重要事項
Microsoft Purview 統一目錄和傳統 Microsoft Purview 資料控管功能 (先前的 Azure Purview) 即將淘汰。 Microsoft 正在 Microsoft Fabric 中合併其資料控管功能。 您無法再建立新帳戶，現有功能將維持在維護模式，直到 2027 年 11 月 12 日為止。 如需淘汰時間表、轉換指引，以及建議的後續步驟，請參閱 Microsoft Purview 資料控管淘汰公告。
注意事項
Microsoft Purview 資料目錄 (傳統) 、Data Health Insights (傳統) ，以及 Purview 工作流程 (傳統) 不再接受新客戶，這些服務先前為 Azure Purview 現在處於客戶支援模式。
本文說明如何使用 Microsoft Purview 管理入口網站來管理資料資產中資料來源的存取權。 它著重於 DevOps 原則的基本概念。 也就是說，它提供了有關 DevOps 原則的背景資訊，您在遵循其他文章取得設定步驟之前應了解這些資訊。
注意事項
這項功能與 Microsoft Purview 管理入口網站中的內部存取控制不同。
對於 IT 和 DevOps 人員來說，存取系統元資料至關重要，以確保關鍵資料庫系統運作良好、執行符合預期且安全。 您可以透過 Microsoft Purview DevOps 原則有效率且大規模地授與和撤銷該存取權。
任何在 Microsoft Purview 的根集合層級擁有原則作者角色的使用者，都可以建立、更新及刪除 DevOps 原則。 儲存 DevOps 原則之後，會自動發佈。
存取原則與 DevOps 原則
Microsoft Purview 存取原則可讓客戶從雲端的中央位置管理整個資料資產的資料系統存取權。 您可以將這些原則視為可透過 Microsoft Purview Studio 建立的存取權授與，而不需要程式碼。 它們規定是否應允許或拒絕 Microsoft Entra 主體清單，例如使用者和群組，對資料來源或其中資產的特定類型存取。 Microsoft Purview 會將這些原則傳達給資料來源，並在此以原生方式強制執行。
DevOps 原則是一種特殊類型的 Microsoft Purview 存取原則。 它們授與資料庫系統中繼資料的存取權，而不是使用者資料。 它們簡化了 IT 運營和安全審計人員的訪問配置。 DevOps 原則僅授與存取權。 他們不會拒絕存取。
DevOps 原則的元素
三個元素定義 DevOps 原則：
主旨
這是獲授與存取權的 Microsoft Entra 使用者、群組或服務主體清單。
資料資源
這是強制執行原則的範圍。 資料資源路徑是訂用帳戶 > 資源群組 > 資料來源的組成。
Microsoft Purview DevOps 原則目前支援 SQL 類型資料來源。 您可以在個別資料來源以及整個資源群組和訂閱上進行設定。 只有在 Microsoft Purview 中註冊資料資源並開啟 資料原則強制執行 選項之後，才能建立 DevOps 原則。
角色
角色會對應至原則允許在資料資源上執行的一組動作。 DevOps 原則支援 SQL 效能監視器和 SQL 安全性稽核員角色。 這兩個角色都提供 SQL 系統中繼資料的存取權，更具體地說是動態管理檢視 (DMVs) ，以及動態管理功能 (DMF) 。 但是這些角色授與的 DMV 和 DMF 集合則不同。 我們將 在本文稍後提供一些熱門範例。
建立、清單、更新和刪除 Microsoft Purview DevOps 原則一文詳細說明每個資料來源類型的角色定義。 也就是說，它提供 Microsoft Purview 中的角色與該類型資料來源中允許的動作的對應。 例如，SQL 效能監視器和 SQL 安全性稽核員的角色定義包括伺服器層級的 連線 動作，以及資料來源端的資料庫層級。
本質上，DevOps 原則會將角色的相關許可權指派給主體，並在資料資源路徑的範圍內強制執行。
階層式強制執行原則
資料資源上的 DevOps 原則會強制執行在資料資源本身及其包含的所有子資源上。 例如，Azure 訂用帳戶上的 DevOps 原則適用於所有資源群組、每個資源群組內所有已啟用原則的資料來源，以及每個資料來源內的所有資料庫。
示範概念和優點的範例案例
Bob 和 Alice 參與了他們公司的 DevOps 流程。 他們必須登入數十個內部部署 SQL Server 執行個體和 Azure SQL 邏輯伺服器來監視其效能，讓重要的 DevOps 程式不會中斷。 他們的經理 Mateo 將所有這些 SQL 資料來源放入資源群組 1。 接著，他會建立一個 Microsoft Entra 群組，其中包含 Alice 和 Bob。 接下來，他會使用 Microsoft Purview DevOps 原則 (下圖) 中的原則 1，將此Microsoft Entra 群組授與對裝載邏輯伺服器之資源群組 1 的存取權。
顯示
這些是優點：
- Mateo 不必在每台伺服器中建立本機登入。
- 來自 Microsoft Purview 的原則可藉由限制本機特殊權限存取來改善安全性。 他們支持最低權限原則。 在此案例中，Mateo 只會授與 Bob 和 Alice 執行監視系統健康情況和效能工作所需的最低存取權。
- 將新伺服器新增至資源群組時，Mateo 不需要更新 Microsoft Purview 中的原則，即可在新伺服器上強制執行該原則。
- 如果 Alice 或 Bob 離開組織且工作已回填，Mateo 只會更新 Microsoft Entra 群組。 他不需要對伺服器或他在 Microsoft Purview 中建立的原則進行任何變更。
- 在任何時間點，Mateo 或公司的稽核員都可以看到直接在 Microsoft Purview Studio 中授與的所有權限。
| 原則 | 效益 |
|---|---|
| 簡化 | 角色定義 SQL 效能監視器和 SQL 安全性稽核員會擷取一般 IT 和 DevOps 角色執行其工作所需的權限。 |
| 針對每種資料來源類型，對權限專業知識的需求較少。 | |
| 減少工作量 | 圖形介面可讓您快速瀏覽資料物件階層。 |
| Microsoft Purview 支援整個 Azure 資源群組和訂用帳戶的原則。 | |
| 加強安全性 | 存取權是集中授與，而且可以輕鬆地檢閱和撤銷。 |
| 較不需要有特殊權限的帳戶直接在資料來源設定存取權。 | |
| DevOps 原則透過資料資源範圍和角色定義來支援最低權限原則。 | |
DevOps 原則 API
許多老練的客戶偏好透過指令碼與 Microsoft Purview 互動，而不是透過 UI 與之互動。 Microsoft Purview DevOps 原則現在支援提供完整建立、讀取、更新和刪除 (CRUD) 功能的 REST API。 此功能包括清單、SQL 效能監視器的原則，以及 SQL 安全性稽核員的原則。 如需詳細資訊，請參閱 API 規格。
螢幕
熱門 DMV 和 DMF 的對應
SQL 動態中繼資料包含 700 多個 DMV 和 DMF 的清單。 下表說明了一些最熱門的項目。 資料表會將 DMV 和 DMF 對應至其在 Microsoft Purview DevOps 原則中的角色定義。 它還提供參考內容的連結。
| DevOps 角色 | 類別 | 範例：DMV 或 DMF |
|---|---|---|
| SQL 效能監視器 | 查詢系統參數以了解您的系統 | sys.configurations |
| sys.dm_os_sys_info | ||
| 識別效能瓶頸 | sys.dm_os_wait_stats | |
| 分析目前執行中的查詢 | sys.dm_exec_query_stats | |
| 分析封鎖問題 | sys.dm_tran_locks | |
| sys.dm_exec_requests | ||
| sys.dm_os_waiting_tasks | ||
| 分析記憶體使用量 | sys.dm_os_memory_clerks | |
| 分析檔案使用情況與效能 | sys.master_files | |
| sys.dm_io_virtual_file_stats | ||
| 分析索引使用方式與分散 | sys.indexes | |
| sys.dm_db_index_usage_stats | ||
| sys.dm_db_index_physical_stats | ||
| 管理作用中的使用者連線和內部工作 | sys.dm_exec_sessions | |
| 取得程序執行統計資料 | sys.dm_exec_procedure_stats | |
| 使用查詢存放區 | sys.query_store_plan | |
| sys.query_store_query | ||
| sys.query_store_query_text | ||
| 取得錯誤記錄 (尚未支援) | sys.sp_readerrorlog | |
| SQL 安全性稽核員 | 取得稽核詳細資料 | sys.dm_server_audit_status |
| SQL 效能監視器和 SQL 安全性稽核員 | sys.dm_audit_actions | |
| sys.dm_audit_class_type_map | ||
如需有關當您透過 Microsoft Purview 角色授與 IT 支援人員存取權時，他們可以執行的動作詳細資訊，請參閱下列資源：
- SQL 效能監視器： 使用 Microsoft Purview 提供對 Azure SQL 和 SQL Server 中效能資料的大規模存取
- SQL Security Auditor： 安全性相關的動態管理檢視與功能
後續步驟
若要開始使用 DevOps 原則，請參閱下列資源：
- 嘗試 Azure SQL 資料庫的 DevOps 原則： 快速入門指南。
- 查看 其他影片、部落格和文章。