dont les personas IT et DevOps typiques ont besoin pour exécuter leur travail.
Les compétences en matière d’autorisation sont moins nécessaires sur chaque type de source de données.
Réduire les efforts Une interface graphique vous permet de parcourir rapidement la hiérarchie des objets de données.
Microsoft Purview prend en charge les stratégies sur des groupes de ressources et des abonnements Azure entiers.
Renforcer la sécurité L’accès est accordé de manière centralisée et peut être facilement révisé et révoqué.
Les comptes privilégiés n’ont pas besoin de configurer l’accès directement à la source de données.
Les stratégies DevOps prennent en charge le principe du moindre privilège via des étendues de ressources de données et des définitions de rôles.

API Stratégies DevOps

De nombreux clients expérimentés préfèrent interagir avec Microsoft Purview via des scripts plutôt que via l’interface utilisateur. Les stratégies DevOps de Microsoft Purview prennent désormais en charge une API REST qui offre une fonctionnalité complète de création, de lecture, de mise à jour et de suppression (CRUD). Cette fonctionnalité inclut des listes, des stratégies pour SQL Analyseur de performances et des stratégies pour SQL Security Auditor. Pour plus d’informations, consultez la spécification de l’API.

Capture d’écran montrant où trouver l’API DevOps dans le menu de l’API REST Azure.

Les métadonnées dynamiques SQL comprennent une liste de plus de 700 DMV et DMF. Le tableau suivant illustre quelques-unes des plus populaires. Le tableau mappe les DMV et les DMF à leurs définitions de rôle dans les stratégies DevOps de Microsoft Purview. Il fournit également des liens pour référencer le contenu.

Rôle DevOps Catégorie Exemple DMV ou DMF
Analyseur de performances SQL Interroger les paramètres système pour comprendre votre système sys.configurations
sys.dm_os_sys_info
Identifier les goulots d’étranglement des performances sys.dm_os_wait_stats
Analyse des requêtes en cours d’exécution sys.dm_exec_query_stats
Analyser les problèmes de blocage sys.dm_tran_locks
sys.dm_exec_requests
sys.dm_os_waiting_tasks
Analyser l’utilisation de la mémoire sys.dm_os_memory_clerks
Analyser l’utilisation et les performances des fichiers sys.master_files
sys.dm_io_virtual_file_stats
Analyser l’utilisation et la fragmentation de l’index sys.indexes
sys.dm_db_index_usage_stats
sys.dm_db_index_physical_stats
Gérer les connexions des utilisateurs actifs et les tâches internes sys.dm_exec_sessions
Obtenir les statistiques d’exécution de procédure sys.dm_exec_procedure_stats
Utiliser le Magasin de requêtes sys.query_store_plan
sys.query_store_query
sys.query_store_query_text
Obtenir le journal des erreurs (pas encore pris en charge) sys.sp_readerrorlog
Vérificateur de sécurité SQL Obtenir les détails de l’audit sys.dm_server_audit_status
SQL Analyseur de performances et SQL Security Auditor sys.dm_audit_actions
sys.dm_audit_class_type_map

Pour plus d’informations sur ce que le personnel de support informatique peut faire lorsque vous lui accordez l’accès via les rôles Microsoft Purview, consultez les ressources suivantes :

Étapes suivantes

Pour commencer à utiliser les stratégies DevOps, consultez les ressources suivantes :

  • Dernière mise à jour :