Découvrir et gouverner plusieurs sources Azure dans Microsoft Purview

Cet article explique comment inscrire plusieurs sources Azure, les authentifier et interagir avec elles dans Microsoft Purview. Pour plus d’informations sur Microsoft Purview, lisez l’article d’introduction.

Fonctionnalités prises en charge

Capacités d’analyse

Autres fonctionnalités

Pour les classifications, les étiquettes de confidentialité, les stratégies, la traçabilité des données et l’affichage en direct, consultez la liste des fonctionnalités prises en charge.

Configuration requise

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Un compte Microsoft Purview actif.

• Vous devez être administrateur de source de données et lecteur de données pour inscrire une source et la gérer dans le portail de gouvernance Microsoft Purview. Pour plus d’informations, consultez notre page Autorisations Microsoft Purview .

Inscrire

Cette section décrit comment inscrire plusieurs sources Azure dans Microsoft Purview à l’aide du portail de gouvernance Microsoft Purview.

Conditions préalables à l’inscription

Microsoft Purview a besoin d’autorisations pour pouvoir répertorier les ressources sous un abonnement ou un groupe de ressources.

1. Accédez à l’abonnement ou au groupe de ressources dans le Portail Azure.
2. Sélectionnez Access Control (IAM) dans le menu de gauche.
3. Sélectionnez +Ajouter.
4. Dans la zone de saisie Select , sélectionnez le rôle de lecteur et entrez le nom de votre compte Microsoft Purview (qui représente son nom de fichier MSI).
5. Sélectionnez Enregistrer pour terminer l’attribution de rôle. Cela permet à Microsoft Purview de répertorier les ressources sous un abonnement ou un groupe de ressources.

Authentification pour l’inscription

Il existe deux façons de configurer l’authentification pour plusieurs sources dans Azure :

• Identité gérée
• Principal de service

Vous devez configurer l’authentification sur chaque ressource de votre abonnement ou groupe de ressources que vous souhaitez enregistrer et analyser. Les types de ressources Stockage Azure (Stockage Blob Azure et Azure Data Lake Storage Gen2) facilitent la tâche en vous permettant d’ajouter le fichier MSI ou le principal de service au niveau de l’abonnement ou du groupe de ressources en tant que lecteur de données stockage blob. Les autorisations sont ensuite appliquées à chaque compte de stockage au sein de cet abonnement ou de ce groupe de ressources. Pour tous les autres types de ressources, vous devez appliquer le fichier MSI ou le principal de service à chaque ressource, ou créer un script pour ce faire.

Pour savoir comment ajouter des autorisations sur chaque type de ressource au sein d’un abonnement ou d’un groupe de ressources, consultez les ressources suivantes :

• Stockage Blob Azure
• Explorateur de données Azure
• Azure Data Lake Storage Gen1
• Azure Data Lake Storage Gen2
• Pool SQL dédié Azure (anciennement SQL DW)
• Base de données Azure SQL
• Azure SQL Managed Instance
• Azure Synapse Analytics

Procédure d’inscription

1. Ouvrez le portail de gouvernance Microsoft Purview en :

   • Accédez directement à votre compte Microsoft Purview et sélectionnez-le https://web.purview.azure.com .
   • Ouverture du portail Azure, recherche et sélection du compte Microsoft Purview. Sélection du bouton du portail de gouvernance Microsoft Purview .

2. Sélectionnez Mappage de données dans le menu de gauche.

3. Sélectionner Inscription.

4. Dans Inscrire les sources, sélectionnez Azure (multiple).

   

5. Cliquez sur Continuer.

6. Dans l’écran Inscrire des sources (Azure), procédez comme suit :

   1. Dans la zone Nom , entrez un nom sous lequel la source de données sera répertoriée dans le catalogue.

   2. Dans la zone Groupe d’administration , vous pouvez choisir un groupe d’administration sur lequel filtrer.

   3. Dans les zones de liste déroulante Abonnement et Groupe de ressources , sélectionnez un abonnement ou un groupe de ressources spécifique, respectivement. L’étendue de l’inscription sera définie sur l’abonnement ou le groupe de ressources sélectionné.

      

   4. Sélectionnez une collection dans la liste.

   5. Sélectionnez Inscrire pour inscrire les sources de données.

Analyser

Suivez les étapes ci-dessous pour analyser plusieurs sources Azure afin d’identifier automatiquement les ressources et de classer vos données. Pour plus d’informations sur l’analyse en général, voir notre introduction aux analyses et à l’ingestion.

Créer et exécuter une analyse

Pour créer et exécuter une analyse, procédez comme suit :

1. Sélectionnez l’onglet Mappage de données dans le volet gauche du portail de gouvernance Microsoft Purview.

2. Sélectionnez la source de données que vous avez inscrite.

3. Sélectionnez Afficher les détails>+ Nouvelle numérisation, ou utilisez l’icône d’action rapide Analyser sur la vignette source.

4. Pour Nom, indiquez le nom.

5. Dans le champ Type, sélectionnez les types de ressources que vous souhaitez analyser dans cette source. Choisissez l’une des options suivantes :

   • Laissez-le comme Tout. Cette sélection inclut les types de ressources futurs qui n’existent peut-être pas actuellement dans cet abonnement ou ce groupe de ressources.
   • Utilisez les zones pour sélectionner spécifiquement les types de ressources à analyser. Si vous choisissez cette option, les types de ressources futurs qui peuvent être créés dans cet abonnement ou ce groupe de ressources ne seront pas inclus dans les analyses, sauf si l’analyse est explicitement modifiée à l’avenir.

   

6. Sélectionnez les informations d’identification pour vous connecter aux ressources de votre source de données :

   • Vous pouvez sélectionner des informations d’identification au niveau parent en tant que fichier MSI, ou vous pouvez sélectionner une information d’identification pour un type de principal de service particulier. Vous pouvez ensuite utiliser ces informations d’identification pour tous les types de ressources sous l’abonnement ou le groupe de ressources.
   • Vous pouvez sélectionner spécifiquement le type de ressource et appliquer des informations d’identification différentes pour ce type de ressource.

   Chaque information d’identification sera considérée comme la méthode d’authentification pour toutes les ressources d’un type particulier. Vous devez définir les informations d’identification choisies sur les ressources afin de les analyser correctement, comme décrit plus tôt dans cet article.

7. Dans chaque type, vous pouvez choisir d’analyser toutes les ressources ou d’analyser un sous-ensemble d’entre elles par nom :

   • Si vous laissez l’option Tous, les ressources futures de ce type seront également analysées lors des prochaines exécutions d’analyse.
   • Si vous sélectionnez des comptes de stockage ou des bases de données SQL spécifiques, les ressources futures de ce type créées dans cet abonnement ou ce groupe de ressources ne seront pas incluses dans les analyses, sauf si l’analyse est explicitement modifiée à l’avenir.

8. Sélectionnez Tester la connexion. Cela permet d’abord de tester l’accès à case activée si vous avez appliqué le fichier MSI Microsoft Purview en tant que lecteur sur l’abonnement ou le groupe de ressources. Si vous obtenez un message d’erreur, suivez ces instructions pour le résoudre. Ensuite, il testera votre authentification et votre connexion à chacune de vos sources sélectionnées et générera un rapport. Le nombre de sources sélectionnées aura un impact sur le temps nécessaire à la génération de ce rapport. En cas d’échec sur certaines ressources, le fait de pointer sur l’icône X affiche le message d’erreur détaillé.

   

9. Une fois que votre connexion de test a réussi, sélectionnez Continuer pour continuer.

10. Sélectionnez des ensembles de règles d’analyse pour chaque type de ressource que vous avez choisi à l’étape précédente. Vous pouvez également créer des ensembles de règles d’analyse en ligne.

    

11. Choisissez votre déclencheur d’analyse. Vous pouvez configurer une planification ou exécuter l’analyse une fois.

12. Passez en revue votre analyse et sélectionnez Enregistrer pour terminer l’installation.

Afficher vos analyses et exécutions d’analyse

1. Affichez les détails de la source en sélectionnant Afficher les détails sur la vignette sous la section Mappage de données .

   

2. Affichez les détails de l’exécution d’analyse en accédant à la page Détails de l’analyse .

   La barre de status est un bref résumé du status d’exécution des ressources enfants. Il s’affiche au niveau de l’abonnement ou du groupe de ressources. Les couleurs ont les significations suivantes :

   • Vert : l’analyse a réussi.
   • Rouge : l’analyse a échoué.
   • Gris : l’analyse est toujours en cours.

   Vous pouvez sélectionner chaque scan pour afficher des détails plus fins.

   

3. Vous trouverez un résumé des analyses ayant échoué au bas des détails de la source. Vous pouvez également afficher des détails plus précis sur ces exécutions.

Gérer vos analyses : modifier, supprimer ou annuler

Pour gérer une analyse, procédez comme suit :

1. Accédez au centre de gestion.

2. Sélectionnez Sources de données sous la section Sources et analyse , puis sélectionnez la source de données souhaitée.

3. Sélectionnez l’analyse que vous souhaitez gérer. Ensuite :

   • Vous pouvez modifier la numérisation en sélectionnant Modifier.
   • Vous pouvez supprimer l’analyse en sélectionnant Supprimer.
   • Si l’analyse est en cours d’exécution, vous pouvez l’annuler en sélectionnant Annuler.

Politiques

Les types de stratégies suivants sont pris en charge sur cette ressource de données à partir de Microsoft Purview :

• Stratégies DevOps
• Stratégies de propriétaire des données

Conditions préalables de la stratégie d’accès sur les comptes de Stockage Azure

Pour pouvoir appliquer les stratégies de Microsoft Purview, les sources de données sous un groupe de ressources ou un abonnement doivent d’abord être configurées. Les instructions varient en fonction du type de source de données. Vérifiez s’ils prennent en charge les stratégies Microsoft Purview et, le cas échéant, les instructions spécifiques pour les activer, sous le lien Stratégie d’accès dans le document de connecteur Microsoft Purview.

Configurer le compte Microsoft Purview pour les stratégies

Inscrire la source de données dans Microsoft Purview

Avant de pouvoir créer une stratégie dans Microsoft Purview pour une ressource de données, vous devez enregistrer cette ressource de données dans Microsoft Purview Studio. Vous trouverez les instructions relatives à l’inscription de la ressource de données plus loin dans ce guide.

Configurer les autorisations pour activer l’application des stratégies de données sur la source de données

Une fois qu’une ressource est inscrite, mais avant qu’une stratégie puisse être créée dans Microsoft Purview pour cette ressource, vous devez configurer les autorisations. Un ensemble d’autorisations est nécessaire pour activer l’application de la stratégie de données. Cela s’applique aux sources de données, aux groupes de ressources ou aux abonnements. Pour activer l’application de la stratégie de données, vous devez disposer de privilèges de gestion des identités et des accès (IAM) spécifiques sur la ressource ainsi que de privilèges spécifiques Microsoft Purview :

• Vous devez avoir l’une des combinaisons de rôles IAM suivantes sur le chemin d’accès Azure Resource Manager de la ressource ou un parent de celle-ci (c’est-à-dire, en utilisant l’héritage des autorisations IAM) :

  • Propriétaire IAM
  • Contributeur IAM et administrateur de l’accès utilisateur IAM

  Pour configurer les autorisations de contrôle d’accès en fonction du rôle (RBAC) Azure, suivez ce guide. La capture d’écran suivante montre comment accéder à la section Access Control dans le portail Azure pour la ressource de données à ajouter une attribution de rôle.

  

  Remarque

  Le rôle Propriétaire IAM d’une ressource de données peut être hérité d’un groupe de ressources parent, d’un abonnement ou d’un groupe d’administration d’abonnement. Vérifiez quels utilisateurs, groupes et principaux de service de Microsoft Entra détiennent ou héritent du rôle Propriétaire IAM de la ressource.

• Vous devez également disposer du rôle d’administrateur de source de données Microsoft Purview pour la collection ou une collection parente (si l’héritage est activé). Pour plus d’informations, consultez le guide sur la gestion des attributions de rôles Microsoft Purview.

  La capture d’écran suivante montre comment attribuer le rôle d’administrateur de source de données au niveau de la collecte racine.

  

Configurer les autorisations Microsoft Purview pour créer, mettre à jour ou supprimer des stratégies d’accès

Pour créer, mettre à jour ou supprimer des stratégies, vous devez obtenir le rôle d’auteur de stratégie dans Microsoft Purview au niveau de la collection racine :

• Le rôle d’auteur de stratégie peut créer, mettre à jour et supprimer des stratégies DevOps et Propriétaire de données.
• Le rôle d’auteur de stratégie peut supprimer des stratégies d’accès en libre-service.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des collections dans le Mappage de données Microsoft Purview.

En outre, pour rechercher facilement des utilisateurs ou des groupes Microsoft Entra lors de la création ou de la mise à jour de l’objet d’une stratégie, vous pouvez grandement bénéficier de l’obtention de l’autorisation Lecteurs de répertoire dans Microsoft Entra ID. Il s’agit d’une autorisation courante pour les utilisateurs d’un client Azure. Sans l’autorisation Lecteur d’annuaire, l’auteur de la stratégie devra taper le nom d’utilisateur ou l’adresse e-mail complète pour tous les principaux inclus dans l’objet d’une stratégie de données.

Configurer les autorisations Microsoft Purview pour la publication de stratégies de propriétaire de données

Les stratégies de propriétaire de données autorisent les contrôles et les contrepoids si vous attribuez les rôles d’auteur de la stratégie Microsoft Purview et d’administrateur de source de données à différentes personnes de l’organisation. Avant qu’une stratégie de propriétaire de données prenne effet, une deuxième personne (administrateur de la source de données) doit l’examiner et l’approuver explicitement en la publiant. Cela ne s’applique pas aux stratégies d’accès DevOps ou en libre-service, car la publication est automatique pour eux lors de la création ou de la mise à jour de ces stratégies.

Pour publier une stratégie de propriétaire de données, vous devez obtenir le rôle d’administrateur de source de données dans Microsoft Purview au niveau de la collection racine.

Pour plus d’informations sur la gestion des attributions de rôles Microsoft Purview, consultez Créer et gérer des collections dans le Mappage de données Microsoft Purview.

Déléguer la responsabilité de l’approvisionnement de l’accès aux rôles dans Microsoft Purview

Une fois qu’une ressource a été activée pour l’application de la stratégie de données, tout utilisateur de Microsoft Purview disposant du rôle d’auteur de stratégie au niveau de la collecte racine peut provisionner l’accès à cette source de données à partir de Microsoft Purview.

Si un compte Microsoft Purview avec des stratégies publiées est supprimé, ces stratégies cessent d’être appliquées dans un laps de temps qui dépend de la source de données spécifique. Cette modification peut avoir des implications sur la sécurité et la disponibilité de l’accès aux données. Les rôles de contributeur et de propriétaire dans IAM peuvent supprimer des comptes Microsoft Purview. Pour vérifier cette case activée, accédez à la section Contrôle d’accès (IAM) de votre compte Microsoft Purview et sélectionnez Attributions de rôles. Vous pouvez également utiliser un verrou pour empêcher la suppression du compte Microsoft Purview via les verrous Resource Manager.

Inscrire la source de données dans Microsoft Purview pour l’application de la stratégie de données

L’abonnement ou le groupe de ressources Azure doit d’abord être inscrit auprès de Microsoft Purview avant de pouvoir créer des stratégies d’accès. Pour inscrire votre ressource, suivez les sections Conditions préalables et Inscription de ce guide :

• Enregistrer plusieurs sources dans Microsoft Purview

Une fois que vous avez enregistré la ressource de données, vous devez activer l’application de la stratégie de données. Il s’agit d’un prérequis avant de pouvoir créer des stratégies sur la ressource de données. L’application de la stratégie de données peut avoir un impact sur la sécurité de vos données, car elle délègue à certains rôles Microsoft Purview gérant l’accès aux sources de données. Passez en revue les pratiques sécurisées liées à l’application des stratégies de données dans ce guide : Comment activer l’application des stratégies de données

Une fois que l’option Application de la stratégie de données est définie sur Activée dans votre source de données, cela ressemble à ceci :

Créer une stratégie

Pour créer une stratégie d’accès sur l’ensemble d’un abonnement ou d’un groupe de ressources Azure, suivez ces guides :

• Stratégie DevOps couvrant toutes les sources d’un abonnement ou d’un groupe de ressources
• Accorder un accès en lecture/modification à toutes les sources d’un abonnement ou d’un groupe de ressources

Étapes suivantes

Maintenant que vous avez enregistré votre source, suivez les guides ci-dessous pour en savoir plus sur Microsoft Purview et vos données.

• Stratégies DevOps dans Microsoft Purview
• Informations sur le patrimoine de données dans Microsoft Purview
• Traçabilité dans Microsoft Purview
• Rechercher dans le Catalogue unifié