Wycofanie polityk dostępu Microsoft Purview dla SQL

Dotyczy:Azure SQL DatabaseAzure SQL Managed InstanceSQL Server obsługiwany przez Azure Arc

Polityki dostępu Microsoft Purview dla SQL, obejmujące polityki DevOps, polityki właściciela danych oraz polityki samoobsługi, zostaną wycofane 30 października 2027 roku. Ten artykuł wyjaśnia, co się zmienia, jak rozpoznać, czy problem Cię dotyczy, oraz jak przenieść uprawnienia przyznawane przez te zasady do natywnych ról i uprawnień SQL.

Wycofanie dotyczy Azure SQL Database, Azure SQL Managed Instance oraz SQL Server 2022 z Azure Arc.

Co się zmienia

Polityki dostępu Microsoft Purview dla SQL zostaną wycofane 30 października 2027 r.

Zamiast polityk dostępu Microsoft Purview, użyj natywnego modelu autoryzacji SQL, który przypisuje role i uprawnienia SQL użytkownikom i grupom Microsoft Entra.

Do 30 października 2027 roku Twoje istniejące polityki DevOps, właściciela danych i samoobsługi działają tak jak dziś. Po tej dacie SQL przestaje je egzekwować i usuwa wszelki dostęp udzielony przez nie.

Kto ma wpływ

Jeśli Twoja organizacja używa zasad Microsoft Purview DevOps, zasad właściciela danych lub zasad samoobsługowych do przyznawania dostępu do zasobów SQL, użytkownicy tracą dostęp po 30 października 2027 roku, chyba że skonfigurujesz równoważne uprawnienia za pomocą natywnej autoryzacji SQL.

Jak zidentyfikować dotknięte zasoby

Użyj jednej z metod. Portal Purview pokazuje same zasady. Azure Resource Graph pokazuje, które zasoby SQL mają włączone zewnętrzne zarządzanie, co jest przydatne przy zarządzaniu wieloma subskrypcjami.

Przegląd polityk w portalu Microsoft Purview

Aby wyświetlić zasady, na poziomie głównej kolekcji potrzebujesz roli Autora Polityki, Administratora Źródła Danych, Kuratora Danych lub Czytelnika Danych.

  1. Zaloguj się do portalu zarządzania Microsoft Purview.
  2. W lewym panelu wybierz Zasady danych, a następnie Zasady DevOps, aby przejrzeć swoje polityki DevOps.
  3. Wybierz Zasady dotyczące danych, aby przejrzeć zasady właściciela danych.
  4. Wybierz Self-service Access Policies , aby przejrzeć polityki samoobsługowe stworzone przez Purview na podstawie zatwierdzonych wniosków o dostęp.
  5. Zidentyfikuj polityki objęte zakresem Azure SQL Database, Azure SQL Managed Instance lub SQL Server 2022 z obsługą Azure Arc.

Te artykuły Microsoft Purview opisują konfigurację polityk na każdej platformie: Azure SQL Database, Azure SQL Managed Instance oraz SQL Server 2022 z obsługą Azure Arc. Aby uzyskać informacje o tym, do czego służą te polityki, zobacz koncepcje polityk Microsoft Purview DevOps.

Korzystanie z usługi Azure Resource Graph

Poniższe zapytania identyfikują zasoby SQL, które obecnie mają włączone polityki dostępu Purview.

For Azure SQL Database:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

W przypadku Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Dla SQL Server 2022 z obsługą Azure Arc:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Przejdź na natywne role i uprawnienia SQL

Zastąp każdą akcję zasad Purview stałą rolą na poziomie serwera, przypisaną tym samym użytkownikom i grupom Microsoft Entra. Następujące role są dostępne w Azure SQL Database, Azure SQL Managed Instance oraz SQL Server 2022 z włączoną obsługą Azure Arc.

akcja zasad Purview Równoważna rola serwera SQL
Monitorowanie wydajności SQL ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
Audyt bezpieczeństwa SQL ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Połącz się z bazą danych bez użytkownika bazy danych ##MS_DatabaseConnector##

Przypisz tylko role, których wymaga funkcja stanowiska. Cztery role czytelnika są każda z nich węższe niż ##MS_ServerStateReader## i ##MS_DefinitionReader##, co pomaga spełnić zasadę najmniejszych przywilejów.

Pełną listę ról i uprawnień, które przyznaje każda z nich, można znaleźć w artykule Role na poziomie serwera oraz role serwera Azure SQL Database dla zarządzania uprawnieniami.

Note

W Azure SQL Database, uruchom CREATE LOGIN i ALTER SERVER ROLE będąc połączonym z wirtualną master bazą danych.

Zastąp dostęp do monitorowania wydajności SQL

Utwórz login dla grupy zabezpieczeń Microsoft Entra, a następnie dodaj go do stałych ról serwera związanych z wydajnością, których wymaga Twój scenariusz.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Zastąp dostęp do audytu zabezpieczeń SQL

Utwórz logowanie dla grupy zabezpieczeń Microsoft Entra, a następnie przypisz role czytelnika stanu zabezpieczeń i definicji zabezpieczeń, które odpowiadają obowiązkom audytowym, które chcesz zachować.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Zezwalaj na połączenia bez użytkownika bazy danych

Jeśli polityka Purview pozwala podmiotowi łączyć się z bazą danych bez użytkownika aprowizowanego w tej bazie danych, użyj roli serwera ##MS_DatabaseConnector##.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Stwórz grupy zabezpieczeń Microsoft Entra, które reprezentują role zawodowe, takie jak monitory wydajności SQL, audytorzy zabezpieczeń SQL, operacje SQL oraz właściciele danych SQL.
  • Utwórz odpowiedni login SQL lub użytkownika bazy danych z każdej grupy Microsoft Entra.
  • Przypisz tylko stałe role serwera, role bazy danych lub wyraźne uprawnienia wymagane przez funkcję stanowiska.
  • Najpierw przetestuj skrypty w środowisku nieprodukcyjnym i porównaj efektywne uprawnienia z dostępem przyznanym przez politykę Purview.
  • Przed usunięciem zależności od polityki Purview zweryfikuj dostęp u użytkowników reprezentatywnych.
  • Miej przygotowany plan wycofania i usuń przypisania starszego typu dopiero po zakończeniu walidacji.

Wymagana akcja

Aby uniknąć utraty dostępu:

  1. Zidentyfikuj zasoby SQL regulowane przez polityki Microsoft Purview DevOps, polityki właściciela danych lub samoobsługowe.
  2. Przeglądaj użytkowników i grupy, które otrzymują dostęp na podstawie tych polityk.
  3. Odtwórz dostęp, używając natywnych ról SQL i uprawnień przypisanych użytkownikom i grupom Microsoft Entra.
  4. Zweryfikuj nowy dostęp przed 30 października 2027 roku.
  5. Usuń pozostałe zależności od polityk dostępu Purview do zasobów SQL.

Często zadawane pytania

Co jest wycofywane?

Polityki dostępu Microsoft Purview dla SQL, obejmujące polityki DevOps, polityki właściciela danych oraz polityki samoobsługi, dla Azure SQL Database, Azure SQL Managed Instance oraz SQL Server 2022 z obsługą Azure Arc.

Czy moje obecne polisy są dziś objęte zmianami?

No. Twoje obecne polisy działają do 30 października 2027 roku.

Co się stanie po 30 października 2027 roku?

SQL przestaje egzekwować polityki dostępu Purview. Dostęp, który te polityki przyznały, nie jest już dostępny.

Czego powinienem użyć zamiast tego?

Wbudowana autoryzacja SQL, która przypisuje stałe role i uprawnienia na poziomie serwera użytkownikom i grupom Microsoft Entra. Zobacz Przejdź na natywne role i uprawnienia SQL.

Skąd mam wiedzieć, czy ten problem mnie dotyczy?

Przejrzyj swoje polityki DevOps, właściciela danych i samoobsługi w portal Microsoft Purview oraz uruchom zapytania Azure Resource Graph w sekcji Jak zidentyfikować dotknięte zasoby.

Treści powiązane

  • Ostatnia aktualizacja o