Identidade do espaço de trabalho

Uma identidade de espaço de trabalho Fabric é um principal de serviço automaticamente gerido que pode ser associado a um espaço de trabalho Fabric. Os espaços de trabalho do Fabric com uma identidade de espaço de trabalho podem ler ou gravar com segurança em contas de Azure Data Lake Storage Gen2 protegidas por firewall através de acesso de espaços de trabalho confiáveis para atalhos do OneLake. Os itens de tecido podem usar a identidade ao se conectar a recursos que oferecem suporte à autenticação do Microsoft Entra. O Fabric usa identidades de espaço de trabalho para obter tokens do Microsoft Entra sem que o cliente precise gerenciar nenhuma credencial.

As identidades de espaço de trabalho podem ser criadas nas configurações de espaço de trabalho de qualquer espaço de trabalho, exceto Meus espaços de trabalho.

Ao criar uma identidade de espaço de trabalho, o Fabric cria um principal de serviço no Microsoft Entra ID para representar a identidade. Um registo de aplicação acompanhante também é criado. O Fabric gerencia automaticamente as credenciais associadas às identidades do espaço de trabalho, evitando vazamentos de credenciais e tempo de inatividade devido ao tratamento inadequado de credenciais.

Embora as identidades do espaço de trabalho do Fabric compartilhem algumas semelhanças com as identidades gerenciadas do Azure, seu ciclo de vida, administração e governança são diferentes. A Fabric gere o ciclo de vida independente de uma identidade de espaço de trabalho. Podes, opcionalmente, associar um espaço de trabalho Fabric a uma identidade. Quando apagas permanentemente o espaço de trabalho, o Fabric apaga a identidade. O nome da identidade do espaço de trabalho é sempre o mesmo que o nome do espaço de trabalho ao qual está associado.

Criar e gerenciar uma identidade de espaço de trabalho

Você deve ser um administrador de espaço de trabalho para poder criar e gerenciar uma identidade de espaço de trabalho. O espaço de trabalho para o qual você está criando a identidade não pode ser um Meu Espaço de Trabalho.

1. Aceda ao portal do Microsoft Fabric.
2. Selecione Espaços de trabalho e, em seguida, selecione o espaço de trabalho para o qual você deseja criar uma identidade de espaço de trabalho.
3. No espaço de trabalho, selecione o ícone Configurações do espaço de trabalho (engrenagem).
4. Selecione o separador Identidade do espaço de trabalho.
5. Selecione o botão + Identidade do espaço de trabalho.

Quando a identidade do espaço de trabalho tiver sido criada, a guia exibirá os detalhes da identidade do espaço de trabalho e a lista de usuários autorizados.

As seções da configuração de identidade do espaço de trabalho são descritas nas seções a seguir.

Detalhes de identidade

Utilizadores autorizados

Para obter informações, consulte Controle de acesso.

Excluir uma identidade de espaço de trabalho

Quando uma identidade é excluída, os itens de malha que dependem da identidade do espaço de trabalho para acesso ou autenticação de espaço de trabalho confiável serão interrompidos. As identidades de espaço de trabalho excluídas não podem ser restauradas.

Como usar a identidade do espaço de trabalho

Atualmente, a identidade do espaço de trabalho pode ser usada de duas maneiras:

• Para autenticação: Para saber como esta identidade se apresenta como uma opção de autenticação ao ligar atalhos OneLake, pipelines, modelos semânticos e Dataflows Gen2 (CI/CD) a fontes de dados, consulte Autenticar com identidade de espaço de trabalho.

• Para garantir acesso a espaços de trabalho seguros: atalhos em um espaço de trabalho que tenha uma identidade própria podem ser usados para acessar serviços de confiança. Para obter mais informações, consulte Acesso a espaços de trabalho confiáveis.

Segurança, administração e governança da identidade do espaço de trabalho

As seções a seguir descrevem quem pode usar a identidade do espaço de trabalho e como você pode monitorá-la no Microsoft Purview e no Azure.

Controlo de acesso

A identidade do espaço de trabalho pode ser criada e excluída pelos administradores do espaço de trabalho. Por padrão, a identidade da área de trabalho não é atribuída a nenhuma função de área de trabalho.

A identidade do espaço de trabalho é suportada para autenticação para direcionar recursos em conexões. Somente usuários com uma função de administrador, membro ou colaborador no espaço de trabalho podem configurar a identidade do espaço de trabalho para autenticação em conexões.

Os administradores de aplicativos ou usuários com funções superiores podem exibir, modificar e excluir a entidade de serviço e o registro do aplicativo associados à identidade do espaço de trabalho no Azure.

Administrar a identidade do espaço de trabalho no Fabric

Os administradores do Fabric podem gerir as identidades de espaço de trabalho que criam no seu tenant. Utilize identidades do Fabric em Configurações na secção Govern do catálogo do OneLake.

1. No catálogo do OneLake, selecione Govern>Configurações>Identidades do Fabric.
2. Selecione uma identidade de espaço de trabalho e, em seguida, selecione Detalhes.
3. Na guia Detalhes, você pode exibir informações adicionais relacionadas à identidade do espaço de trabalho.
4. Você também pode apagar uma identidade de espaço de trabalho.

   Nota

   As identidades do espaço de trabalho não podem ser restauradas após a exclusão. Certifique-se de revisar as consequências da exclusão de uma identidade de espaço de trabalho descrita em Excluir uma identidade de espaço de trabalho.

Revise os eventos de identidade do espaço de trabalho no Auditoria do Microsoft Purview

Pode visualizar os eventos de auditoria gerados ao criar e eliminar identidades de espaços de trabalho no Auditoria do Microsoft Purview. Para aceder ao registo:

1. Vá ao Auditoria do Microsoft Purview.
2. No formulário de pesquisa de auditoria exibido, utilize o campo Atividades - nomes de atividades para procurar identidade de fábrica e localizar as atividades relacionadas às identidades de espaço de trabalho. Atualmente, as seguintes atividades relacionadas às identidades do espaço de trabalho são:
   • Identidade de Fabric criada para o espaço de trabalho
   • Identidade de Fabric recuperada para espaço de trabalho
   • Identidade de malha excluída para espaço de trabalho
   • Token de identidade de malha recuperado para espaço de trabalho

Administrar a identidade do espaço de trabalho no Azure

A aplicação associada à identidade do espaço de trabalho pode ser visualizada em aplicações empresariais e registos de aplicações no portal do Azure.

Aplicações Empresariais

O aplicativo associado à identidade do espaço de trabalho pode ser visto em Aplicativos Empresariais no portal do Azure. O aplicativo Fabric Identity Management é seu proprietário de configuração.

Para consultar os registos de auditoria e os registos de entrada para esta identidade:

1. Inicie sessão no portal do Azure.
2. Navegue até Microsoft Entra ID > Enterprise Applications.
3. Selecione registos de auditoria ou registos de entrada, conforme desejado.

Registos de aplicações

O aplicativo associado à identidade do espaço de trabalho pode ser visto em Registos de aplicações no portal do Azure. Nenhuma modificação deve ser feita lá, pois isso fará com que a identidade do espaço de trabalho pare de funcionar.

O registo da aplicação permanece listado enquanto a identidade do espaço de trabalho existir no Fabric, incluindo enquanto um espaço de trabalho eliminado estiver no seu período de retenção. Para mais informações, consulte Eliminar a identidade.

Cenários avançados

As seções a seguir descrevem cenários envolvendo identidades de espaço de trabalho que podem ocorrer.

Eliminar a identidade

A identidade do espaço de trabalho pode ser excluída nas configurações do espaço de trabalho. Quando uma identidade é excluída, os itens de malha que dependem da identidade do espaço de trabalho para acesso ou autenticação de espaço de trabalho confiável serão interrompidos. As identidades de espaço de trabalho excluídas não podem ser restauradas.

Fabric também elimina a identidade do espaço de trabalho, mas mantém o espaço de trabalho no estado Deleted durante o período de retenção do espaço de trabalho, para que um administrador o possa restaurar. Durante o período de retenção, o Fabric não desprovisiona a identidade do espaço de trabalho, e o seu principal de serviço e o registo da aplicação permanecem visíveis no portal Azure.

O Fabric desconfigura a identidade do espaço de trabalho quando o elimina permanentemente. Esta eliminação permanente ocorre de uma das seguintes formas:

• O período de retenção termina e um trabalho em segundo plano elimina permanentemente o espaço de trabalho.
• Um administrador do Fabric apaga permanentemente o espaço de trabalho durante o período de retenção. Para mais informações, consulte Eliminar permanentemente um espaço de trabalho colaborativo eliminado durante o período de retenção.

Após o início da eliminação permanente, a identidade do espaço de trabalho passa para o estado de Eliminação, e pode demorar algum tempo até que o principal de serviço associado e o registo da aplicação deixem de aparecer no Microsoft Entra ID.

Se eliminar regularmente espaços de trabalho e os recriar com o mesmo nome, poderá ver mais de um registo de aplicação com esse nome no seu inquilinato enquanto os espaços de trabalho eliminados ainda se encontrarem dentro do respetivo período de retenção. Para remover uma identidade de espaço de trabalho sem esperar que o período de retenção expire, utilize uma das seguintes opções:

• Antes de apagares o espaço de trabalho, elimina a identidade do espaço de trabalho no separador Identidade do espaço de trabalho das definições.
• Pede a um administrador do Fabric para apagar permanentemente o espaço de trabalho durante o período de retenção.

Se restaurares o espaço de trabalho após a eliminação, a identidade do espaço de trabalho não é restaurada. Se quiser que o espaço de trabalho restaurado tenha uma identidade de espaço de trabalho, crie um novo.

Renomeando o espaço de trabalho

Quando um espaço de trabalho é renomeado, a identidade do espaço de trabalho também é renomeada para corresponder ao nome do espaço de trabalho. No entanto, a aplicação Microsoft Entra e o principal de serviço permanecem iguais. Observe que pode haver vários objetos de aplicação e de registro de aplicações com o mesmo nome num locatário.

Considerações e limitações

• Você pode criar uma identidade de espaço de trabalho em qualquer espaço de trabalho, exceto Meu espaço de trabalho.

• Pode criar e usar uma identidade de espaço de trabalho independentemente do SKU de capacidade atribuído ao espaço de trabalho.

• A utilização da identidade da área de trabalho como credencial em ligações à cloud é suportada em qualquer capacidade.

• O acesso confiável ao espaço de trabalho a contas de armazenamento com firewall exige que o espaço de trabalho seja atribuído a uma capacidade Microsoft Fabric adquirida (SKU F).

• Se migrar um espaço de trabalho com identidade de espaço de trabalho para uma capacidade não Fabric, para uma capacidade Fabric não F SKU ou para uma capacidade de teste, a identidade não é desativada nem eliminada, mas os itens Fabric que dependem do acesso confiável ao espaço de trabalho deixam de funcionar.

• Pode ser criado um padrão de 10.000 identidades de espaço de trabalho num tenant. Também podes especificar o teu próprio limite máximo nas configurações do cliente, que se torna o limite superior para a criação de identidades do Fabric em todo o teu cliente. Para mais informações, consulte Definir o número máximo de identidades do Fabric num inquilino.

• O Fabric não remove uma identidade de espaço de trabalho quando apagas o seu espaço de trabalho. O Fabric só o remove depois de o espaço de trabalho ser eliminado permanentemente. Como resultado, o seu tenant pode conter mais de um registo de aplicação com o mesmo nome se apagar áreas de trabalho e as recriar com o mesmo nome. Para mais informações, consulte Eliminar a identidade.

• Os atalhos do Azure Data Lake Storage Gen2 num espaço de trabalho com identidade própria terão acesso a serviços de confiança.

• A identidade do espaço de trabalho não é suportada em cenários B2B ou em cenários de múltiplos inquilinos.

Solução de problemas com a criação de uma identidade de espaço de trabalho

• Se não for possível criar uma identidade de espaço de trabalho porque o botão de criação está desativado, verifique se você tem a função de administrador do espaço de trabalho.

• Se você tiver problemas na primeira vez que criar uma identidade de espaço de trabalho em seu locatário, tente as seguintes etapas:

  1. Se o estado de identidade do espaço de trabalho falhar, aguarde uma hora e exclua a identidade.
  2. Depois que a identidade for excluída, aguarde 5 minutos e crie a identidade novamente.

Conteúdos relacionados

• Autenticar com identidade do espaço de trabalho
• Acesso ao espaço de trabalho confiável
• Identidades de tecido