Uitfasering van Microsoft Purview-toegangsbeleid voor SQL

Van toepassing op:Azure SQL DatabaseAzure SQL Managed InstanceSQL Server enabled by Azure Arc

Microsoft Purview-toegangsbeleid voor SQL, waaronder DevOps-beleid, data-eigenaarbeleid en zelfbedieningsbeleid, worden op 30 oktober 2027 buiten gebruik gesteld. Dit artikel legt uit wat er verandert, hoe je kunt zien of je getroffen bent, en hoe je de door dat beleid verleende toegang kunt overzetten naar SQL-native rollen en permissies.

De uitfasering geldt voor Azure SQL Database, Azure SQL Managed Instance en Azure Arc-enabled SQL Server 2022.

Wat verandert er?

Het toegangsbeleid van Microsoft Purview voor SQL wordt uitgefaseerd op 30 oktober 2027.

In plaats van Microsoft Purview-toegangsbeleid, gebruik je het native autorisatiemodel van SQL, dat SQL-rollen en -machtigingen toekent aan Microsoft Entra-gebruikers en -groepen.

Tot 30 oktober 2027 blijven uw bestaande DevOps-, data-owner- en selfservice-beleid werken zoals nu. Na die datum handhaaft SQL deze niet langer en verwijdert het alle toegang die via deze wordt verleend.

Wie wordt beïnvloed

Als uw organisatie Microsoft Purview DevOps-, data-eigenaar- of selfservice-beleid gebruikt om toegang tot SQL-bronnen te verlenen, verliezen uw gebruikers na 30 oktober 2027 de toegang tenzij u gelijkwaardige rechten configureert met behulp van SQL native autorisatie.

Getroffen resources identificeren

Gebruik een van beide methoden. Het Purview-portaal toont je de beleidsregels zelf. Azure Resource Graph laat zien welke SQL-bronnen externe governance hebben ingeschakeld, wat handig is als je veel abonnementen beheert.

Beleid bekijken in de Microsoft Purview-portal

Om beleidsregels te vermelden, heb je de rol Policy Author, Data Source Administrator, Data Curator of Data Reader nodig op het niveau van de root collection.

  1. Log in op het Microsoft Purview governance-portaal.
  2. Selecteer in het linkerpaneel Databeleid en selecteer vervolgens DevOps-beleid om je DevOps-beleid te bekijken.
  3. Selecteer Gegevensbeleid om je beleid voor gegevenseigenaren te bekijken.
  4. Selecteer Self-servicetoegangsbeleid om het self-servicetoegangsbeleid te bekijken dat Purview heeft gemaakt op basis van goedgekeurde toegangsverzoeken.
  5. Identificeer de beleidsregels die van toepassing zijn op Azure SQL Database, Azure SQL Managed Instance of Azure Arc-enabled SQL Server 2022.

Deze Microsoft Purview-artikelen beschrijven de beleidsconfiguratie op elk platform: Azure SQL Database, Azure SQL Managed Instance en Azure Arc-enabled SQL Server 2022. Voor achtergrondinformatie over wat de beleidsregels doen, zie Microsoft Purview DevOps policies concepts.

Gebruik Azure Resource Graph

De volgende quers identificeren SQL-bronnen waarvoor momenteel Purview-toegangsbeleid is ingeschakeld.

For Azure SQL Database:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Voor Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Voor Azure Arc-enabled SQL Server 2022:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migreren naar native SQL-rollen en machtigingen

Vervang elke Purview-beleidsactie door een vaste serverrol, toegewezen aan dezelfde Microsoft Entra-gebruikers en -groepen. De volgende rollen zijn beschikbaar op Azure SQL Database, Azure SQL Managed Instance en Azure Arc-enabled SQL Server 2022.

Purview-beleidsactie Gelijkwaardige SQL-serverrol
SQL-prestatiemonitoring ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
SQL-beveiligingscontrole ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Maak verbinding met een database zonder databasegebruiker ##MS_DatabaseConnector##

Wijs alleen de rollen toe die de functie vereist. De vier lezersrollen zijn elk beperkter dan ##MS_ServerStateReader## en ##MS_DefinitionReader##, wat je helpt te voldoen aan het principe van de minste bevoegdheden.

Voor de volledige lijst van rollen en de rechten die elk toekent, zie Server-level rollen en Azure SQL Database server rollen voor machtigingsbeheer.

Note

Voer in de Azure SQL Database CREATE LOGIN en ALTER SERVER ROLE uit terwijl u verbonden bent met de virtuele master database.

Toegang voor SQL-prestatiemonitoring vervangen

Maak een login aan voor een Microsoft Entra beveiligingsgroep en voeg deze toe aan de prestatiegerichte vaste serverrollen die jouw scenario nodig heeft.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Toegang tot SQL-beveiligingscontrole vervangen

Maak een login aan voor een Microsoft Entra-beveiligingsgroep en wijs vervolgens de beveiligingsstatus- en Security Definition Reader-rollen toe die passen bij de auditverantwoordelijkheden die je behoudt.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Verbindingen zonder databasegebruiker toestaan

Als een Purview-beleid een principal toestaat verbinding te maken met een database zonder dat er in die database een gebruiker is geconfigureerd, gebruik dan de ##MS_DatabaseConnector## vaste serverrol.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Creëer Microsoft Entra-beveiligingsgroepen die functiegebieden vertegenwoordigen, zoals SQL-prestatiemonitors, SQL-beveiligingsauditors, SQL-operaties en SQL-data-eigenaren.
  • Maak de bijbehorende SQL-login of databasegebruiker aan uit elke Microsoft Entra-groep.
  • Wijs alleen de vaste serverrollen, databaserollen of expliciete rechten toe die de taakfunctie vereist.
  • Test eerst de scripts in een niet-productieomgeving en vergelijk de effectieve rechten met de toegang die het Purview-beleid verleende.
  • Valideer de toegang met vertegenwoordigende gebruikers voordat je de afhankelijkheid van het Purview-beleid verwijdert.
  • Houd een rollback-plan bij en verwijder de legacy-toewijzingen pas nadat de validatie is voltooid.

Vereiste actie

Om te voorkomen dat je de toegang verliest:

  1. Identificeer de SQL-bronnen die worden beheerd door Microsoft Purview DevOps-, data-eigenaar- of selfservicebeleid.
  2. Bekijk de gebruikers en groepen die via die beleidsregels toegang krijgen.
  3. Maak de toegang opnieuw aan door gebruik te maken van SQL native rollen en rechten die zijn toegewezen aan Microsoft Entra-gebruikers en -groepen.
  4. Valideer de nieuwe toegangsrechten vóór 30 oktober 2027.
  5. Verwijder je resterende afhankelijkheden van Purview-toegangsbeleid voor SQL-bronnen.

Veelgestelde vragen

Wat wordt buiten gebruik gesteld?

Microsoft Purview toegangsbeleid voor SQL, waaronder DevOps-beleid, data-eigenaarbeleid en selfservice-beleid, voor Azure SQL Database, Azure SQL Managed Instance en Azure Arc-enabled SQL Server 2022.

Worden mijn bestaande polissen vandaag beïnvloed?

No. Je bestaande polissen blijven van kracht tot 30 oktober 2027.

Wat gebeurt er na 30 oktober 2027?

SQL stopt met het afdwingen van Purview-toegangsbeleid. De toegang die door die beleidsregels werd verleend, is niet langer beschikbaar.

Wat zou ik in plaats daarvan moeten gebruiken?

De ingebouwde autorisatie van SQL, die vaste serverrollen en -rechten toekent aan Microsoft Entra-gebruikers en -groepen. Zie Migreren naar SQL native rollen en permissies.

Hoe weet ik of ik erdoor beïnvloed ben?

Bekijk je DevOps-, data-eigenaar- en selfservicebeleid in het Microsoft Purview-portal en voer de Azure Resource Graph-queries uit in Hoe je getroffen resources identificeert.

Verwante onderwerpen

  • Laatst bijgewerkt om