使用 Microsoft Purview 数据所有者策略 (预览版) 预配对 Azure 存储的读取访问权限

数据所有者策略 是一种Microsoft Purview 访问策略。 它们允许你管理对已在 Microsoft Purview 中为 数据策略强制 注册的源中的用户数据的访问权限。 可以直接在 Microsoft Purview 治理门户中创作这些策略，发布后，数据源会强制实施这些策略。

本指南介绍了数据所有者如何委托Microsoft Purview 管理对 Azure 存储数据集的访问。 目前支持以下两个 Azure 存储源：

• Blob 存储
• Azure Data Lake Storage （ADLS） Gen2

先决条件

• 拥有有效订阅的 Azure 帐户。 创建账户。

• 新的或现有的 Microsoft Purview 帐户。 按照本快速入门指南创建一个。

区域支持

• 支持所有 Microsoft Purview 区域。

如果需要，可以按照此指南创建新的存储帐户。

为 Microsoft Purview 中的策略配置 Azure 存储帐户所在的订阅

仅在某些区域需要此步骤 (请参阅上一部分) 。 为了支持 Microsoft Purview 管理一个或多个 Azure 存储帐户的策略，请在要部署 Azure 存储帐户的订阅中执行以下 PowerShell 命令。 使用这些 PowerShell 命令，可以支持 Microsoft Purview 管理该订阅中所有 Azure 存储帐户的策略。

如果你是在本地执行这些命令，请确保以管理员身份运行 PowerShell。

# Install the Az module
Install-Module -Name Az -Scope CurrentUser -Repository PSGallery -Force
# Login into the subscription
Connect-AzAccount -Environment AzureChinaCloud -Subscription <SubscriptionID>
# Register the feature
Register-AzProviderFeature -FeatureName AllowPurviewPolicyEnforcement -ProviderNamespace Microsoft.Storage

如果最后一个命令的输出显示“RegistrationState”为“Registered”，则表明您的订阅已启用访问策略。 如果输出为“正在注册”，请等待至少 10 分钟，然后重试命令。 除非 RegistrationState 显示为“已注册”，否则不要继续。

Microsoft Purview 配置

在 Microsoft Purview 中注册数据源

你必须先在 Microsoft Purview Studio 中注册一个数据资源，然后才能在 Microsoft Purview 中为该数据资源创建策略。 本指南稍后将会提供与注册数据资源相关的说明。

配置权限以启用数据源上的数据策略实施

注册资源后，必须在 Microsoft Purview 中为该资源创建策略之前配置权限。 需要具有一组权限才能启用“数据策略实施”。 这适用于数据源、资源组或订阅。 若要启用“数据策略实施”，则必须同时拥有对资源的特定标识和访问管理 (IAM) 特权以及特定的 Microsoft Purview 特权：

• 你必须在资源的 Azure 资源管理器路径或其任何父路径上拥有以下任一 IAM 角色组合（即使用 IAM 权限继承）：

  • IAM 所有者
  • IAM 参与者和 IAM 用户访问管理员

  若要配置 Azure 基于角色的访问控制 (RBAC) 权限，请按照指南进行操作。 以下屏幕截图显示了如何访问 Azure 门户中的访问控制部分，以便为数据资源添加角色分配。

  

  注释

  数据资源的IAM 所有者角色可以从父资源组、订阅或订阅管理组继承。 检查哪些 Microsoft Entra 用户、组别和服务主体持有或继承资源的“IAM 所有者”角色。

• 你还需要有集合或父集合（如果启用了继承）的 Microsoft Purview“数据源管理员”角色。 有关详细信息，请参阅有关管理 Microsoft Purview 角色分配的指南。

  以下屏幕截图显示了如何在根集合级别分配数据源管理员角色。

  

配置 Microsoft Purview 权限以创建、更新或删除访问策略

若要创建、更新或删除策略，你需要在 Microsoft Purview 中的根集合级别获取“策略创建者”角色：

• “策略创建者”角色可以创建、更新以及删除 DevOps 和数据所有者策略。
• 策略创建者角色可以删除自助服务访问策略。

有关管理 Microsoft Purview 角色分配的详细信息，请参阅在Microsoft Purview 数据映射中创建和管理集合。

此外，为了在创建或更新策略主题时能够轻松搜索 Microsoft Entra 用户或组，在 Microsoft Entra ID 中获取目录读取者权限可为你提供极大的帮助。 这是 Azure 租户中用户的常见权限。 如果没有目录读取者权限，策略创建者必须键入数据策略主题中包含的所有主体的完整用户名或电子邮件地址。

将访问权限配置职责委托给 Microsoft Purview 中的角色

在为某个资源启用“数据策略实施”后，任何在根集合级别具有“策略创建者”角色的 Microsoft Purview 用户都可以从 Microsoft Purview 预配对该数据源的访问权限。

如果带有已发布策略的 Microsoft Purview 帐户被删除，则此类策略将在一段时间内停止强制执行，具体取决于特定数据源。 此更改可能对安全性和数据访问可用性都有影响。 IAM 中的参与者角色和所有者角色可以删除 Microsoft Purview 帐户。 可以通过转到 Microsoft Purview 帐户的访问控制 (IAM) 部分并选择“角色分配”来检查这些权限。 还可以使用锁以防止 Microsoft Purview 帐户通过 Azure 资源管理器锁被删除。

在 Microsoft Purview 中注册数据源以实施数据策略

需要先将 Azure 存储资源注册到 Microsoft Purview，以便稍后定义访问策略。

若要注册资源，请遵循以下指南的 先决条件 和 注册 部分：

• 注册和扫描 Azure 存储 Blob - Microsoft Purview

• 注册并扫描 Azure Data Lake Storage (ADLS) Gen2 - Microsoft Purview

注册资源后，需要启用数据策略强制实施。 数据策略强制需要某些权限，并且可能会影响数据的安全性，因为它委托给某些Microsoft Purview 角色来管理对数据源的访问。 本指南详细介绍了与数据策略强制实施相关的安全做法：如何启用数据策略强制实施

数据源启用“数据策略强制”切换后，如下所示：

创建和发布数据所有者策略

执行数据所有者策略创作教程的创建新策略和发布策略部分中的步骤。 结果将是类似于图中所示示例的数据所有者策略：一个策略，该策略向组 Contoso Team 提供对存储帐户 marketinglake1 的读取访问权限：

取消发布数据所有者策略

单击此链接，了解 在 Microsoft Purview 中取消发布数据所有者策略的步骤。

更新或删除数据所有者策略

通过此链接了解 更新或删除 Microsoft Purview 中的数据所有者策略的步骤。

数据消耗

• 数据使用者可以使用 Power BI 或 Azure Synapse Analytics 工作区等工具访问请求的数据集。
• Azure 存储资源管理器中的“复制”和“克隆”命令需要其他 IAM 权限才能工作，以及 Purview 中的“允许修改”策略。 在 IAM 中向Microsoft Entra主体提供 Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action 权限。
• 子容器访问：支持在存储帐户上低于容器级别设置的策略语句。 但是，如果用户仅在 Azure 存储帐户的文件或文件夹级别授予访问权限，则无法使用 Azure 门户的存储浏览器或 Azure 存储资源管理器工具浏览到数据资产。 这是因为这些应用尝试从容器级别开始向下爬网层次结构，并且请求失败，因为该级别未授予任何访问权限。 相反，请求数据的应用必须通过向数据对象提供完全限定的名称来执行直接访问。 以下文档演示了如何执行直接访问的示例。 另请参阅本作指南的 后续步骤 部分中的博客。
  • ADLS Gen2 的 abfs
  • 适用于 Blob 存储的 az storage blob download

其他信息

• 在存储帐户级别创建策略使使用者能够访问系统容器，例如 $logs。 如果这是不需要的，请先扫描数据源，然后为每个 (创建更精细的策略，即容器级别或子容器级别) 。
• 如果此类策略的范围是存储帐户中的订阅、资源组、存储帐户或容器，则Microsoft Purview 允许类型 RBAC 策略中的Microsoft Entra主体可以访问容器中的根 Blob。
• 如果此类策略的作用域是订阅、资源组或存储帐户，则Microsoft Purview 允许类型 RBAC 策略中的Microsoft Entra主体可以访问存储帐户中的根容器。

限制

• 存储帐户可以强制实施Microsoft Purview 策略的限制为每个订阅 100 MB，这大致相当于 5,000 个策略。

已知问题

与策略创建相关的已知问题

• 不要基于 purview 资源集Microsoft创建策略语句。 即使显示在 Microsoft Purview 策略创作 UI 中，它们也尚未强制执行。 详细了解 资源集。

策略作映射

本部分包含Microsoft Purview 数据策略中的作如何映射到 Azure 存储中的特定作的参考。

后续步骤

查看博客、演示和相关教程：

• Azure 存储访问策略演示
• 文档： Microsoft Purview 数据所有者策略的概念
• 文档： 预配对订阅或资源组中所有数据源的访问权限
• 博客： Microsoft Ignite 2021 Microsoft Purview 的新增功能
• 博客： 授予文件夹级别权限后访问数据
• 博客： 授予文件级别权限后访问数据
• 博客： 通过 API 授予用户对企业中的数据资产的访问权限