Utfasning av Microsoft Purview-åtkomstpolicyer för SQL

Gäller för:Azure SQL DatabaseAzure SQL Managed InstanceSQL Server aktiverad av Azure Arc

Microsoft Purview-åtkomstpolicyer för SQL, som inkluderar DevOps-policyer, dataägarpolicyer och självbetjäningspolicyer, dras tillbaka den 30 oktober 2027. Den här artikeln förklarar vad som förändras, hur man kan se om man påverkas och hur man flyttar de behörigheter som dessa policyer ger till SQL-native roller och behörigheter.

Avvecklingen gäller Azure SQL Database, Azure SQL Managed Instance och Azure Arc-enabled SQL Server 2022.

Vad förändras?

Microsoft Purview åtkomstpolicyer för SQL upphör den 30 oktober 2027.

Istället för Microsoft Purview-åtkomstpolicys, använd SQL:s inbyggda auktoriseringsmodell, som tilldelar SQL-roller och behörigheter till Microsoft Entra-användare och grupper.

Fram till den 30 oktober 2027 fortsätter dina befintliga DevOps-, dataägar- och självbetjäningspolicys att fungera som de gör idag. Efter det datumet tillämpar SQL dem inte längre och tar bort all åtkomst som ges genom dem.

Vem som påverkas

Om din organisation använder Microsoft Purview DevOps, dataägare eller självbetjäningspolicys för att ge tillgång till SQL-resurser, förlorar dina användare åtkomst efter den 30 oktober 2027 om du inte konfigurerar motsvarande behörigheter med SQL native auktorisation.

Hur man identifierar påverkade resurser

Använd någon av metoderna. Purview-portalen visar dig själva policyerna. Azure Resource Graph visar vilka SQL-resurser som har extern styrning aktiverad, vilket är användbart när du hanterar många prenumerationer.

Granska policyer i Microsoft Purview-portal

För att lista policyer behöver du rollen Policy Author, Data Source Admin, Data Curator eller Data Reader på rotsamlingens rotnivå.

1. Logga in i Microsoft Purview-styrningsportalen.
2. På vänstra panelen, välj Datapolicy och välj sedan DevOps-policys för att granska dina DevOps-policys.
3. Välj datapolicys för att granska dina policyer för dataägare.
4. Välj Självbetjäningsåtkomstpolicyer för att granska de självbetjäningspolicyer som Purview skapat från godkända åtkomstförfrågningar.
5. Identifiera policyerna som omfattar Azure SQL Database, Azure SQL Managed Instance eller Azure Arc-enabled SQL Server 2022.

Dessa Microsoft Purview-artiklar beskriver principkonfigurationen på varje plattform: Azure SQL Database, Azure SQL Managed Instance och Azure Arc-enabled SQL Server 2022. För bakgrund om vad policyerna gör, se Microsoft Purview DevOps policies concepts.

Använd Azure Resource Graph

Följande frågor identifierar SQL-resurser som för närvarande har Purview-åtkomstpolicys aktiverade.

För Azure SQL Database:

resources
| where type == "microsoft.sql/servers"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

För Azure SQL Managed Instance:

resources
| where type == "microsoft.sql/managedinstances"
| where properties.externalGovernanceStatus == 'Enabled'
| project SubscriptionId=subscriptionId, ResourceId = id

För Azure Arc-enabled SQL Server 2022:

resources
| where type == 'microsoft.hybridcompute/machines/extensions'
| where name contains "SqlServer"
| where properties.instanceView.status contains "PurviewPlugin"
| where properties.instanceView.status contains "Purview Plugin:"
| where properties.instanceView.status !contains "Purview Plugin: []"
| where properties.instanceView.status contains "Azure Purview"
| project SubscriptionId=subscriptionId, ResourceId = id

Migrera till SQL-native roller och behörigheter

Ersätt varje Purview-policyåtgärd med en fast servernivåroll, tilldelad till samma Microsoft Entra-användare och grupper. Följande roller finns tillgängliga på Azure SQL Database, Azure SQL Managed Instance och Azure Arc-enabled SQL Server 2022.

Tilldela endast de roller som arbetsfunktionen kräver. De fyra läsarrollerna är var och en snävare än ##MS_ServerStateReader## och ##MS_DefinitionReader##, vilket hjälper dig att följa principen om minsta privilegium.

För hela listan över roller och de behörigheter som varje roll ger, se Server-level roles och Azure SQL Database server roles för behörighetshantering.

Ersätt åtkomst för SQL-prestandaövervakning

Skapa en inloggning för en Microsoft Entra-säkerhetsgrupp och lägg sedan till den i de prestandafokuserade fasta serverroller som ditt scenario behöver.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Performance-Monitors]
FROM EXTERNAL PROVIDER;

-- Grant access to server performance state information
ALTER SERVER ROLE [##MS_ServerPerformanceStateReader##]
ADD MEMBER [SQL-Performance-Monitors];

-- Grant access to performance-related definitions
ALTER SERVER ROLE [##MS_PerformanceDefinitionReader##]
ADD MEMBER [SQL-Performance-Monitors];

Ersätt åtkomst för SQL-säkerhetsgranskning

Skapa en inloggning för en Microsoft Entra-säkerhetsgrupp, och tilldela sedan säkerhetsstatus- och säkerhetsdefinitionsläsarroller som matchar de granskningsansvar som du vill bevara.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Security-Auditors]
FROM EXTERNAL PROVIDER;

-- Grant access to server security state information
ALTER SERVER ROLE [##MS_ServerSecurityStateReader##]
ADD MEMBER [SQL-Security-Auditors];

-- Grant access to security-related definitions
ALTER SERVER ROLE [##MS_SecurityDefinitionReader##]
ADD MEMBER [SQL-Security-Auditors];

Tillåt anslutningar utan databasanvändare

Om en Purview-policy låter ett säkerhetsobjekt ansluta till en databas utan att en användare är provisionerad i den databasen, använd den fasta serverrollen ##MS_DatabaseConnector##.

-- Create a login for a Microsoft Entra security group
CREATE LOGIN [SQL-Operations-Team]
FROM EXTERNAL PROVIDER;

-- Allow the login to connect to databases without a mapped database user
ALTER SERVER ROLE [##MS_DatabaseConnector##]
ADD MEMBER [SQL-Operations-Team];

Rekommenderad migrationsmetod

• Skapa Microsoft Entra-säkerhetsgrupper som representerar arbetsfunktioner, såsom SQL-prestandaövervakare, SQL-säkerhetsrevisorer, SQL-operationer och SQL-dataägare.
• Skapa motsvarande SQL-inloggning eller databasanvändare för varje Microsoft Entra-grupp.
• Tilldela endast de fasta serverroller, databasroller eller uttryckliga behörigheter som jobbfunktionen kräver.
• Testa skripten i en icke-produktionsmiljö först och jämför de effektiva behörigheterna med den åtkomst som Purview-policyn gav.
• Validera åtkomsten med representativa användare innan du tar bort beroendet av Purview-policyn.
• Behåll en rollback-plan och ta bort de äldre tilldelningarna först efter att valideringen är klar.

Nödvändig åtgärd

För att undvika att förlora tillgången:

1. Identifiera SQL-resurser som styrs av Microsoft Purview DevOps, policyer för dataägare eller självbetjäningspolicyer.
2. Granska de användare och grupper som får tillgång genom dessa policys.
3. Återskapa åtkomsten genom att använda SQL-native roller och behörigheter som har tilldelats Microsoft Entra-användare och grupper.
4. Validera den nya åtkomst före den 30 oktober 2027.
5. Ta bort dina återstående beroenden av Purviews åtkomstpolicys för SQL-resurser.

Vanliga frågor och svar

Vad tas ur bruk?

Microsoft Purview åtkomstpolicys för SQL, som inkluderar DevOps-policys, dataägarpolicys och självbetjäningspolicys, för Azure SQL Database, Azure SQL Managed Instance och Azure Arc-aktiverad SQL Server 2022.

Påverkas mina befintliga försäkringar idag?

No. Dina befintliga försäkringar fungerar till och med den 30 oktober 2027.

Vad händer efter den 30 oktober 2027?

SQL slutar tillämpa Purview-åtkomstpolicyer. Den åtkomst som dessa policyer har beviljat är inte längre tillgänglig.

Vad borde jag använda istället?

SQL:s inbyggda auktorisation, som tilldelar fasta serverroller och behörigheter till Microsoft Entra-användare och grupper. Se Migrering till SQL-native roller och behörigheter.

Hur vet jag om jag är påverkad?

Granska dina DevOps-, dataägar- och självbetjäningspolicyer i Microsoft Purview-portal, och kör Azure Resource Graph-frågorna i How to identify affected resources.

Relaterat innehåll

• Roller på servernivå
• Azure SQL Database-serverroller för behörighetshantering
• Microsoft Entra-autentisering för Azure SQL
• Microsoft Purview-begrepp för DevOps-policyer
• Provisionera åtkomst till systemmetadata i Azure SQL Database med hjälp av Microsoft Purview DevOps-policyer
• Etablera läsåtkomst till Azure SQL Database med Microsoft Purview-dataägarprinciper
• Självbetjäningsprinciper för Azure SQL Database (förhandsversion)
• Nedlagd SQL Server databasmotorfunktionalitet