Visão geral das integrações de segurança do OneLake (versão prévia)

Este artigo descreve como usar o modelo de mecanismo autorizado para permitir que qualquer mecanismo ou aplicativo se integre aos dados protegidos do OneLake.

A segurança do OneLake fornece controle de acesso granular aos dados no OneLake e impõe esse controle em todos os lugares onde os dados são acessados. A segurança do OneLake foi projetada em torno de uma definição de política centralizada com imposição controlada e distribuída. As políticas de segurança, como permissões baseadas em função, RLS (segurança em nível de linha) e CLS (segurança em nível de coluna), são criadas e armazenadas uma vez no OneLake. A imposição ocorre no momento da consulta dentro do mecanismo que está lendo os dados. No entanto, nem todos os mecanismos entendem como impor as políticas de controle de acesso definidas no OneLake. Como resultado, o OneLake bloqueia o acesso a dados com políticas RLS ou CLS definidas nele se o usuário não tiver permissão para ver todos os dados. Para permitir que seu próprio mecanismo ou aplicativo imponha a segurança do OneLake, configure-o como um mecanismo autorizado.

Como funciona a fiscalização distribuída

O OneLake concede a cada mecanismo autorizado o acesso efetivo de um usuário, incluindo as tabelas, linhas e colunas às quais o usuário pode acessar. O motor aplica essas permissões em sua própria camada de consulta. Aplicar políticas no mecanismo de consulta permite que o motor utilize suas capacidades nativas de processamento de consultas, cache e otimização, enquanto o OneLake permanece como fonte de verdade para as definições de políticas. Um motor que não pode aplicar as permissões RLS ou CLS de um usuário não pode ler a tabela protegida em nome desse usuário.

Configurar um mecanismo autorizado

Os mecanismos autorizados são configurados por um Administrador ou Membro da área de trabalho concedendo à identidade do mecanismo os privilégios necessários no Fabric. Para cada mecanismo que você deseja autorizar, use as seguintes etapas:

• Consulte a documentação do seu mecanismo para encontrar a identidade que ele utiliza ao consultar dados de fontes externas. Observe que somente as identidades do Microsoft Entra têm suporte no Fabric.
• Adicione a identidade do mecanismo à função Membro por meio das permissões do workspace. O acesso autorizado do mecanismo está limitado a workspaces específicos. Esta etapa fornece à identidade os privilégios necessários para ler metadados de função de segurança do OneLake e ler os arquivos de dados físicos do OneLake. Você pode revogar o acesso da identidade a qualquer momento removendo-o da função de workspace.

Conteúdo relacionado

• Referência de integrações de segurança do OneLake
• Guia de integrações de segurança do OneLake
• Como a segurança da OneLake controla o acesso a dados