Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Snelkoppelingen in OneLake fungeren als aanwijzers naar gegevens die zich in verschillende opslagaccounts bevinden, ongeacht of deze zich binnen OneLake zelf bevinden of in externe systemen zoals Azure Data Lake Storage (ADLS). In dit artikel worden de machtigingen uitgelegd die nodig zijn om snelkoppelingen te maken en toegang te krijgen tot gegevens door deze te gebruiken.
Voor meer duidelijkheid over de onderdelen van een snelkoppeling gebruikt dit artikel de volgende termen:
- Doelpad: de locatie waarnaar een snelkoppeling verwijst.
- Snelkoppelingpad: de locatie waar de snelkoppeling verschijnt.
Snelkoppelingen maken en verwijderen
Als u een snelkoppeling wilt maken, hebt u schrijfrechten nodig voor het Fabric-item waar u de snelkoppeling maakt. Daarnaast hebt u leestoegang nodig tot de gegevens waarnaar de snelkoppeling verwijst. Snelkoppelingen naar externe bronnen vereisen mogelijk bepaalde machtigingen in het externe systeem. Het artikel Wat zijn snelkoppelingen? bevat de volledige lijst met sneltoetsen en vereiste machtigingen.
| Mogelijkheid | Machtiging voor snelkoppelingspad | Machtiging voor doelpad |
|---|---|---|
| Een snelkoppeling maken | Schrijfmachtiging voor item of Lezen/schrijven voor OneLake-beveiliging | OneLake-beveiliging Lezen1 |
| Een snelkoppeling verwijderen | Schrijfmachtiging voor item of Lezen/schrijven voor OneLake-beveiliging | N.v.t. |
1 Voor items die OneLake-beveiliging nog niet ondersteunen, is deze machtiging de ReadAll-machtiging voor het item.
Toegang tot snelkoppelingen krijgen
Een combinatie van de machtigingen in het snelkoppelingspad en het doelpad bepaalt de machtigingen voor snelkoppelingen. Wanneer een gebruiker een snelkoppeling opent, wordt de meest beperkende machtiging van de twee locaties toegepast. Daarom kan een gebruiker die lees- en schrijfmachtigingen heeft in het lakehouse, maar alleen leesmachtigingen in het doelpad, niet naar het doelpad schrijven. Evenzo kan een gebruiker die alleen leesmachtigingen heeft in het lakehouse, maar lees- en schrijfmachtigingen voor het doelpad, ook niet schrijven naar het doelpad.
In deze tabel ziet u welke machtigingen nodig zijn voor elke snelkoppelingsactie.
| Mogelijkheid | Machtiging voor snelkoppelingspad | Machtiging voor doelpad |
|---|---|---|
| Inhoud van een bestand of map van een snelkoppeling lezen | OneLake-beveiliging Lezen1 | OneLake-beveiliging Lezen1, 2 |
| Schrijven naar doellocatie voor snelkoppeling | Schrijfmachtiging voor item of Lezen/schrijven voor OneLake-beveiliging | Schrijfmachtiging voor item of Lezen/schrijven voor OneLake-beveiliging |
1 Voor items die OneLake-beveiliging nog niet ondersteunen, is deze machtiging de ReadAll-machtiging voor het item.
Belangrijk
2Uitzondering op identiteitsdoorgave: Hoewel OneLake-beveiliging doorgaans de identiteit van de aanroepende gebruiker doorgeeft om machtigingen af te dwingen, werken bepaalde querymachines anders. Wanneer u snelkoppelingsgegevens opent via semantische Power BI-modellen met behulp van DirectLake via SQL - of T-SQL-engines die zijn geconfigureerd voor de gedelegeerde identiteitsmodus, geven deze engines de identiteit van de aanroepende gebruiker niet door aan het snelkoppelingsdoel. In plaats daarvan gebruiken ze de identiteit van de itemeigenaar om toegang te krijgen tot de gegevens en passen ze vervolgens OneLake-beveiligingsrollen toe om te filteren wat de aanroepende gebruiker kan zien.
Deze voorwaarde betekent:
- Het doel van de snelkoppeling wordt benaderd met de rechten van de itemeigenaar (niet de rechten van de eindgebruiker)
- OneLake-beveiligingsrollen bepalen nog steeds welke gegevens de eindgebruiker kan lezen
- Machtigingen die rechtstreeks op het snelkoppelingsdoelpad voor de eindgebruiker zijn geconfigureerd, worden overgeslagen
OneLake-beveiliging
Met OneLake-beveiliging kunt u op rollen gebaseerd toegangsbeheer (RBAC) toepassen op uw gegevens die zijn opgeslagen in OneLake. U kunt beveiligingsrollen definiëren die leestoegang verlenen tot specifieke tabellen en mappen in een Fabric-item en deze toewijzen aan gebruikers of groepen. De toegangsmachtigingen bepalen wat gebruikers in alle engines in Fabric kunnen doen, waardoor consistent toegangsbeheer mogelijk is.
OneLake-beveiligingsrollen beperken voor gebruikers met de werkruimterollen Admin, Member en Contributor de toegang tot gegevens van snelkoppelingen niet. Deze gebruikers moeten nog steeds toegang hebben tot zowel het snelkoppelpad als het doelpad, zoals beschreven in Workspace-rollen. Ze moeten ook leestoegang hebben tot het doelpad om een snelkoppeling te maken of bij te werken.
Gebruikers in de Viewer-rol, of gebruikers met leesrechten voor items, hebben toegang bepaald door hun OneLake-beveiligingsrollen. Om bewerkingen met snelkoppelingen uit te voeren, hebben deze gebruikers naast de Fabric Read-toestemming ook de bijbehorende OneLake-beveiligingstoestemming nodig.
De volgende tabel toont de gecombineerde rechten die voor elke snelkoppelingsoperatie nodig zijn:
| Sneltoetsbewerking | Machtiging voor snelkoppelingspad | Machtiging voor doelpad |
|---|---|---|
| Creëren | Fabric Read plus OneLake beveiliging LezenSchrijven | OneLake-beveiliging gelezen |
| Lezen (GET/LIST-snelkoppelingen) | Fabric Lezen plus OneLake-beveiliging Lezen | N.v.t. |
| Update | Fabric Read plus OneLake beveiliging ReadWrite | OneLake-beveiliging gelezen (op het nieuwe doel) |
| Verwijderen | Fabric Read plus OneLake beveiliging ReadWrite | N.v.t. |
Voor meer informatie over het toegangscontrolemodel met snelkoppelingen, zie Data access control model in OneLake.
Modellen voor verificatie via snelkoppelingen
OneLake-snelkoppelingen maken gebruik van twee verificatiemodellen: passthrough en gedelegeerd. Het model is afhankelijk van het type snelkoppeling.
| Snelkoppelingstype | Verificatiemodel | Details |
|---|---|---|
| OneLake van dezelfde huurder naar OneLake | Doorgifte of gedelegeerd | Passthrough is de standaardwaarde. Om in plaats daarvan gedelegeerde authenticatie te gebruiken, kies je voor Gedelegeerde identiteit wanneer je de snelkoppeling maakt. |
| Tenantoverschrijdend OneLake naar OneLake | Alleen gedelegeerd | Configureer een organisatieaccount of serviceprincipal in de tenant van de producent bij het aanmaken van de cross-tenant snelkoppeling. |
| Extern (multicloud) | Alleen gedelegeerd | Gebruikers hebben toegang tot externe gegevens zonder directe toegang tot het externe systeem. Configureer OneLake-beveiliging op de snelkoppeling om te bepalen welke gegevens in het externe systeem toegankelijk zijn. |
Passthrough-verificatie
In het passthroughmodel krijgt de snelkoppeling toegang tot gegevens op de doellocatie door de identiteit van de gebruiker door te sturen naar het doelsysteem. Elke gebruiker die toegang heeft tot de snelkoppeling, kan alleen gegevens zien waartoe hij of zij toegang heeft in het doel. Het bronsysteem behoudt volledige controle over de gegevens en hoeft geen toegangsbeheer te repliceren of opnieuw te definiëren.
Gedelegeerde verificatie
In het gedelegeerde model krijgt de snelkoppeling toegang tot gegevens met behulp van tussenliggende aanmeldingsgegevens, zoals de identiteit van een andere gebruiker, een service-principal of een accountsleutel. Met gedelegeerde snelkoppelingen kan machtigingsbeheer worden gescheiden of gedelegeerd aan een ander team of downstreamgebruiker om te beheren. Voor alle gedelegeerde snelkoppelingen in OneLake kunnen de OneLake-beveiligingsrollen worden gedefinieerd.
Gebruik gedelegeerde authenticatie wanneer het standaard passthrough-gedrag niet overeenkomt met het toegangspatroon dat je voor je data wilt. Een gedelegeerde snelkoppeling kan bijvoorbeeld een vaste verbindingsidentiteit gebruiken die een business unit vertegenwoordigt in plaats van te vereisen dat elke downstream-gebruiker toegang heeft tot de brongegevens. De business unit kan OneLake-beveiligingstoegang beheren voor haar gebruikers, terwijl ze de beveiligingscontroles van de verbindingsidentiteit respecteren.
Snelkoppelingen naar externe systemen, zoals Amazon S3 of Google Cloud Storage, gebruiken altijd gedelegeerde verificatie. Snelkoppelingen naar interne OneLake-doelen kunnen gedelegeerde verificatie gebruiken als deze is geconfigureerd op het moment dat de snelkoppeling is gemaakt.
OneLake-gedelegeerde snelkoppelingen
Gedelegeerde OneLake-snelkoppelingen maken gebruik van een geconfigureerde verbindingsidentiteit in plaats van de identiteit van de aangemelde gebruiker. Bij het openen van een gedelegeerde snelkoppeling ziet de aanroepende gebruiker het snijpunt van hun beveiliging en de beveiliging die van toepassing is op de gedelegeerde identiteit. In de volgende tabel worden voorbeeldscenario's beschreven.
Voor OneLake-snelkoppelingen voor dezelfde tenant is gedemitteerde authenticatie optioneel. Als je het niet selecteert, gebruikt de snelkoppeling passthrough-authenticatie. Tenantoverschrijdende OneLake-snelkoppelingen gebruiken altijd gedelegeerde authenticatie. De geconfigureerde verbindingsidentiteit moet toegang hebben tot de doelgegevens. Als u een bestaande snelkoppeling wilt schakelen tussen passthrough en gedelegeerde verificatie, verwijdert u de snelkoppeling en maakt u deze opnieuw met de gewenste verificatiemethode.
| Machtiging voor snelkoppelingspad (consument) | Rechten voor doelpad (producent) | Resulterende toegang |
|---|---|---|
| Volledige toegang | Volledige toegang | Volledige toegang |
| Volledige toegang | CLS - alleen kolommen C1, C2 | CLS - alleen kolommen C1, C2 |
| CLS - alleen kolom C1 | CLS - alleen kolommen C1, C2 | CLS - alleen kolom C1 |
De volgende beveiligingsoverwegingen zijn van toepassing op gedelegeerde snelkoppelingen:
- Een gebruiker kan slechts één OneLake-beveiligingsrol hebben met CLS aan de consumentenzijde, als de producent ook RLS heeft.
- Beveiliging op kolomniveau (CLS) wordt ondersteund voor zowel de producent als de afnemer van een gedelegeerde snelkoppeling.
- Row-level security (RLS) wordt ondersteund aan producentzijde van een gedelegeerde koppeling, maar je kunt dit niet instellen aan consumentenzijde.
- Naast OneLake-beveiligingstoegang tot het producer-pad, vereist het bereiken van externe snelkoppelingen via Spark of directe API-aanroepen ook leesrechten op het item met het externe snelkoppelpad.