Permisos de los accesos directos de Microsoft Fabric: reglas de seguridad internas frente a externas

By Mirko Peters · 2026-10-30

Descubre cómo funcionan los permisos de los accesos directos de Microsoft Fabric, comparando el paso de identidad del usuario en los accesos internos con las reglas de seguridad de las conexiones almacenadas en los accesos externos.

Automatically translated with AI from the original post. Read the English original

Los permisos de los accesos directos de Microsoft Fabric determinan cómo los usuarios acceden a datos entre áreas de trabajo y multinube sin copiar archivos. Los accesos directos internos dependen del paso de la identidad del usuario, mientras que los orígenes de nube externos usan identidades de conexiones almacenadas. Entender estos límites de seguridad evita la exposición no autorizada de datos y resuelve los frustrantes errores de consulta en fases posteriores.

Puntos clave

• Los accesos directos internos transmiten la identidad del usuario que realiza la consulta, por lo que requieren derechos de acceso directos en la ruta de destino.
• Los accesos directos a la nube externa utilizan credenciales de conexión almacenadas, lo que concede acceso a cualquiera que pueda leer el lakehouse.
• Cuando los niveles de permiso entran en conflicto entre la ruta del acceso directo y la ruta de destino, la regla de seguridad más estricta siempre prevalece.
• Los accesos directos escribibles conllevan un riesgo grave de eliminaciones de datos en cascada si los permisos del destino están mal configurados.
• Planificar tus límites de seguridad evita fallos de acceso inesperados al escalar arquitecturas multinube.

Cómo funcionan los permisos de los accesos directos de Microsoft Fabric

Cuando implementas punteros entre distintos orígenes de datos en OneLake, la seguridad rara vez es una configuración de «configurar y olvidar». A diferencia de los modelos tradicionales de almacenamiento de datos, donde los permisos están centralizados y se aplican de forma uniforme a las tablas clonadas, los accesos directos de Fabric introducen un problema de identidad dividida. Existe una ruta de acceso directo desde la que el usuario inicia la consulta y una ruta de destino donde residen los datos físicos. Fabric evalúa ambos extremos antes de devolver una sola fila de datos, por lo que la arquitectura de seguridad es un requisito de diseño fundamental para los administradores de nube.

El principio fundamental de la seguridad en Fabric se basa en el mínimo privilegio, pero los accesos directos alteran las reglas del acceso a datos tradicional. Como los datos no se mueven al crear un acceso directo, los permisos asociados a la cuenta de almacenamiento subyacente, al bucket externo de Amazon S3 o al lakehouse hermano deben asignarse con cuidado. Si un usuario tiene acceso de lectura al área de trabajo que contiene el acceso directo, pero no tiene acceso al contenedor de origen, la consulta fallará. Por el contrario, conceder permisos excesivamente amplios a la identidad de una conexión almacenada puede exponer sin querer archivos externos sensibles a usuarios avanzados no autorizados.

Accesos directos internos y propagación de la identidad del usuario

Los accesos directos internos, es decir, los que apuntan de un elemento de Fabric a otro, como un lakehouse en un área de trabajo de ventas que apunta a una tabla compartida de clientes, funcionan con tu identidad exacta de Entra ID. Cuando consultas un acceso directo interno, Fabric comprueba si tu cuenta tiene permisos de lectura explícitos sobre el área de trabajo y el elemento de destino. Si no tienes permiso para ver las tablas de origen, el acceso directo devuelve un error.

Este comportamiento está diseñado para reflejar la gobernanza de acceso tradicional. Impide que los usuarios avanzados eludan los límites del espacio de trabajo creando accesos directos a conjuntos de datos restringidos. Sin embargo, también implica que los creadores de informes deben tener aprovisionados los permisos adecuados en varios espacios de trabajo, lo que aumenta la carga administrativa de gestionar equipos de análisis colaborativo.

Accesos directos externos e identidades de conexión almacenadas

Los accesos directos externos cambian por completo la dinámica de seguridad. Cuando apuntas un lakehouse de Fabric a una cuenta de Azure Data Lake Storage Gen2, Amazon S3, Google Cloud Storage o una ubicación de red local mediante una puerta de enlace de datos, la propagación de la identidad del usuario se detiene en el límite de Fabric. En su lugar, los accesos directos externos se autentican mediante una identidad de conexión almacenada.

Esta diferencia operativa tiene implicaciones de seguridad enormes. Cualquiera que tenga acceso de lectura al lakehouse de Fabric que contiene el acceso directo externo puede consultar el origen de datos subyacente a través de él, independientemente de si tiene credenciales directas para el bucket de nube externo. Los administradores deben tratar los lakehouses con accesos directos externos como zonas de alta sensibilidad, restringiendo estrictamente los roles del espacio de trabajo para evitar la exfiltración no autorizada de datos.

La regla del más restrictivo gana

Al solucionar errores de acceso en Microsoft Fabric, los administradores se topan con frecuencia con la regla que rige los permisos de los accesos directos: gana el más restrictivo de los dos permisos.

Evaluar esta regla requiere revisar ambos extremos del puntero:

• Permisos de la ruta del acceso directo: Las asignaciones de rol (Admin, Miembro, Colaborador, Lector) en el espacio de trabajo y el lakehouse donde reside el acceso directo.
• Permisos de la ruta de destino: Las listas de control de acceso (ACL), las directivas de IAM o los permisos de base de datos aplicados directamente a los archivos o tablas de origen.

Si un usuario es Colaborador en el espacio de trabajo que aloja el acceso directo, pero solo tiene permisos de Lector en la cuenta de almacenamiento de destino, únicamente podrá leer los datos. Por otro lado, si un usuario tiene derechos de administrador completos sobre el conjunto de datos de origen, pero su rol en el espacio de trabajo está restringido a Lector, no podrá modificar ni gestionar la configuración del acceso directo. Esta aplicación en dos capas garantiza que ningún error de configuración por sí solo pueda derribar por completo el perímetro de seguridad de la organización, pero exige una documentación cuidadosa cuando se coordina entre departamentos de TI independientes.

Riesgos de los accesos directos con escritura y las eliminaciones en cascada

Los permisos de seguridad no solo determinan quién puede leer datos; también definen qué puede destruir cada usuario. Una de las trampas más peligrosas para los administradores junior implica los accesos directos con escritura combinados con configuraciones de identidad demasiado permisivas.

Los accesos directos de Fabric no realizan eliminaciones en cascada sobre los datos subyacentes si eliminas el objeto de acceso directo en sí; tus datos de destino permanecen totalmente a salvo. Sin embargo, si un acceso directo tiene permisos de escritura y un usuario tiene permisos de eliminación en la ruta de destino, borrar archivos o carpetas a través de la ruta del acceso directo eliminará de forma permanente los datos en el origen. El acceso directo actúa como una puerta directa al sistema de almacenamiento de destino, y una limpieza errónea de un script o una acción accidental de un usuario pueden derribar muros estructurales más rápido de lo que lo harían nunca los canales de datos tradicionales.

Conclusión

Dominar los permisos de los accesos directos de Microsoft Fabric requiere un cambio fundamental en la forma de pensar sobre el acceso y la gobernanza de datos. Equilibrando el paso de la identidad del usuario para las cargas de trabajo internas con credenciales almacenadas y estrictamente controladas para los orígenes multinube, puedes crear un entorno analítico ágil y sin copias sin comprometer la seguridad. Para explorar estrategias de arquitectura más amplias, formatos de datos y compensaciones, no dejes de escuchar el episodio completo para obtener un desglose completo de la gestión moderna de datos en la nube.

Preguntas frecuentes

¿Los accesos directos de Microsoft Fabric heredan automáticamente los permisos del usuario?

Los accesos directos internos usan tu identidad personal de Entra ID, lo que significa que debes tener acceso de lectura explícito tanto al espacio de trabajo del acceso directo como al espacio de trabajo de destino. Los accesos directos externos, en cambio, usan una identidad de conexión almacenada, lo que permite que cualquier persona con acceso al lakehouse lea los datos externos.

¿Qué ocurre con los datos si elimino un acceso directo de Microsoft Fabric?

Eliminar el objeto de acceso directo en sí no borra los datos de la ruta de destino. Los archivos o tablas físicos permanecen completamente a salvo, salvo que el acceso directo se haya configurado como escribible y el usuario haya eliminado archivos explícitamente a través de la ruta del acceso directo con permisos suficientes en el destino.

¿Cómo gestionan la autenticación los accesos directos a la nube externa para AWS S3 o Google Cloud Storage?

Los accesos directos a la nube externa se autentican mediante una conexión almacenada que se configura durante la instalación, en lugar de transmitir las credenciales individuales de cada usuario. Por este motivo, las listas de control de acceso del espacio de trabajo actúan como principal barrera de seguridad para los usuarios que consultan datos externos de varias nubes.

¿Qué significa la regla de seguridad "stricter-wins" en Fabric?

La regla "stricter-wins" establece que, al evaluar el acceso, Fabric aplica el conjunto de permisos más restrictivo de los que existan en la ruta del acceso directo y en la ruta de destino. Si cualquiera de las dos ubicaciones deniega el acceso o restringe funcionalidades, esas limitaciones se aplican al usuario final.