Descontinuação das políticas de acesso do Microsoft Purview para SQL

Aplica-se a:Base de Dados SQL do AzureAzure SQL Managed InstanceSQL Server enabled by Azure Arc

As políticas de acesso Microsoft Purview para SQL, que incluem políticas DevOps, políticas de proprietário de dados e políticas de autoserviço, serão retiradas a 30 de outubro de 2027. Este artigo explica o que está a mudar, como saber se está afetado e como transferir para papéis nativos do SQL e permissões o acesso concedido por essas políticas.

A aposentação aplica-se ao Base de Dados SQL do Azure, Azure SQL Managed Instance e ao SQL Server 2022 habilitado para Azure Arc.

O que muda

As políticas de acesso do Microsoft Purview para SQL serão descontinuadas a 30 de outubro de 2027.

Em vez das políticas de acesso do Microsoft Purview, utilize o modelo nativo de autorização do SQL, que atribui funções e permissões SQL aos utilizadores e grupos do Microsoft Entra.

Até 30 de outubro de 2027, as suas políticas atuais de DevOps, de proprietário de dados e de autoatendimento continuam a funcionar como hoje. Após essa data, o SQL deixa de os impor e remove qualquer acesso concedido através deles.

Quem é afetado

Se a sua organização usar Microsoft Purview DevOps, data owner ou políticas de autoatendimento para conceder acesso a recursos SQL, os seus utilizadores perderão o acesso após 30 de outubro de 2027, a menos que configure permissões equivalentes usando autorização nativa SQL.

Como identificar os recursos afetados

Use qualquer um dos métodos. O portal Purview mostra-lhe as próprias políticas. O Azure Resource Graph mostra-lhe quais os recursos SQL que têm governação externa ativada, o que é útil quando gere muitas subscrições.

Revise as políticas no portal do Microsoft Purview

Para listar políticas, é necessário o papel de Autor de Políticas, Administrador de Fontes de Dados, Curador de Dados ou Leitor de Dados ao nível da coleção raiz.

  1. Inicie sessão no portal de governação da Microsoft Purview.
  2. No painel esquerdo, selecione Política de dados e depois selecione políticas DevOps para rever as suas políticas DevOps.
  3. Selecione Políticas de dados para rever as suas políticas de proprietário de dados.
  4. Selecione políticas de acesso de self-service para rever as políticas de self-service que a Purview criou a partir de pedidos de acesso aprovados.
  5. Identifique as políticas com âmbito no Base de Dados SQL do Azure, Azure SQL Managed Instance ou Azure Arc-enabled SQL Server 2022.

Estes artigos da Microsoft Purview descrevem a configuração de políticas em cada plataforma: Base de Dados SQL do Azure, Azure SQL Managed Instance e Azure Arc-enabled SQL Server 2022. Para contexto sobre o que as políticas fazem, consulte conceitos das políticas do Microsoft Purview DevOps.

Utilize o Azure Resource Graph

As consultas seguintes identificam recursos SQL que atualmente têm as políticas de acesso Purview ativadas.

Para Base de Dados SQL do Azure:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para o Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

Para SQL Server 2022 com Azure Arc habilitado:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migrar para papéis nativos e permissões do SQL

Substituir cada ação de política Purview por um papel fixo ao nível do servidor, atribuído aos mesmos utilizadores e grupos da Microsoft Entra. As seguintes funções estão disponíveis no Base de Dados SQL do Azure, Azure SQL Managed Instance e SQL Server 2022 habilitado para Azure Arc.

Ação de política do Purview Função equivalente do SQL Server
Monitorização do desempenho de SQL ##MS_ServerPerformanceStateReader##, ##MS_PerformanceDefinitionReader##
Auditoria de segurança SQL ##MS_ServerSecurityStateReader##, ##MS_SecurityDefinitionReader##
Liga-te a uma base de dados sem um utilizador de base de dados ##MS_DatabaseConnector##

Atribua apenas as funções que a função profissional exige. Os quatro papéis do leitor são cada um mais restritos do que ##MS_ServerStateReader## e ##MS_DefinitionReader##, o que ajuda a cumprir o princípio do menor privilégio.

Para a lista completa de funções e as permissões que cada uma concede, veja Roles ao nível do servidor e Base de Dados SQL do Azure server roles para gestão de permissões.

Note

No Base de Dados SQL do Azure, execute CREATE LOGIN e ALTER SERVER ROLE enquanto estiver ligado à base de dados virtual master.

Substituir o acesso à monitorização do desempenho de SQL

Crie um login para um grupo de segurança Microsoft Entra e depois adicione-o às funções de servidor fixas focadas no desempenho de que o seu cenário necessita.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Substituir o acesso à auditoria de segurança do SQL

Crie um login para um grupo de segurança da Microsoft Entra e depois atribua as funções de estado de segurança e de leitor de definição de segurança que correspondam às responsabilidades de auditoria que está a preservar.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Permitir ligações sem utilizador de base de dados

Se uma política Purview permite que um principal se ligue a uma base de dados sem um utilizador provisionado nessa base de dados, use o ##MS_DatabaseConnector## papel fixo de servidor.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];
  • Crie grupos de segurança Microsoft Entra que representem funções do trabalho, como monitores de desempenho SQL, auditores de segurança SQL, operações SQL e proprietários de dados SQL.
  • Crie o login SQL correspondente ou utilizador de base de dados de cada grupo Microsoft Entra.
  • Atribuir apenas os papéis fixos de servidor, de base de dados ou permissões explícitas que a função de trabalho exige.
  • Teste primeiro os scripts num ambiente não produtivo e compare as permissões efetivas com o acesso concedido pela política do Purview.
  • Valide o acesso com utilizadores representativos antes de remover a dependência da política Purview.
  • Mantenha um plano de rollback e remova as atribuições legadas apenas depois da validação terminar.

Ação necessária

Para evitar perder o acesso:

  1. Identifique os recursos SQL regidos pelo Microsoft Purview DevOps, pelo proprietário dos dados ou por políticas de autoatendimento.
  2. Revise os utilizadores e grupos que recebem acesso através dessas políticas.
  3. Recrie o acesso usando funções nativas SQL e permissões atribuídas a utilizadores e grupos do Microsoft Entra.
  4. Valide o novo acesso antes de 30 de outubro de 2027.
  5. Remova as dependências remanescentes das políticas de acesso Purview para recursos SQL.

Perguntas frequentes

O que vai ser descontinuado?

Políticas de acesso Microsoft Purview para SQL, que incluem políticas DevOps, políticas de proprietário de dados e políticas de autoserviço, para Base de Dados SQL do Azure, Azure SQL Managed Instance e SQL Server 2022 habilitado para Azure Arc.

As minhas apólices atuais estão afetadas hoje?

No. As suas políticas atuais continuam a funcionar até 30 de outubro de 2027.

O que acontece depois de 30 de outubro de 2027?

O SQL deixa de aplicar as políticas de acesso ao Purview. O acesso que essas políticas concediam já não está disponível.

O que devo usar em vez disso?

A autorização incorporada do SQL, que atribui funções e permissões fixas ao nível do servidor aos utilizadores e grupos do Microsoft Entra. Veja Migrar para funções e permissões nativas do SQL.

Como é que sei se estou afetado?

Revise as suas políticas de DevOps, data owner e self-service no portal do Microsoft Purview, e execute as consultas do Azure Resource Graph em Como identificar recursos afetados.

Conteúdo relacionado

  • Última atualização a