Ritiro delle politiche di accesso Microsoft Purview per SQL

Si applica a:database SQL di Azure Istanza gestita di SQL di Azure SQL Server abilitato da Azure Arc

Le politiche di accesso Microsoft Purview per SQL, che includono politiche DevOps, politiche di proprietario dei dati e politiche self-service, saranno ritirate il 30 ottobre 2027. Questo articolo spiega cosa sta cambiando, come capire se la modifica ti riguarda e come spostare l'accesso concesso da queste policy a ruoli e permessi nativi SQL.

Il ritiro si applica a database SQL di Azure, Istanza gestita di SQL di Azure e Azure Arc-enabled SQL Server 2022.

Cosa cambia

Le policy di accesso Microsoft Purview per SQL saranno ritirate il 30 ottobre 2027.

Invece delle politiche di accesso di Microsoft Purview, si utilizza il modello di autorizzazione nativo di SQL, che assegna ruoli e permessi SQL agli utenti e ai gruppi di Microsoft Entra.

Fino al 30 ottobre 2027, i tuoi attuali criteri DevOps, di data owner e self-service continueranno a funzionare come oggi. Dopo quella data, SQL non li applica più e rimuove qualsiasi accesso concesso tramite essi.

Chi è interessato

Se la tua organizzazione utilizza Microsoft Purview DevOps, data owner o policy self-service per concedere l'accesso alle risorse SQL, i tuoi utenti perdono l'accesso dopo il 30 ottobre 2027 a meno che tu non configuri permessi equivalenti usando l'autorizzazione SQL nativa.

Come identificare le risorse interessate

Usa uno dei due metodi. Il portale Purview ti mostra i criteri stessi. Azure Resource Graph ti mostra quali risorse SQL hanno la governance esterna attivata, il che è utile quando gestisci molti abbonamenti.

Rivedi le politiche nel portale di Microsoft Purview

Per elencare le policy, è necessario il ruolo di Policy Author, Data Source Admin, Data Curator o Data Reader a livello di raccolta root.

Accedere al portale di governance di Microsoft Purview.
Nel pannello sinistro, seleziona Politica dati, poi seleziona politiche DevOps per rivedere le tue politiche DevOps.
Seleziona Criteri dei dati per esaminare i criteri del proprietario dei dati.
Seleziona le politiche di accesso self-service per esaminare le politiche self-service create da Purview a partire dalle richieste di accesso approvate.
Identifica le policy con ambito di database SQL di Azure, Istanza gestita di SQL di Azure o Azure Arc-enabled SQL Server 2022.

Questi articoli di Microsoft Purview descrivono la configurazione delle policy su ciascuna piattaforma: database SQL di Azure, Istanza gestita di SQL di Azure e Azure Arc-enabled SQL Server 2022. Per informazioni di base su cosa fanno le politiche, vedi Microsoft Purview DevOps policy concepts.

Usare Azure Resource Graph

Le seguenti query identificano le risorse SQL che attualmente hanno abilitate le policy di accesso a Purview.

For database SQL di Azure:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Per Istanza gestita di SQL di Azure:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Per SQL Server 2022 abilitato per Azure Arc:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Esegui la migrazione a ruoli e permessi nativi SQL

Sostituire ogni azione dei criteri di Purview con un ruolo predefinito a livello di server, assegnato agli stessi utenti e gruppi di Microsoft Entra. I seguenti ruoli sono disponibili su database SQL di Azure, Istanza gestita di SQL di Azure e Azure Arc-enabled SQL Server 2022.

Azione dei criteri di Purview	Ruolo equivalente di SQL Server
Monitoraggio delle prestazioni SQL	`##MS_ServerPerformanceStateReader##`, `##MS_PerformanceDefinitionReader##`
Audit della sicurezza SQL	`##MS_ServerSecurityStateReader##`, `##MS_SecurityDefinitionReader##`
Collegati a un database senza un utente del database	`##MS_DatabaseConnector##`

Assegna solo i ruoli richiesti dalla funzione lavorativa. I quattro ruoli del lettore sono ciascuno più ristretti di ##MS_ServerStateReader## e ##MS_DefinitionReader##, il che ti aiuta a rispettare il principio del minimo privilegio.

Per l'elenco completo dei ruoli e le autorizzazioni che ciascuno concede, vedere Server-level roles e ruoli del server di database SQL di Azure per la gestione delle autorizzazioni.

Note

In database SQL di Azure, esegui CREATE LOGIN e ALTER SERVER ROLE mentre sei connesso al database virtuale master.

Sostituire l'accesso al monitoraggio delle prestazioni di SQL

Crea un login per un gruppo di sicurezza Microsoft Entra, poi aggiungilo ai ruoli di server fissi orientati alle prestazioni di cui il tuo scenario ha bisogno.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Sostituire l'accesso al controllo di sicurezza SQL

Crea un account di accesso per un gruppo di sicurezza Microsoft Entra, poi assegna i ruoli Lettore stato sicurezza e Lettore definizioni di sicurezza che corrispondono alle responsabilità di audit che si vogliono mantenere.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Consentire le connessioni senza un utente del database

Se una policy di Purview consente a un'entità di sicurezza di connettersi a un database senza che in tale database sia stato provisionato un utente, si utilizza il ##MS_DatabaseConnector## ruolo del server fisso.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];

Approccio migratorio raccomandato

Crea gruppi di sicurezza Microsoft Entra che rappresentino le funzioni del lavoro, come i monitor delle prestazioni SQL, i revisori della sicurezza SQL, le operazioni SQL e i proprietari dei dati SQL.
Crea il corrispondente login SQL o l'utente del database per ciascun gruppo Microsoft Entra.
Assegna solo i ruoli fissi di server, i ruoli di database o i permessi espliciti richiesti dalla mansione.
Testa prima gli script in un ambiente non produttivo e confronta i permessi effettivi con l'accesso concesso dalla policy Purview.
Valida l'accesso con gli utenti rappresentativi prima di rimuovere la dipendenza dalla policy di Purview.
Mantieni un piano di rollback e rimuovi le assegnazioni legacy solo dopo che la validazione termina.

Azione richiesta

Per evitare di perdere l'accesso:

Identifica le risorse SQL regolate da Microsoft Purview DevOps, dal data owner o dalle policy self-service.
Esamina gli utenti e i gruppi che ricevono accesso tramite queste politiche.
Ricrea l'accesso utilizzando ruoli nativi SQL e permessi assegnati agli utenti e ai gruppi Microsoft Entra.
Convalida il nuovo accesso prima del 30 ottobre 2027.
Rimuovi le dipendenze residue dalle policy di accesso Purview per le risorse SQL.

Domande frequenti

Cosa viene ritirato?

Le politiche di accesso Microsoft Purview per SQL, che includono politiche DevOps, politiche di proprietario dati e politiche self-service, per database SQL di Azure, Istanza gestita di SQL di Azure e Azure Arc-abilitato SQL Server 2022.

Le mie polizze attuali sono interessate da queste modifiche oggi?

No. Le tue polizze attuali continuano a funzionare fino al 30 ottobre 2027.

Cosa succede dopo il 30 ottobre 2027?

SQL smette di applicare le policy di accesso di Purview. L'accesso concesso da questi criteri non è più disponibile.

Cosa dovrei usare invece?

L'autorizzazione integrata di SQL, che assegna ruoli e permessi fissi a livello di server agli utenti e ai gruppi Microsoft Entra. Vedi Passare a ruoli e autorizzazioni nativi di SQL.

Come faccio a sapere se sono coinvolto?

Rivedi le tue politiche per DevOps, proprietari dei dati e self-service nel portale di Microsoft Purview ed esegui le query di Azure Resource Graph in Come identificare le risorse interessate.

Commenti e suggerimenti

Questa pagina è stata utile?

Ultimo aggiornamento: 2026-10-05