Retrait des politiques d’accès Microsoft Purview pour SQL

S’applique à :Azure SQL DatabaseAzure SQL Managed InstanceSQL Server enabled by Azure Arc

Les politiques d’accès Microsoft Purview pour SQL, qui incluent les politiques DevOps, les politiques de propriétaire des données et les politiques d’auto-service, seront retirées à partir du 30 octobre 2027. Cet article explique ce qui change, comment savoir si vous êtes affecté, et comment transférer vers des rôles et autorisations SQL natifs l’accès accordé par ces stratégies.

La mise hors service s’applique à Azure SQL Database, Azure SQL Managed Instance et Azure Arc-enabled SQL Server 2022.

Qu’est-ce qui change

Les politiques d’accès Microsoft Purview pour SQL seront retirées le 30 octobre 2027.

Au lieu des politiques d'accès Microsoft Purview, utilisez le modèle d'autorisation natif de SQL, qui attribue des rôles et permissions SQL aux utilisateurs et groupes Microsoft Entra.

Jusqu’au 30 octobre 2027, vos stratégies DevOps, de propriétaire des données et de libre-service actuelles continueront de fonctionner comme elles le font aujourd’hui. Après cette date, SQL ne les applique plus et supprime tout accès accordé par leur intermédiaire.

Qui est affecté

Si votre organisation utilise Microsoft Purview DevOps, des politiques de propriétaire des données ou d’auto-service pour accorder l’accès aux ressources SQL, vos utilisateurs perdront l’accès après le 30 octobre 2027, à moins que vous ne configuriez des permissions équivalentes en utilisant une autorisation native SQL.

Comment identifier les ressources affectées

Utilisez l’une ou l’autre méthode. Le portail Purview vous montre les stratégies elles-mêmes. Azure Resource Graph vous montre quelles ressources SQL ont la gouvernance externe activée, ce qui est utile lorsque vous gérez de nombreux abonnements.

Consultez les stratégies du portail Microsoft Purview

Pour lister les stratégies, vous devez disposer du rôle Auteur de stratégie, Administrateur de sources de données, Conservateur de données ou Lecteur de données au niveau de la collection racine.

  1. Connectez-vous au portail de gouvernance Microsoft Purview.
  2. Dans le panneau de gauche, sélectionnez Politique de données, puis sélectionnez Politiques DevOps pour examiner vos politiques DevOps.
  3. Sélectionnez les politiques de données pour examiner vos politiques de propriétaire de données.
  4. Sélectionnez les politiques d’accès en libre-service pour examiner les politiques en libre-service créées par Purview à partir de demandes d’accès approuvées.
  5. Identifiez les stratégies étendues à Azure SQL Database, Azure SQL Managed Instance, ou Azure Arc-enabled SQL Server 2022.

Ces articles de Microsoft Purview décrivent la configuration des politiques sur chaque plateforme : Azure SQL Database, Azure SQL Managed Instance, et Azure Arc-enabled SQL Server 2022. Pour plus d’informations sur ce que font ces stratégies, consultez Concepts des stratégies DevOps Microsoft Purview.

Utiliser Azure Resource Graph

Les requêtes suivantes identifient les ressources SQL qui disposent actuellement des politiques d’accès Purview activées.

Pour Azure SQL Database :

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Pour Azure SQL Managed Instance :

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Pour Azure Arc-enabled SQL Server 2022 :

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migrer vers les rôles et autorisations natives de SQL

Remplacer chaque action de politique Purview par un rôle fixe au niveau du serveur, attribué aux mêmes utilisateurs et groupes Microsoft Entra. Les rôles suivants sont disponibles sur Azure SQL Database, Azure SQL Managed Instance et Azure Arc-enabled SQL Server 2022.

Action de stratégie Purview Rôle serveur SQL équivalent
Surveillance des performances SQL ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
Audit de sécurité SQL ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Connectez-vous à une base de données sans utilisateur de base de données ##MS_DatabaseConnector##

Attribuez uniquement les rôles que la fonction du poste exige. Les quatre rôles du lecteur sont chacun plus restreints que ##MS_ServerStateReader## et ##MS_DefinitionReader##, ce qui vous aide à respecter le principe du moindre privilège.

Pour la liste complète des rôles et les autorisations accordées par chacun, voir Rôles au niveau du serveur et rôles de serveur Azure SQL Database pour la gestion des autorisations.

Note

Dans Azure SQL Database, exécutez CREATE LOGIN et ALTER SERVER ROLE tout en étant connecté à la base de données virtuelle master.

Remplacer l’accès à la surveillance des performances de SQL

Créez une connexion pour un groupe de sécurité Microsoft Entra, puis ajoutez-la aux rôles de serveur fixe axés sur les performances dont votre scénario a besoin.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Remplacer l’accès d’audit de sécurité SQL

Créez une connexion pour un groupe de sécurité Microsoft Entra, puis attribuez les rôles État de sécurité et Lecteur de définition de sécurité correspondant aux responsabilités d’audit que vous conservez.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Autoriser les connexions sans utilisateur de base de données

Si une politique Purview permet à un principal de se connecter à une base de données sans qu’un utilisateur y soit provisionné, utilisez le ##MS_DatabaseConnector## rôle serveur fixe.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Créez des groupes de sécurité Microsoft Entra qui représentent des rôles métier, tels que les moniteurs de performance SQL, les auditeurs de sécurité SQL, les opérations SQL et les propriétaires de données SQL.
  • Créez la connexion SQL ou l’utilisateur de base de données correspondant à chaque groupe Microsoft Entra.
  • Attribuez uniquement les rôles fixes de serveur, de base de données ou les permissions explicites requises par la fonction de travail.
  • Testez d’abord les scripts dans un environnement non productif, puis comparez les autorisations effectives avec l’accès accordé par la politique Purview.
  • Validez l’accès auprès des utilisateurs représentatifs avant de supprimer la dépendance à la politique Purview.
  • Gardez un plan de retour en arrière et ne supprimez les affectations héritées qu’une fois la validation terminée.

Action requise

Pour éviter de perdre l’accès :

  1. Identifiez les ressources SQL régies par DevOps Microsoft Purview, les stratégies de propriétaire des données ou les stratégies libre-service.
  2. Examinez les utilisateurs et groupes qui bénéficient de l’accès via ces politiques.
  3. Recréez l’accès en utilisant les rôles natifs SQL et les permissions attribués aux utilisateurs et groupes Microsoft Entra.
  4. Validez le nouvel accès avant le 30 octobre 2027.
  5. Supprimez vos dépendances restantes aux stratégies d’accès Purview pour les ressources SQL.

Questions fréquemment posées

Qu’est-ce qui prend fin ?

Les politiques d’accès Microsoft Purview pour SQL, qui incluent les politiques DevOps, les politiques de propriétaire des données et les politiques libre-service, pour Azure SQL Database, Azure SQL Managed Instance et Azure Arc-enabled SQL Server 2022.

Mes contrats actuels sont-ils affectés aujourd’hui ?

Non. Vos polices existantes restent en vigueur jusqu’au 30 octobre 2027.

Que se passe-t-il après le 30 octobre 2027 ?

SQL cesse d’appliquer les politiques d’accès Purview. L’accès que ces stratégies accordaient n’est plus disponible.

Qu’est-ce que je devrais utiliser à la place ?

L'autorisation intégrée de SQL, qui attribue des rôles et permissions fixes au niveau du serveur aux utilisateurs et groupes Microsoft Entra. Voir Migrer vers les rôles et autorisations natifs SQL.

Comment savoir si je suis affecté ?

Examinez vos politiques DevOps, de propriétaire des données et de libre-service dans le portail Microsoft Purview, puis lancez les requêtes Azure Resource Graph dans Comment identifier les ressources concernées.

Contenu connexe

  • Dernière mise à jour :