Aposentadoria das políticas de acesso do Microsoft Purview para SQL

Aplica-se a:Banco de Dados SQL do AzureInstância Gerenciada de SQL do AzureSQL Server ativado pelo Azure Arc

As políticas de acesso Microsoft Purview para SQL, que incluem políticas DevOps, políticas de proprietário de dados e políticas de autoatendimento, serão aposentadas em 30 de outubro de 2027. Este artigo explica o que está mudando, como saber se você foi afetado e como migrar o acesso concedido por essas políticas para funções e permissões nativas do SQL.

A descontinuação se aplica ao Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure e SQL Server 2022 habilitado para Azure Arc.

O que está mudando

As políticas de acesso do Microsoft Purview para SQL serão desativadas em 30 de outubro de 2027.

Em vez das políticas de acesso do Microsoft Purview, utilize o modelo nativo de autorização do SQL, que atribui funções e permissões SQL aos usuários e grupos do Microsoft Entra.

Até 30 de outubro de 2027, suas políticas existentes de DevOps, proprietário de dados e autoatendimento continuarão funcionando como hoje. Após essa data, o SQL não os aplica mais e remove qualquer acesso concedido por meio deles.

Quem é afetado

Se sua organização utiliza políticas de Microsoft Purview DevOps, proprietário dos dados ou autoatendimento para conceder acesso a recursos SQL, seus usuários perderão o acesso após 30 de outubro de 2027, a menos que você configure permissões equivalentes usando autorização nativa do SQL.

Como identificar os recursos afetados

Use qualquer um dos métodos. O portal Purview mostra as próprias políticas. Azure Resource Graph mostra quais recursos SQL têm governança externa ativada, o que é útil quando você gerencia muitas assinaturas.

Reveja as políticas no portal do Microsoft Purview

Para listar políticas, você precisa das funções de Autor de Política, Administrador de Fonte de Dados, Curador de Dados ou Leitor de Dados no nível da coleção raiz.

  1. Entre no portal de governança do Microsoft Purview.
  2. No painel esquerdo, selecione Política de dados e depois selecione políticas DevOps para revisar suas políticas DevOps.
  3. Selecione políticas de dados para revisar suas políticas de proprietário de dados.
  4. Selecione políticas de acesso de autoatendimento para revisar as políticas de autoatendimento que a Purview criou a partir de solicitações de acesso aprovadas.
  5. Identifique as políticas com escopo para Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure ou Azure Arc-enabled SQL Server 2022.

Estes artigos do Microsoft Purview descrevem a configuração de políticas em cada plataforma: Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure e SQL Server 2022, habilitado para Azure Arc. Para contexto sobre o que as políticas fazem, veja Microsoft Purview DevOps policy concepts.

Usar Azure Resource Graph

As consultas a seguir identificam recursos SQL que atualmente possuem políticas de acesso ao Purview ativadas.

Para Banco de Dados SQL do Azure:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para Instância Gerenciada de SQL do Azure:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para SQL Server habilitado para Azure Arc 2022:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migrar para papéis e permissões nativos do SQL

Substitua cada ação de política do Purview por um papel fixo em nível de servidor, atribuído aos mesmos usuários e grupos do Microsoft Entra. As seguintes funções estão disponíveis no Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure e SQL Server 2022 habilitado para Azure Arc.

Ação de política do Purview Função equivalente do SQL Server
Monitoramento de desempenho SQL ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
Auditoria de segurança SQL ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Conecte-se a um banco de dados sem um usuário de banco de dados ##MS_DatabaseConnector##

Atribua apenas os papéis que a função exige. Os quatro papéis do leitor são cada um mais restrito que ##MS_ServerStateReader## e ##MS_DefinitionReader##, o que ajuda você a cumprir o princípio do menor privilégio.

Para a lista completa de funções e as permissões que cada uma concede, veja Funções no nível do servidor e Funções de servidor do Banco de Dados SQL do Azure para gerenciamento de permissões.

Note

No Banco de Dados SQL do Azure, execute CREATE LOGIN e ALTER SERVER ROLE enquanto estiver conectado ao banco de dados virtual master.

Substituir o acesso ao monitoramento de desempenho SQL

Crie um login para um grupo de segurança do Microsoft Entra e depois adicione-o às funções de servidor fixas focadas em desempenho de que seu cenário precisar.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Substituir o acesso de auditoria de segurança do SQL

Crie um login para um grupo de segurança do Microsoft Entra e, em seguida, atribua as funções de leitor de estado de segurança e leitor de definição de segurança que correspondam às responsabilidades de auditoria que você deseja manter.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Permitir conexões sem um usuário de banco de dados

Se uma política do Purview permite que um principal se conecte a um banco de dados sem um usuário provisionado nesse banco de dados, use o ##MS_DatabaseConnector## papel fixo de servidor.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Crie grupos de segurança Microsoft Entra que representem funções do trabalho, como monitores de desempenho SQL, auditores de segurança SQL, operações SQL e proprietários de dados SQL.
  • Crie o login SQL correspondente ou usuário de banco de dados de cada grupo Microsoft Entra.
  • Atribua apenas os papéis fixos de servidor, papéis de banco de dados ou permissões explícitas que a função de trabalho exige.
  • Teste os scripts em um ambiente não produtivo primeiro e compare as permissões efetivas com o acesso concedido pela política do Purview.
  • Valide o acesso com usuários representativos antes de remover a dependência da política Purview.
  • Mantenha um plano de rollback e remova as atribuições legadas somente após a validação terminar.

Ação necessária

Para evitar perder o acesso:

  1. Identifique os recursos SQL regidos pelas políticas de DevOps, proprietário de dados ou autoatendimento do Microsoft Purview.
  2. Analise os usuários e grupos que recebem acesso por meio dessas políticas.
  3. Recrie o acesso usando papéis nativos de SQL e permissões atribuídos aos usuários e grupos do Microsoft Entra.
  4. Valide o novo acesso antes de 30 de outubro de 2027.
  5. Remova suas dependências restantes das políticas de acesso Purview para recursos SQL.

Perguntas frequentes

O que está sendo aposentado?

Políticas de acesso ao Microsoft Purview para SQL, que incluem políticas DevOps, políticas de proprietário de dados e políticas de autoatendimento, para Banco de Dados SQL do Azure, Instância Gerenciada de SQL do Azure e SQL Server 2022 habilitado para Azure Arc.

Minhas apólices atuais estão sendo afetadas hoje?

No. Suas apólices atuais continuam funcionando até 30 de outubro de 2027.

O que acontece depois de 30 de outubro de 2027?

O SQL para de aplicar políticas de acesso ao Purview. O acesso concedido por essas políticas não estará mais disponível.

O que devo usar em vez disso?

A autorização embutida do SQL, que atribui funções e permissões fixas em nível de servidor para usuários e grupos do Microsoft Entra. Veja Migrar para funções nativas de SQL e permissões.

Como saber se fui afetado?

Revise suas políticas de DevOps, proprietário dos dados e autoatendimento no portal do Microsoft Purview, e execute as consultas do Azure Resource Graph em Como identificar recursos afetados.

Conteúdo relacionado

  • Última atualização em