Protezione dell'accesso in uscita dell'area di lavoro per i modelli semantici (anteprima)

I modelli semantici possono eseguire il pull di dati da origini all'interno e all'esterno dell'organizzazione, ovvero database cloud, sistemi locali tramite gateway, altre aree di lavoro Fabric e servizi esterni. I modelli compositi aggiungono un'altra dimensione: i valori di filtro di un'origine possono essere trasmessi a un'altra durante le operazioni DirectQuery, esponendo potenzialmente i dati sensibili nei log di query che non si controllano.

La protezione dell'accesso in uscita dell'area di lavoro risolve questo rischio. Quando viene abilitata, ogni connessione in uscita dall'area di lavoro viene bloccata per impostazione predefinita. I modelli semantici possono aggiornare o eseguire query solo su origini dati consentite in modo esplicito tramite regole di connessione dati.

Note

Questa funzionalità è in versione di anteprima.

Funzionamento dell'applicazione

La protezione dell'accesso in uscita valuta le connessioni dati associate del modello semantico prima dello spostamento dei dati. Questo punto di applicazione si trova al di sotto delle trasformazioni di Power Query, delle espressioni M e dei parametri del dataset, quindi non è possibile aggirare i criteri mediante la logica della query.

La stessa imposizione si applica a tutte le modalità di archiviazione:

  • Modelli di importazione: le connessioni vengono valutate durante l'aggiornamento pianificato e su richiesta. Se un'origine dati non è presente nell'elenco elementi consentiti, l'intero aggiornamento ha esito negativo.
  • Modelli DirectQuery: ogni query viene valutata in fase di esecuzione. Le query sulle origini bloccate restituiscono un errore perché l'origine dati non è accessibile.
  • Direct Lake nei modelli di endpoint di analisi SQL (DL/SQL): viene valutata la connessione SQL Server all'endpoint di Analisi SQL. Se l'endpoint SQL Analytics dell'area di lavoro non è abilitato, il modello non può accedere alle tabelle Delta dei lakehouse o dei warehouse in quell'area di lavoro.
  • Modelli Direct Lake in OneLake (DL/OL): viene valutata la connessione ADLS Gen2 a OneLake. Se l'URL OneLake dell'area di lavoro non è autorizzato, il modello non può accedere alle tabelle Delta.

Le modifiche ai criteri vengono propagate entro circa 15 minuti. Fino al completamento della propagazione, le connessioni esistenti potrebbero continuare a funzionare.

Le connessioni all'interno dell'area di lavoro richiedono eccezioni esplicite

La protezione dell'accesso in uscita considera tutte le connessioni come potenzialmente tra aree di lavoro, incluse le connessioni a lakehouse e magazzini nella stessa area di lavoro del modello semantico. È previsto dal progetto: le connessioni a SQL Server e ad ADLS Gen2 non sono "workspace-aware" di Fabric.

Per consentire a un modello semantico di connettersi a un lakehouse o a un magazzino nella propria area di lavoro:

  1. Per le modalità Import, DirectQuery e DL/SQL: Aggiungere una regola di connessione di SQL Server con il nome di dominio completo (FQDN) dell'endpoint di analisi SQL. Trova l'FQDN nelle impostazioni del lakehouse o del warehouse, alla voce endpoint di analisi SQL>stringa di connessione SQL.

  2. Per la modalità Direct Lake in OneLake: Aggiungere una regola di connessione di Azure Data Lake Storage Gen2 con l'URL OneLake dell'area di lavoro. Per trovare questo URL, apri le proprietà di una tabella Delta, copia l'URL e rimuovi tutto ciò che segue il GUID dell'area di lavoro. Per informazioni dettagliate sul formato URL, vedere Connecting to Microsoft OneLake.

Configurare la protezione dell'accesso in uscita per i modelli semantici

  1. Confermare i prerequisiti:

    • L'area di lavoro è assegnata a una capacità Fabric (SKU F).
    • L'impostazione del tenant Configura regole di rete in uscita a livello di area di lavoro è abilitata.
    • L'area di lavoro contiene solo gli elementi che supportano la protezione dell'accesso in uscita. Rimuovere prima di tutto report, dashboard o altri elementi non supportati.

  2. Abilitare la protezione dell'accesso in uscita per l'area di lavoro seguendo la procedura descritta in Abilitare la protezione dell'accesso in uscita dell'area di lavoro.

  3. Aggiungere regole di connessione dati per ogni origine dati che i modelli semantici devono raggiungere:

  4. Se i modelli semantici sono connessi a lakehouse o data warehouse nella stessa area di lavoro, aggiungi le eccezioni di SQL Server e ADLS Gen2 descritte nella sezione precedente.

  5. Attendere circa 15 minuti perché il criterio venga propagato.

  6. Convalida aggiornando un modello Import o Direct Lake oppure interrogando un modello DirectQuery. Le connessioni alle destinazioni consentite hanno esito positivo. Le connessioni bloccate restituiscono un errore che indica che i criteri di protezione dell'accesso in uscita hanno bloccato la connessione. Controllare la cronologia degli aggiornamenti per informazioni dettagliate.

Distribuire modelli semantici in aree di lavoro protette

È possibile pubblicare modelli semantici in un'area di lavoro protetta tramite uno dei percorsi di distribuzione standard:

  • Power BI Desktop: pubblicare direttamente un .pbix file. Quando il file include un report interattivo, il report viene pubblicato insieme al modello e alle query a esso associate nell'area di lavoro protetta. Vedere Protezione dell'accesso in uscita dell'area di lavoro per i report di Power BI.
  • Modellazione Web: creare o modificare il modello direttamente nel portale di Fabric.
  • Integrazione git: sincronizzare la definizione del modello da un repository Git.
  • Pipeline di distribuzione di Fabric: Promuovi il modello attraverso le fasi di distribuzione.
  • XMLA endpoint: usare la lettura/scrittura XMLA con strumenti come Editor tabulare, ALM Toolkit o SQL Server Management Studio.
  • API REST: Usa l'endpoint Crea un elemento con definizione.
  • Collegamento semantico: Distribuisci da un notebook Fabric usando la libreria sempy.

Considerazioni e limitazioni

  • I report interattivi sono supportati; altri elementi Power BI non sono: i report interattivi Power BI (.pbix) possono coesistere con i modelli semantici in un'area di lavoro protetta e possono essere pubblicati direttamente. I report impaginati, i dashboard e le scorecard non sono supportati. Vedere Protezione dell'accesso in uscita dell'area di lavoro per i report di Power BI.
  • Le connessioni all'interno della stessa area di lavoro richiedono eccezioni: Le origini dati nella stessa area di lavoro, inclusi lakehouse, warehouse e database SQL, richiedono regole di connessione esplicite per SQL Server e ADLS Gen2. Alcuni connettori, ad esempio il connettore per i database KQL negli eventhouse, non supportano ancora eccezioni a livello di area di lavoro o granulari per endpoint. Per usare tali origini dati in un modello semantico, è necessario abilitare l'intero tipo di connettore.
  • SKU F obbligatorio: la protezione dell'accesso in uscita richiede una capacità Fabric. Power BI Premium (SKU P), Embedded (SKU EM) e le aree di lavoro Pro non sono supportati.
  • Ritardo propagazione: per rendere effettive le modifiche ai criteri sono necessari circa 15 minuti.

Per le limitazioni generali di protezione degli accessi in uscita che si applicano a tutti i carichi di lavoro, vedere Panoramica della protezione dell'accesso in uscita dell'area di lavoro.

Contenuti correlati

  • Last updated on