Machtigingen voor Microsoft Fabric-snelkoppelingen: interne versus externe beveiligingsregels

By Mirko Peters · 2026-10-30

Lees hoe machtigingen voor Microsoft Fabric-snelkoppelingen werken en vergelijk de doorgifte van de gebruikersidentiteit bij interne snelkoppelingen met de beveiligingsregels van opgeslagen verbindingen bij externe snelkoppelingen.

Automatically translated with AI from the original post. Read the English original

Machtigingen voor Microsoft Fabric-snelkoppelingen bepalen hoe gebruikers zonder data te kopiëren toegang krijgen tot data over werkruimten heen en in meerdere clouds. Interne snelkoppelingen vertrouwen op doorgifte van de gebruikersidentiteit, terwijl externe cloudbronnen opgeslagen verbindingsidentiteiten gebruiken. Wie deze beveiligingsgrenzen begrijpt, voorkomt ongeautoriseerde blootstelling van data en lost vervelende fouten in downstream-queries op.

Belangrijkste punten

• Interne snelkoppelingen geven de identiteit van de gebruiker die de query uitvoert door en vereisen directe leesrechten op het doelpad.
• Externe cloudsnelkoppelingen gebruiken opgeslagen verbindingsreferenties, waardoor iedereen die het lakehouse kan lezen toegang krijgt.
• Als machtigingsniveaus botsen tussen het pad van de snelkoppeling en het doelpad, wint de strengere beveiligingsregel altijd.
• Schrijfbare snelkoppelingen brengen een serieus risico op cascaderende gegevensverwijderingen met zich mee als de machtigingen op het doel verkeerd zijn ingesteld.
• Als je je beveiligingsgrenzen vooraf plant, voorkom je onverwachte toegangsfouten wanneer je multi-cloudarchitecturen opschaalt.

Hoe machtigingen voor Microsoft Fabric-snelkoppelingen werken

Wanneer je pointers tussen verschillende databronnen in OneLake implementeert, is beveiliging zelden iets wat je eenmaal instelt en daarna vergeet. Anders dan bij traditionele datawarehousemodellen, waarin machtigingen gecentraliseerd zijn en uniform worden toegepast op gekloonde tabellen, introduceren Fabric-snelkoppelingen een split-brain-identiteitsprobleem. Er is een snelkoppelingspad waarop de gebruiker een query start, en een doelpad waar de fysieke data staat. Fabric evalueert beide eindpunten voordat er ook maar één rij data wordt teruggegeven, waardoor beveiligingsarchitectuur een cruciale ontwerpvoorwaarde is voor cloudbeheerders.

Het kernprincipe van Fabric-beveiliging is het principe van minimale rechten, maar snelkoppelingen buigen de regels van traditionele gegevenstoegang. Omdat data niet verplaatst wanneer een snelkoppeling wordt aangemaakt, moeten de machtigingen op het onderliggende opslagaccount, de externe Amazon S3-bucket of het zusterlakehouse zorgvuldig in kaart worden gebracht. Als een gebruiker leesrechten heeft op de werkruimte met de snelkoppeling, maar geen toegang heeft tot de broncontainer, mislukt de query. Omgekeerd kan het verlenen van te ruime rechten aan een opgeslagen verbindingsidentiteit gevoelige externe bestanden per ongeluk blootstellen aan ongeautoriseerde power users.

Interne snelkoppelingen en doorgifte van gebruikersidentiteit

Interne snelkoppelingen – die verwijzen van het ene Fabric-item naar het andere, zoals een lakehouse in een verkoopwerkruimte dat verwijst naar een gedeelde klantentabel – werken met je exacte Entra ID-identiteit. Wanneer je een interne snelkoppeling bevraagt, controleert Fabric of je account expliciete leesrechten heeft op de doelwerkruimte en het item. Als je geen recht hebt om de brontabellen te bekijken, geeft de snelkoppeling een foutmelding.

Dit gedrag is ontworpen om traditioneel toegangsbeheer na te bootsen. Het voorkomt dat power users werkruimtegrenzen omzeilen door simpelweg snelkoppelingen naar beperkte datasets aan te maken. Het betekent echter ook dat rapportmakers in meerdere werkruimten de juiste toegang moeten krijgen, waardoor de beheerlast voor samenwerkende analyseteams toeneemt.

Externe snelkoppelingen en opgeslagen verbindingsidentiteiten

Externe snelkoppelingen veranderen de beveiligingsdynamiek volledig. Wanneer je een Fabric-lakehouse koppelt aan een Azure Data Lake Storage Gen2-account, Amazon S3, Google Cloud Storage of een on-premises netwerklocatie via een data gateway, stopt de doorgifte van de gebruikersidentiteit bij de Fabric-grens. In plaats daarvan authenticeren externe snelkoppelingen met een opgeslagen verbindingsidentiteit.

Dit operationele verschil heeft enorme beveiligingsconsequenties. Iedereen die leesrechten heeft op het Fabric-lakehouse met de externe snelkoppeling, kan via die snelkoppeling de onderliggende gegevensbron bevragen, ongeacht of diegene rechtstreeks toegang heeft tot de externe cloudbucket. Beheerders moeten lakehouses met externe snelkoppelingen behandelen als zones met een hoge gevoeligheid en werkruimterollen strak afschermen om ongeautoriseerde dataexfiltratie te voorkomen.

De strengste-wint-regel

Bij het oplossen van toegangsfouten in Microsoft Fabric lopen beheerders regelmatig tegen de bepalende regel voor snelkoppelingsmachtigingen aan: de strengste van de twee machtigingen wint.

Om deze regel te beoordelen, moet je naar beide uiteinden van de verwijzing kijken:

• Machtigingen van het snelkoppelingspad: De roltoewijzingen (Admin, Member, Contributor, Viewer) op de werkruimte en het lakehouse waar de snelkoppeling staat.
• Machtigingen van het doelpad: De toegangscontrolelijsten (ACL's), IAM-beleidsregels of databasemachtigingen die rechtstreeks op de brongegevens of tabellen zijn toegepast.

Als een gebruiker Contributor is op de werkruimte waar de snelkoppeling staat, maar alleen Viewer-machtigingen heeft op het doelopslagaccount, kan die gebruiker de gegevens alleen lezen. Als een gebruiker daarentegen volledige beheerrechten heeft op de brondataset, maar zijn werkruimterol beperkt is tot Viewer, kan die gebruiker de configuratie van de snelkoppeling niet wijzigen of beheren. Deze tweelaagse handhaving zorgt ervoor dat één enkele misconfiguratie niet volledig je organisatorische beveiligingsperimeter kan openbreken. Bij samenwerking tussen afzonderlijke IT-afdelingen is wel zorgvuldige documentatie nodig.

Risico's van schrijfbare snelkoppelingen en cascaderende verwijderingen

Beveiligingsmachtigingen bepalen niet alleen wie gegevens kan lezen; ze bepalen ook wat gebruikers kunnen vernietigen. Een van de gevaarlijkste valkuilen voor junior beheerders betreft schrijfbare snelkoppelingen in combinatie met te ruime identiteitsinstellingen.

Fabric-snelkoppelingen voeren geen cascaderende verwijderingen uit op de onderliggende gegevens als je het snelkoppelingsobject zelf verwijdert. Je doelgegevens blijven dus volledig veilig. Als een snelkoppeling echter schrijfbaar is en een gebruiker verwijderrechten heeft op het doelpad, worden bestanden of mappen die via het snelkoppelingspad worden verwijderd, permanent gewist bij de bron. De snelkoppeling fungeert als een directe doorgang naar het doelopslagsysteem, en een fout opgeleverd opschoonscript of een onbedoelde actie van een gebruiker kan sneller structurele muren slopen dan traditionele datapijplijnen ooit zouden kunnen.

Conclusie

Het beheersen van de machtigingen voor Microsoft Fabric-snelkoppelingen vraagt om een fundamentele verandering in hoe je naar gegevenstoegang en governance kijkt. Door doorgifte van gebruikersidentiteiten voor interne workloads te combineren met strak beheerde opgeslagen referenties voor multi-cloudbronnen, bouw je een responsieve, zero-copy analyseomgeving zonder concessies aan de beveiliging. Wil je meer weten over bredere architectuurstrategieën, dataformaten en afwegingen?Luister de volledige aflevering voor een compleet overzicht van moderne clouddatabeheer.

Veelgestelde vragen

Erven Microsoft Fabric-snelkoppelingen automatisch gebruikersmachtigingen?

Interne snelkoppelingen gebruiken je persoonlijke Entra ID-identiteit, wat betekent dat je expliciete leestoegang moet hebben tot zowel de werkruimte met de snelkoppeling als de doelwerkruimte. Externe snelkoppelingen gebruiken echter een opgeslagen verbindingsidentiteit, waardoor iedereen met toegang tot het lakehouse de externe gegevens kan lezen.

Wat gebeurt er met gegevens als ik een Microsoft Fabric-snelkoppeling verwijder?

Het verwijderen van het shortcut-object zelf verwijdert de onderliggende gegevens op het doelpad niet. De fysieke bestanden of tabellen blijven volledig veilig, tenzij de shortcut als schrijfbaar was ingesteld en de gebruiker via het shortcut-pad expliciet bestanden heeft verwijderd met voldoende machtigingen op het doel.

Hoe gaan externe cloud-shortcuts om met authenticatie voor AWS S3 of Google Cloud Storage?

Externe cloud-shortcuts authenticeren met een opgeslagen verbinding die tijdens de installatie is ingesteld, en niet met de afzonderlijke inloggegevens van gebruikers. Daardoor vormen de toegangsbeheerlijsten van de werkruimte de belangrijkste beveiligingsbarrière voor gebruikers die query's uitvoeren op externe multi-cloud-gegevens.

Wat betekent de stricter-wins-beveiligingsregel in Fabric?

De stricter-wins-regel bepaalt dat Fabric bij het beoordelen van toegang de meest beperkende set machtigingen afdwingt die wordt gevonden over het shortcut-pad en het doelpad. Als een van beide locaties de toegang weigert of mogelijkheden beperkt, gelden die beperkingen voor de eindgebruiker.