أذونات اختصارات Microsoft Fabric: قواعد الأمان الداخلية مقابل الخارجية

By Mirko Peters · 2026-10-30

تعرّف على كيفية عمل أذونات اختصارات Microsoft Fabric، مع مقارنة تمرير هوية المستخدم الداخلية بقواعد أمان الاتصال الخارجي المخزَّن.

Automatically translated with AI from the original post. Read the English original

تحدد أذونات اختصارات Microsoft Fabric طريقة وصول المستخدمين إلى البيانات عبر مساحات العمل والسحب المتعددة دون نسخ الملفات. تعتمد الاختصارات الداخلية على تمرير هوية المستخدم، بينما تعتمد مصادر السحابة الخارجية على هويات اتصال مخزَّنة. ويساعد فهم حدود الأمان هذه في منع كشف البيانات غير المصرح به، وحل أخطاء الاستعلام المزعجة في المراحل اللاحقة.

النقاط الرئيسية

• تمرر الاختصارات الداخلية هوية المستخدم الذي يُجري الاستعلام، ما يستلزم صلاحيات وصول مباشرة في المسار المستهدف.
• تستخدم اختصارات السحابة الخارجية بيانات اعتماد الاتصال المخزَّنة، ما يمنح الوصول لأي شخص يستطيع قراءة lakehouse.
• عندما تتعارض مستويات الأذونات بين مسار الاختصار والمسار المستهدف، تكون قاعدة الأمان الأشد تقييداً هي الغالبة دائماً.
• تشكل الاختصارات القابلة للكتابة خطراً جسيماً يتمثل في حذف البيانات بشكل متسلسل إذا كانت أذونات الهدف مُهيأة بشكل خاطئ.
• يساعد التخطيط لحدود الأمان لديك على منع أخطاء الوصول غير المتوقعة عند توسيع نطاق البنى متعددة السحابات.

كيف تعمل أذونات اختصارات Microsoft Fabric

عند تنفيذ المؤشرات عبر مصادر بيانات مختلفة في OneLake، نادراً ما يكون الأمان إعداداً يُضبط مرة واحدة وينسى. على عكس نماذج مستودعات البيانات التقليدية، حيث تكون الأذونات مركزية وتُطبّق بشكل موحد على الجداول المنسوخة، تُدخل اختصارات Fabric مشكلة ازدواج الهوية. فهناك مسار الاختصار الذي يبدأ منه المستخدم الاستعلام، ومسار هدف تقيم فيه البيانات الفعلية. وتُقيّم Fabric كلا الطرفين قبل إرجاع أي صف بيانات، ما يجعل هندسة الأمان شرطاً تصميمياً حاسماً لمسؤولي السحابة.

تقوم فلسفة أمان Fabric الأساسية على مبدأ أقل الامتيازات، لكن الاختصارات تكسر قواعد الوصول التقليدية إلى حد ما. فبما أن البيانات لا تنتقل عند إنشاء الاختصار، يجب رسم خريطة دقيقة للأذونات المرتبطة بحساب التخزين الأساسي أو بحاوية Amazon S3 الخارجية أو بـ lakehouse الشقيق. وإذا امتلك المستخدم صلاحية القراءة على مساحة العمل التي تحتوي الاختصار، لكنه يفتقر إلى الوصول إلى الحاوية المصدر، فسيفشل الاستعلام. وعلى العكس، فإن منح أذونات واسعة جداً لهوية الاتصال المخزَّن قد يكشف عن غير قصد ملفات خارجية حساسة لمستخدمين متقدمين غير مصرح لهم.

الاختصارات الداخلية وانتشار هوية المستخدم

الاختصارات الداخلية — وهي الاختصارات التي تشير من عنصر Fabric إلى آخر، مثل lakehouse في مساحة عمل المبيعات يشير إلى جدول عملاء مشترك — تعمل باستخدام هويتك الدقيقة في Entra ID. وعند الاستعلام عن اختصار داخلي، تتحقق Fabric مما إذا كان حسابك يمتلك أذونات قراءة صريحة على مساحة العمل المستهدفة والعنصر. وإذا لم تكن لديك صلاحية عرض الجداول المصدر، فسيُرجع الاختصار خطأً.

تم تصميم هذا السلوك ليعكس حوكمة الوصول التقليدية. فهو يمنع المستخدمين المتقدمين من تجاوز حدود مساحات العمل بإنشاء اختصارات إلى مجموعات بيانات مقيّدة. غير أن ذلك يعني أيضاً أن منشئي التقارير يجب أن تُمنح لهم أذونات وصول مناسبة عبر مساحات عمل متعددة، مما يزيد من العبء الإداري لإدارة فرق التحليلات التعاونية.

الاختصارات الخارجية وهويات الاتصال المخزنة

تغيّر الاختصارات الخارجية ديناميكية الأمان تماماً. فعندما تُشير بحيرة منازل (lakehouse) في Fabric إلى حساب Azure Data Lake Storage Gen2 أو Amazon S3 أو Google Cloud Storage أو موقع شبكة محلي عبر بوابة البيانات، يتوقف انتقال هوية المستخدم عند حدود Fabric. وبدلاً من ذلك، تُصادق الاختصارات الخارجية باستخدام هوية اتصال مخزنة.

لهذا الفرق التشغيلي تداعيات أمنية كبيرة. فأي شخص لديه صلاحية قراءة على بحيرة المنازل في Fabric التي تحتوي على الاختصار الخارجي يستطيع الاستعلام عن مصدر البيانات الأساسي من خلاله، بغض النظر عما إذا كانت لديه بيانات اعتماد مباشرة إلى حاوية السحابة الخارجية. ويجب على المسؤولين التعامل مع بحيرات المنازل التي تحتوي على اختصارات خارجية كمناطق عالية الحساسية، مع تشديد أدوار مساحات العمل بإحكام لمنع استخراج البيانات دون تصريح.

قاعدة الأمان الأشد صرامة

عند استكشاف أخطاء الوصول في Microsoft Fabric، كثيراً ما يواجه المسؤولون القاعدة الحاكمة لأذونات الاختصارات: الإذن الأشد صرامة من بين الإذنين هو الذي يسود.

يتطلب تقييم هذه القاعدة النظر إلى طرفي المؤشر:

• أذونات مسار الاختصار: تعيينات الأدوار (Admin وMember وContributor وViewer) على مساحة العمل وبحيرة المنازل اللتين يوجد فيهما الاختصار.
• أذونات المسار الهدف: قوائم التحكم في الوصول (ACLs) أو سياسات IAM أو أذونات قواعد البيانات المطبقة مباشرة على الملفات أو الجداول المصدر.

إذا كان المستخدم Contributor على مساحة العمل التي تستضيف الاختصار، لكن لديه أذونات Viewer فقط على حساب التخزين الهدف، فلن يتمكن إلا من قراءة البيانات. وبالمقابل، إذا كان لدى المستخدم صلاحيات مسؤول كاملة على مجموعة البيانات المصدر، لكن دوره في مساحة العمل مقيّد بـ Viewer، فلن يستطيع تعديل إعدادات الاختصار أو إدارتها. يضمن هذا الإنفاذ ذو الطبقتين ألا يؤدي أي خطأ إعدادي منفرد إلى تعطيل الحاجز الأمني للمؤسسة بالكامل، لكنه يتطلب في المقابل توثيقاً دقيقاً عند التنسيق بين أقسام تقنية المعلومات المنفصلة.

مخاطر الاختصارات القابلة للكتابة والحذف المتسلسل

لا تقتصر أذونات الأمان على تحديد من يستطيع قراءة البيانات، بل تحدد أيضاً ما يستطيع المستخدمون تدميره. ومن أخطر الفخاخ التي يقع فيها مسؤولو الأنظمة المبتدئون الاختصارات القابلة للكتابة عند اقترانها بإعدادات هوية شديدة التساهل.

لا تُنفذ اختصارات Fabric عمليات حذف متسلسلة على البيانات الأساسية عند حذف كائن الاختصار نفسه، فتبقى بياناتك الهدف آمنة تماماً. أما إذا كان الاختصار قابلاً للكتابة وكان لدى المستخدم أذونات الحذف على المسار الهدف، فإن حذف الملفات أو المجلدات عبر مسار الاختصار سيمحو البيانات في المصدر نهائياً. فالاختصار يعمل كبوابة مباشرة إلى نظام التخزين الهدف، ويمكن لسكربت تنظيف خاطئ أو تصرف عرضي من أحد المستخدمين أن يهدم الجدران الهيكلية أسرع مما تستطيع خطوط أنابيب البيانات التقليدية فعله.

الخاتمة

يتطلب إتقان أذونات اختصارات Microsoft Fabric تحولاً جوهرياً في طريقة التفكير في الوصول إلى البيانات وحوكمتها. فمن خلال الموازنة بين تمرير هوية المستخدم للأحمال الداخلية والبيانات المخزنة المُحكمة التحكم للمصادر متعددة السحابات، يمكنك بناء بيئة تحليلات مرنة وخالية من النسخ دون المساس بالأمان. ولاستكشاف استراتيجيات معمارية أوسع وصيغ البيانات والمفاضلات المرتبطة بها، استمع إلى الحلقة الكاملة للاطلاع على شرح شامل لإدارة البيانات السحابية الحديثة.

الأسئلة المتداولة

هل تورث اختصارات Microsoft Fabric أذونات المستخدم تلقائياً؟

تستخدم الاختصارات الداخلية هويتك الشخصية في Entra ID، وهذا يعني أنه يجب أن تملك صلاحية قراءة صريحة على مساحة عمل الاختصار ومساحة العمل الهدف معاً. أما الاختصارات الخارجية فتستخدم هوية اتصال مخزنة، مما يتيح لأي شخص لديه وصول إلى بحيرة المنازل قراءة البيانات الخارجية.

ماذا يحدث للبيانات إذا حذفتُ اختصار Microsoft Fabric؟

حذف كائن الاختصار نفسه لا يحذف البيانات الموجودة في المسار الهدف. تبقى الملفات أو الجداول الفعلية آمنة تماماً، ما لم يكن الاختصار مُعدّاً للكتابة وقام المستخدم بحذف ملفات عبر مسار الاختصار صراحةً، مع امتلاك أذونات كافية على الهدف.

كيف تتعامل اختصارات السحابة الخارجية مع المصادقة لدى AWS S3 أو Google Cloud Storage؟

تستخدم اختصارات السحابة الخارجية المصادقة عبر اتصال مخزّن يُهيَّأ أثناء الإعداد، بدلاً من تمرير بيانات اعتماد فردية للمستخدمين. ولهذا السبب، تُشكّل قوائم التحكم في الوصول الخاصة بمساحة العمل الحاجز الأمني الأساسي للمستخدمين الذين يستعلمون عن بيانات متعددة السحابات الخارجية.

ماذا يعني قانون الأمان "الأكثر تقييداً يسود" في Fabric؟

تنص قاعدة "الأكثر تقييداً يسود" على أنه عند تقييم الوصول، تُطبّق Fabric مجموعة الأذونات الأشد تقييداً الموجودة عبر مسار الاختصار والمسار الهدف. فإذا رفض أيٌّ من الموقعين الوصول أو قيّد الإمكانات، فإن تلك القيود تُطبّق على المستخدم النهائي.