Gegevensbeveiliging in OneLake

OneLake handhaaft de beveiliging op twee vliegtuigen:

  • Beheervlakrechten: Bepaal wat je met een item kunt doen , zoals het aanmaken, configureren, delen of beheren. Stel machtigingen voor de beheerlaag in op werkruimteniveau met werkruimterollen en op itemniveau via het delen en de pagina Machtigingen beheren van het item.
  • Data plane-rechten: Bepaal welke data je kunt zien of wijzigen. Voor OneLake is dit vliegtuig OneLake-beveiliging. Definieer deze rollen op een item en beperk ze tot mappen, tabellen, schema's, rijen en kolommen.

De volgende tabel vergelijkt de twee vlakken:

As beheerlaag Gegevensvlak
Wat het beheert Beheeracties op items, zoals aanmaken, configureren, delen en verwijderen. Toegang tot de data zelf, zoals lezen en schrijven op tabellen en bestanden.
Waar het zich afspeelt Werkruimterollen en machtigingen voor items. Gedefinieerd op een item en vervolgens van toepassing op mappen, tabellen, rijen en kolommen.
Granulariteit Mogelijkheden op itemniveau. Tot aan individuele rijen en kolommen.
Wie het raakt Iedereen in de werkplek. Voornamelijk kijkers of gebruikers met leesrecht. Beheerders, leden en bijdragers hebben al toegang tot data.

Om te bepalen wat iemand kan doen, gebruik je het controlevlak met werkruimte- en itemrollen. Om te bepalen welke specifieke data iemand ziet, gebruik je het datavlak met OneLake-beveiliging.

OneLake is een hiërarchische data lake, zoals Azure Data Lake Storage (ADLS) Gen2 of het Windows-bestandssysteem. De twee vlakken zijn van toepassing op verschillende niveaus van deze hiërarchie:

  • Werkruimte: Een samenwerkingsomgeving voor het maken en beheren van items. Beheer de beveiliging van het controlevlak via werkruimterollen op dit niveau.

  • Item: Een set mogelijkheden die zijn gebundeld in één onderdeel. Een data-item in Fabric is er een die data opslaat, zoals een lakehouse, magazijn of SQL-database in Fabric. Items erven machtigingen van de werkruimterollen, maar kunnen aanvullende machtigingen voor het controlevlak hebben. Je definieert ook OneLake-beveiligingsrollen op een item.

  • Mappen en lager: Mappen, zoals Tables/ of Files/, samen met tabellen, schema's, rijen en kolommen, organiseren gegevens binnen een item. OneLake-beveiliging beperkt de toegang tot datavlakken op deze niveaus.

Items leven altijd in werkruimten en werkruimten leven altijd rechtstreeks onder de OneLake-naamruimte.

Diagram met de hiërarchische aard van OneLake als mapstructuur. OneLake/Workspace/Item als voorbeeld.

Beheer machtigingen voor het besturingsvlak met werkruimte- en itemrollen

OneLake beheert de rechten op het werkruimte- en itemniveau. Werkruimte- en itemrechten vormen het beveiligingsmodel voor het controlevlak voor items in OneLake.

Verleen toegang met workspace-rollen

Werkruimtemachtigingen bepalen welke acties gebruikers kunnen uitvoeren binnen een werkruimte en de bijbehorende items. Deze machtigingen zijn voornamelijk machtigingen voor het besturingsvlak. Ze bepalen de beheer- en itembeheermogelijkheden, niet directe gegevenstoegang. Items en mappen nemen echter over het algemeen werkruimtemachtigingen over om gegevenstoegang standaard toe te kennen. Werkruimterechten gelden voor alle items binnen die werkruimte.

De vier verschillende werkruimterollen verlenen verschillende typen toegang. De volgende tabel bevat het standaardgedrag van elke werkruimterol:

Rol Kun je beheerders toevoegen? Kunnen leden worden toegevoegd? Kunt u OneLake-beveiliging bewerken? Kunt u gegevens schrijven en items maken? Kunt u gegevens lezen in OneLake? Kan de werkruimte worden bijgewerkt en verwijderd?
Admin Ja Ja Ja Ja Ja Ja
Lid Nee Ja Ja Ja Ja Nee
Inzender Nee Nee Nee Ja Ja Nee
Kijker Nee Nee Nee Nee Nee* Nee

* U kunt kijkers toegang geven tot gegevens met behulp van OneLake-beveiligingsrollen.

Meer informatie over rollen in werkruimten in Fabric.

Vereenvoudig het beheer van Fabric-werkruimterollen door ze toe te wijzen aan beveiligingsgroepen. Met deze methode kunt u de toegang beheren door leden toe te voegen aan of te verwijderen uit de beveiligingsgroep.

Items delen en machtigingen op itemniveau instellen

Met behulp van de functie voor delen kunt u een gebruiker rechtstreeks toegang geven tot een item. De gebruiker kan geen andere items in de werkruimte zien en is geen lid van een werkruimte-rol. Itemmachtigingen verlenen toegang om verbinding te maken met dat item en alle eindpunten waartoe de gebruiker toegang heeft.

Machtiging Zie de metagegevens van het item? Gegevens bekijken in SQL? Gegevens bekijken in OneLake?
Write Ja Ja Ja
Lezen Ja Nee Nee
GegevensLezen Nee Alleen in de modus Gedelegeerd Nee
LeesAlles Nee Nee Alleen via de DefaultReader

Toegang via het SQL-analyse-endpoint hangt ook af van de SQL-analytics-endpointmodus. Afhankelijk van de modus kunnen gebruikers SQL-rechten of de ReadData-itemmachtiging nodig hebben naast de leestoegang op het item.

Je kunt ook permissies instellen op de pagina Beheren van een item. Op deze pagina kunt u individuele itemrechten toevoegen of verwijderen voor gebruikers of groepen. Het itemtype bepaalt welke machtigingen beschikbaar zijn.

Beheer de toegang tot gegevens met OneLake-beveiligingsrollen

OneLake-beveiliging biedt gedetailleerde rolgebaseerde beveiliging voor gegevens die in OneLake zijn opgeslagen en handhaaft die beveiliging consequent over alle compute-engines in Fabric. OneLake-beveiliging is het gegevensvlakbeveiligingsmodel voor gegevens in OneLake.

Fabric gebruikers in de werkruimterollen Beheerder of Lid kunnen OneLake-beveiligingsrollen maken om gebruikers toegang te verlenen tot gegevens binnen een item. Elke rol heeft vier onderdelen:

  • Permissions: De rechten die de rol toekent voor de gegevens, zoals Read of ReadWrite.
  • Type: Het roltype. OneLake-beveiliging ondersteunt alleen Grant-rollen, die toegang tot data geven.
  • Data in rol: De tabellen, mappen of schema's waar de rol toegang toe verleent. Je kunt ook data-toegang definiëren met rij- en kolombeveiliging op tabellen.
  • Leden in rol: De Microsoft Entra-identiteiten die aan de rol zijn toegewezen, zoals gebruikers-, groeps- of niet-gebruikersidentiteiten.

OneLake-beveiligingsrollen verlenen toegang tot gegevens voor gebruikers in de werkruimte Rol Viewer of met leesmachtigingen voor het item. Workspace Admins, Members en Contributors hebben al lees- en schrijfrechten op alle data in een workspace, dus ze worden niet beïnvloed door OneLake beveiligingsrollen. Er bestaat een DefaultReader-rol in alle lakehouses en geeft elke gebruiker met de machtiging ReadAll toegang tot gegevens in het lakehouse. U kunt de rol DefaultReader verwijderen of bewerken om die toegang te verwijderen.

Om met OneLake-beveiliging te werken, gebruik deze artikelen over data-toegang:

Handhaaf OneLake-beveiliging in geautoriseerde derde partij-engines (preview)

Configureer uw engines van derden als gemachtigde engines, zodat ze OneLake-beveiligingsrollen kunnen afdwingen. Externe query-engines kunnen zich registreren als geautoriseerde engines, definities van beveiligingsbeleid en vooraf berekende effectieve toegangsrechten ophalen via OneLake-API's, en tabelmachtigingen, beveiliging op rijniveau (RLS) en beveiliging op kolomniveau (CLS) afdwingen tijdens het uitvoeren van query's. OneLake blijft de enige bron van waarheid voor beveiligingsbeleid. Beleidsregels worden eenmalig opgesteld en consistent afgedwongen in alle Fabric-engines en geautoriseerde externe engines.

Voor meer informatie, zie OneLake beveiligingsintegraties.

Beveiligde data toegankelijk via sneltoetsen

Snelkoppelingen in OneLake vereenvoudigen gegevensbeheer. De beveiliging van OneLake-mappen is van toepassing op snelkoppelingen op basis van rollen die zijn gedefinieerd in het lakehouse waarin de gegevens worden opgeslagen.

Voor meer informatie over beveiligingsoverwegingen voor snelkoppelingen raadpleegt u Hoe OneLake-beveiliging de toegang tot gegevens beheert > Snelkoppelingen.

Zie de typen OneLake-snelkoppelingen voor informatie over toegang en verificatie voor specifieke sneltoetsen.

Authenticeer bij OneLake met Microsoft Entra ID

OneLake gebruikt Microsoft Entra-id voor verificatie. Gebruik deze om machtigingen te verlenen aan gebruikersidentiteiten en service-principals. In OneLake wordt de gebruikersidentiteit automatisch geëxtraheerd uit hulpprogramma's die gebruikmaken van Microsoft Entra-verificatie en wordt deze toegewezen aan de machtigingen die u hebt ingesteld in de Fabric-portal.

Notitie

Als u service-principals in een Fabric-tenant wilt gebruiken, moet een tenantbeheerder Service Principal Names (SPN's) inschakelen voor de hele tenant of specifieke beveiligingsgroepen. Meer informatie over het inschakelen van Service Principals in Ontwikkelaarsinstellingen van de portal voor tenantbeheerder.

Volg de activiteit van OneLake met auditlogs

Als u uw OneLake-auditlogboeken wilt bekijken, volgt u de instructies in Gebruikersactiviteiten bijhouden in Fabric. OneLake-bewerkingsnamen komen overeen met ADLS-API's , zoals CreateFile of DeleteFile. Auditlogs van OneLake bevatten niet de leesaanvragen of aanvragen die aan OneLake worden gedaan via werkzaamheden met de Fabric.

Versleutel gegevens en veilige netwerken in OneLake

OneLake beschermt je data door deze zowel in rust als tijdens transport te versleutelen, en door je toegang tot het netwerk te laten beperken met privélinks. De volgende secties beschrijven elk van deze waarborgen.

Versleutel gegevens in rust met door Microsoft beheerde en door de klant beheerde sleutels

Gegevens die zijn opgeslagen in OneLake, worden standaard versleuteld met behulp van door Microsoft beheerde sleutels. Door Microsoft beheerde sleutels worden op de juiste wijze geroteerd. OneLake versleutelt en ontsleutelt gegevens transparant en voldoet aan FIPS 140-2.

U kunt versleuteling bij rust gebruiken met door de klant beheerde sleutels om een extra beveiligingslaag toe te voegen door middel van sleutels die u bezit en beheert. Zie klant beheerde sleutels voor Fabric-werkruimten voor meer informatie.

Versleutel data tijdens het verzenden met behulp van TLS

Gegevens die worden verzonden via het openbare internet tussen Microsoft-services, worden altijd versleuteld met ten minste TLS 1.2. Fabric onderhandelt waar mogelijk over TLS 1.3. Verkeer tussen Microsoft-services routeert altijd via het wereldwijde Microsoft-netwerk.

Binnenkomende OneLake-communicatie dwingt ook TLS 1.2 af en onderhandelt waar mogelijk met TLS 1.3. Uitgaande infrastructuurcommunicatie naar infrastructuur die eigendom is van de klant geeft de voorkeur aan beveiligde protocollen, maar kan terugvallen op oudere, onveilige protocollen (inclusief TLS 1.0) wanneer nieuwere protocollen niet worden ondersteund.

Zie Privékoppelingen instellen en gebruikenvoor het configureren van privékoppelingen in Fabric.

Sta apps toe die buiten Fabric draaien toegang te krijgen tot data

U kunt toegang tot OneLake-gegevens toestaan of beperken vanuit toepassingen die zich buiten de Fabric-omgeving bevinden. Beheerders kunnen deze instelling vinden in de sectie OneLake van de tenantinstellingen van de beheerportal.

Wanneer u deze instelling inschakelt, hebben gebruikers toegang tot gegevens uit alle bronnen. Zet bijvoorbeeld deze instelling aan als je aangepaste applicaties hebt die ADLS API's of OneLake File Explorer gebruiken. Wanneer u deze instelling uitschakelt, hebben gebruikers nog steeds toegang tot gegevens uit interne apps, zoals Spark, Data Engineering en Data Warehouse, maar hebben ze geen toegang tot gegevens uit toepassingen die buiten Fabric-omgevingen worden uitgevoerd.

Gerelateerde inhoud

  • Last updated on