Autorisations des raccourcis Microsoft Fabric : règles de sécurité internes et externes

By Mirko Peters · 2026-10-30

Découvrez le fonctionnement des autorisations des raccourcis Microsoft Fabric, en comparant la transmission de l’identité utilisateur pour les raccourcis internes et les règles de sécurité des connexions externes stockées.

Automatically translated with AI from the original post. Read the English original

Les autorisations des raccourcis Microsoft Fabric déterminent la manière dont les utilisateurs accèdent à des données inter-espaces de travail et multicloud sans copier de fichiers. Les raccourcis internes reposent sur la transmission de l’identité au niveau utilisateur, tandis que les sources cloud externes utilisent des identités de connexion stockées. Comprendre ces frontières de sécurité permet d’éviter toute exposition non autorisée des données et de résoudre les erreurs de requête en aval, particulièrement pénibles.

Points clés

• Les raccourcis internes transmettent l’identité de l’utilisateur qui effectue la requête, ce qui exige des droits d’accès directs sur le chemin cible.
• Les raccourcis cloud externes utilisent les identifiants d’une connexion stockée, ce qui donne accès à toute personne pouvant lire le lakehouse.
• Lorsque les niveaux d’autorisation divergent entre le chemin du raccourci et le chemin cible, la règle de sécurité la plus stricte l’emporte toujours.
• Les raccourcis en écriture présentent un risque grave de suppressions de données en cascade si les autorisations sur la cible sont mal configurées.
• Définir vos frontières de sécurité en amont évite les échecs d’accès imprévus lorsque vous faites évoluer des architectures multicloud.

Fonctionnement des autorisations des raccourcis Microsoft Fabric

Lorsque vous créez des pointeurs entre différentes sources de données dans OneLake, la sécurité n’est que rarement une configuration qu’on peut définir une fois pour toutes. Contrairement aux modèles d’entrepôt de données traditionnels, où les autorisations sont centralisées et appliquées de manière uniforme aux tables copiées, les raccourcis Fabric introduisent un problème d’identité à double visage. Vous disposez d’un chemin de raccourci, depuis lequel l’utilisateur lance une requête, et d’un chemin cible, où résident les données physiques. Fabric évalue les deux extrémités avant de renvoyer la moindre ligne de données, ce qui fait de l’architecture de sécurité un prérequis de conception essentiel pour les administrateurs cloud.

La philosophie fondamentale de la sécurité Fabric repose sur le principe du moindre privilège, mais les raccourcis bousculent les règles classiques d’accès aux données. Comme les données ne se déplacent pas lorsqu’un raccourci est créé, les autorisations associées au compte de stockage sous-jacent, au compartiment Amazon S3 externe ou au lakehouse voisin doivent être cartographiées avec soin. Si un utilisateur dispose d’un accès en lecture à l’espace de travail contenant le raccourci, mais ne possède pas d’accès au conteneur source, la requête échouera. À l’inverse, accorder des autorisations trop larges à une identité de connexion stockée peut exposer involontairement des fichiers externes sensibles à des utilisateurs avancés non autorisés.

Raccourcis internes et propagation de l’identité utilisateur

Les raccourcis internes, c’est-à-dire ceux qui pointent d’un élément Fabric vers un autre, comme un lakehouse d’un espace de travail commercial pointant vers une table clients partagée, fonctionnent avec votre identité Entra ID exacte. Lorsque vous interrogez un raccourci interne, Fabric vérifie si votre compte dispose d’autorisations de lecture explicites sur l’espace de travail et l’élément cibles. Si vous n’avez pas le droit d’afficher les tables source, le raccourci renvoie une erreur.

Ce comportement reproduit le modèle traditionnel de gouvernance des accès. Il empêche les utilisateurs avancés de contourner les limites des espaces de travail en créant de simples raccourcis vers des jeux de données restreints. Il implique toutefois que les créateurs de rapports doivent recevoir des autorisations appropriées sur plusieurs espaces de travail, ce qui alourdit la charge administrative liée à la gestion des équipes d’analyse collaborative.

Raccourcis externes et identités de connexion stockées

Les raccourcis externes modifient profondément la dynamique de sécurité. Lorsque vous pointez un lakehouse Fabric vers un compte Azure Data Lake Storage Gen2, Amazon S3, Google Cloud Storage ou un emplacement réseau local via une passerelle de données, la propagation de l’identité de l’utilisateur s’arrête à la frontière de Fabric. Les raccourcis externes s’authentifient alors à l’aide d’une identité de connexion stockée.

Cette différence de fonctionnement a des implications de sécurité considérables. Toute personne disposant d’un accès en lecture au lakehouse Fabric qui contient le raccourci externe peut interroger la source de données sous-jacente par son intermédiaire, qu’elle ait ou non des identifiants directs pour le bucket cloud externe. Les administrateurs doivent donc traiter les lakehouses contenant des raccourcis externes comme des zones à forte sensibilité et restreindre strictement les rôles dans les espaces de travail afin d’empêcher toute exfiltration de données non autorisée.

La règle du plus restrictif

Lorsqu’ils dépannent des erreurs d’accès dans Microsoft Fabric, les administrateurs se heurtent fréquemment à la règle qui régit les autorisations des raccourcis : c’est la plus restrictive des deux autorisations qui s’applique.

Évaluer cette règle implique d’examiner les deux extrémités du pointeur :

• Autorisations du chemin du raccourci : les attributions de rôles (Administrateur, Membre, Contributeur, Lecteur) sur l’espace de travail et le lakehouse où se trouve le raccourci.
• Autorisations du chemin cible : les listes de contrôle d’accès (ACL), les stratégies IAM ou les autorisations de base de données appliquées directement aux fichiers ou aux tables source.

Si un utilisateur est Contributeur sur l’espace de travail qui héberge le raccourci, mais ne dispose que du rôle Lecteur sur le compte de stockage cible, il ne pourra que lire les données. À l’inverse, si un utilisateur dispose de droits d’administration complets sur le jeu de données source, mais que son rôle dans l’espace de travail est limité à Lecteur, il ne pourra ni modifier ni gérer la configuration du raccourci. Cette application à deux niveaux garantit qu’aucune erreur de configuration isolée ne peut ouvrir complètement le périmètre de sécurité de votre organisation, mais elle exige une documentation rigoureuse lorsque la coordination s’effectue entre des services informatiques distincts.

Risques des raccourcis accessibles en écriture et des suppressions en cascade

Les autorisations de sécurité ne régissent pas seulement qui peut lire les données ; elles déterminent aussi ce que les utilisateurs peuvent détruire. L’un des pièges les plus dangereux pour les administrateurs débutants concerne les raccourcis accessibles en écriture combinés à des configurations d’identité trop permissives.

Les raccourcis Fabric n’entraînent pas de suppression en cascade des données sous-jacentes si vous supprimez l’objet raccourci lui-même : vos données cibles restent intactes. En revanche, si un raccourci est accessible en écriture et qu’un utilisateur dispose d’autorisations de suppression sur le chemin cible, la suppression de fichiers ou de dossiers via le chemin du raccourci effacera définitivement les données à la source. Le raccourci agit comme une porte directe vers le système de stockage cible, et un script de nettoyage erroné ou une action utilisateur accidentelle peut faire tomber des murs porteurs bien plus vite que ne le feraient les pipelines de données traditionnels.

Conclusion

Maîtriser les autorisations des raccourcis Microsoft Fabric exige un changement profond dans la manière d’envisager l’accès aux données et leur gouvernance. En combinant la transmission de l’identité utilisateur pour les charges de travail internes et des identifiants stockés, strictement contrôlés, pour les sources multicloud, vous pouvez bâtir un environnement d’analyse réactif et sans copie, sans compromettre la sécurité. Pour explorer plus largement les stratégies d’architecture, les formats de données et les compromis à faire, écoutez l’épisode complet pour une analyse détaillée de la gestion moderne des données dans le cloud.

Questions fréquentes

Les raccourcis Microsoft Fabric héritent-ils automatiquement des autorisations de l’utilisateur ?

Les raccourcis internes utilisent votre identité Entra ID personnelle : vous devez donc disposer d’un accès en lecture explicite à la fois à l’espace de travail du raccourci et à l’espace de travail cible. Les raccourcis externes, en revanche, utilisent une identité de connexion stockée, ce qui permet à toute personne ayant accès au lakehouse de lire les données externes.

Que se passe-t-il pour les données si je supprime un raccourci Microsoft Fabric ?

La suppression de l’objet raccourci lui-même ne supprime pas les données sous-jacentes au chemin cible. Les fichiers ou les tables physiques restent parfaitement intacts, sauf si le raccourci a été configuré en écriture et que l’utilisateur a explicitement supprimé des fichiers via le chemin du raccourci, avec des autorisations suffisantes sur la cible.

Comment les raccourcis cloud externes gèrent-ils l’authentification pour AWS S3 ou Google Cloud Storage ?

Les raccourcis cloud externes s’authentifient à l’aide d’une connexion enregistrée lors de la configuration, et non en transmettant les identifiants de chaque utilisateur. Par conséquent, les listes de contrôle d’accès de l’espace de travail constituent la principale barrière de sécurité pour les utilisateurs qui interrogent des données multicloud externes.

Que signifie la règle de sécurité stricter-wins dans Fabric ?

La règle stricter-wins impose que, lors de l’évaluation d’un accès, Fabric applique l’ensemble d’autorisations le plus restrictif entre le chemin du raccourci et le chemin cible. Si l’un de ces emplacements refuse l’accès ou limite les fonctionnalités, ces restrictions s’appliquent à l’utilisateur final.