Uprawnienia do skrótów w Microsoft Fabric: wewnętrzne a zewnętrzne reguły zabezpieczeń

By Mirko Peters · 2026-10-30

Dowiedz się, jak działają uprawnienia do skrótów w Microsoft Fabric, porównując przekazywanie tożsamości użytkownika w skrótach wewnętrznych z regułami zabezpieczeń zapisanego połączenia w skrótach zewnętrznych.

Automatically translated with AI from the original post. Read the English original

Uprawnienia do skrótów w Microsoft Fabric określają, w jaki sposób użytkownicy uzyskują dostęp do danych między obszarami roboczymi i w wielu chmurach bez kopiowania plików. Skróty wewnętrzne opierają się na przekazywaniu tożsamości na poziomie użytkownika, natomiast zewnętrzne źródła chmurowe korzystają z tożsamości zapisanych połączeń. Zrozumienie tych granic bezpieczeństwa zapobiega nieautoryzowanemu ujawnieniu danych i pozwala uniknąć frustrujących błędów zapytań w dalszych etapach przetwarzania.

Najważniejsze wnioski

• Skróty wewnętrzne przekazują tożsamość użytkownika wysyłającego zapytanie, dlatego wymagają bezpośrednich uprawnień dostępu w ścieżce docelowej.
• Zewnętrzne skróty do chmury wykorzystują poświadczenia zapisanego połączenia, co przyznaje dostęp każdemu, kto może odczytać lakehouse.
• Gdy poziomy uprawnień na ścieżce skrótu i na ścieżce docelowej są sprzeczne, zawsze wygrywa surowsza reguła bezpieczeństwa.
• Zapisywalne skróty niosą poważne ryzyko kaskadowego usuwania danych, jeśli uprawnienia w lokalizacji docelowej są źle skonfigurowane.
• Planowanie granic bezpieczeństwa zapobiega nieoczekiwanym błędom dostępu podczas skalowania architektur wielochmurowych.

Jak działają uprawnienia do skrótów w Microsoft Fabric

Gdy tworzysz wskaźniki między różnymi źródłami danych w OneLake, zabezpieczenia rzadko są konfiguracją typu „ustaw i zapomnij”. W przeciwieństwie do tradycyjnych modeli hurtowni danych, w których uprawnienia są scentralizowane i jednolicie stosowane do skopiowanych tabel, skróty w Fabric wprowadzają problem rozdwojonej tożsamości. Masz ścieżkę skrótu, na której użytkownik inicjuje zapytanie, oraz ścieżkę docelową, w której znajdują się fizyczne dane. Fabric ocenia oba punkty końcowe, zanim zwróci choćby jeden wiersz danych, dlatego architektura zabezpieczeń jest kluczowym warunkiem wstępnym projektu dla administratorów chmury.

Podstawowa filozofia zabezpieczeń Fabric opiera się na zasadzie najmniejszych uprawnień, ale skróty naginają zasady tradycyjnego dostępu do danych. Ponieważ w momencie utworzenia skrótu dane nie są przenoszone, uprawnienia przypisane do konta magazynu, zewnętrznego zasobnika Amazon S3 lub źródłowego lakehouse muszą zostać starannie odwzorowane. Jeśli użytkownik ma dostęp do odczytu obszaru roboczego zawierającego skrót, ale nie ma dostępu do kontenera źródłowego, zapytanie zakończy się niepowodzeniem. Z kolei nadanie zbyt szerokich uprawnień tożsamości zapisanego połączenia może nieświadomie ujawnić poufne pliki zewnętrzne nieautoryzowanym zaawansowanym użytkownikom.

Skróty wewnętrzne i przekazywanie tożsamości użytkownika

Skróty wewnętrzne, czyli te prowadzące od jednego elementu Fabric do drugiego, na przykład od lakehouse w obszarze roboczym sprzedaży do wspólnej tabeli klientów, działają z użyciem Twojej dokładnej tożsamości Entra ID. Gdy wysyłasz zapytanie do skrótu wewnętrznego, Fabric sprawdza, czy Twoje konto ma jawne uprawnienia odczytu do docelowego obszaru roboczego i elementu. Jeśli nie masz uprawnień do wyświetlania tabel źródłowych, skrót zwraca błąd.

Takie zachowanie odzwierciedla tradycyjne zarządzanie dostępem. Uniemożliwia ono zaawansowanym użytkownikom ominięcie granic przestrzeni roboczych poprzez proste tworzenie skrótów do ograniczonych zbiorów danych. Oznacza to jednak również, że twórcy raportów muszą mieć przydzielony odpowiedni dostęp w wielu przestrzeniach roboczych, co zwiększa obciążenie administracyjne związane z zarządzaniem zespołami pracującymi wspólnie nad analizami.

Zewnętrzne skróty a zapisane tożsamości połączeń

Zewnętrzne skróty całkowicie zmieniają sytuację pod kątem bezpieczeństwa. Kiedy wskazujesz lakehouse w usłudze Fabric na konto Azure Data Lake Storage Gen2, Amazon S3, Google Cloud Storage lub lokalizację sieciową w środowisku lokalnym za pośrednictwem bramy danych, propagacja tożsamości użytkownika kończy się na granicy usługi Fabric. Zamiast tego zewnętrzne skróty uwierzytelniają się przy użyciu zapisanej tożsamości połączenia.

Ta różnica operacyjna ma ogromne konsekwencje dla bezpieczeństwa. Każdy, kto ma dostęp do odczytu lakehouse'u w usłudze Fabric zawierającego zewnętrzny skrót, może za jego pośrednictwem wysyłać zapytania do źródłowych danych, niezależnie od tego, czy ma bezpośrednie poświadczenia do zewnętrznego zasobnika w chmurze. Administratorzy muszą traktować lakehouse'y z zewnętrznymi skrótami jako strefy o wysokiej wrażliwości i ściśle ograniczać role w przestrzeniach roboczych, aby zapobiec nieautoryzowanemu eksportowi danych.

Zasada „surowszy wygrywa”

Podczas rozwiązywania problemów z błędami dostępu w usłudze Microsoft Fabric administratorzy często napotykają regułę rządzącą uprawnieniami skrótów: wygrywa surowsze z dwóch uprawnień.

Ocena tej reguły wymaga spojrzenia na oba końce wskaźnika:

• Uprawnienia ścieżki skrótu: Przypisania ról (Administrator, Członek, Współtwórca, Czytelnik) w przestrzeni roboczej i lakehouse'ie, w których znajduje się skrót.
• Uprawnienia ścieżki docelowej: Listy kontroli dostępu (ACL), zasady IAM lub uprawnienia do baz danych zastosowane bezpośrednio do plików źródłowych lub tabel.

Jeśli użytkownik jest Współtwórcą w przestrzeni roboczej hostującej skrót, ale ma jedynie uprawnienia Czytelnika na koncie magazynu docelowego, będzie mógł tylko odczytywać dane. Z kolei jeśli użytkownik ma pełne prawa administratora do zbioru źródłowego, lecz jego rola w przestrzeni roboczej jest ograniczona do Czytelnika, nie może modyfikować ani zarządzać konfiguracją skrótu. Ten dwuwarstwowy mechanizm egzekwowania zapewnia, że żadna pojedyncza błędna konfiguracja nie otworzy całkowicie organizacyjnego perymetru bezpieczeństwa, ale wymaga starannego dokumentowania podczas koordynacji działań między oddzielnymi działami IT.

Ryzyko zapisywalnych skrótów i kaskadowych usunięć

Uprawnienia bezpieczeństwa nie determinują wyłącznie tego, kto może odczytać dane; określają również, co użytkownicy mogą zniszczyć. Jedna z najniebezpieczniejszych pułapek dla młodszych administratorów dotyczy zapisywalnych skrótów w połączeniu ze zbyt liberalnie skonfigurowanymi tożsamościami.

Skróty w usłudze Fabric nie wykonują kaskadowego usuwania danych źródłowych, jeśli usuniesz sam obiekt skrótu – dane docelowe pozostają w pełni bezpieczne. Jeśli jednak skrót jest zapisywalny, a użytkownik ma uprawnienia do usuwania w ścieżce docelowej, usunięcie plików lub folderów za pośrednictwem ścieżki skrótu trwale zniszczy dane w źródle. Skrót działa jak bezpośrednie wejście do docelowego systemu magazynowania, a przypadkowy skrypt czyszczący lub nieuwaga użytkownika mogą zburzyć konstrukcję znacznie szybciej, niż zrobiłyby to tradycyjne potoki danych.

Podsumowanie

Opanowanie uprawnień do skrótów w usłudze Microsoft Fabric wymaga zasadniczej zmiany sposobu myślenia o dostępie do danych i ich zarządzaniu. Równoważąc przekazywanie tożsamości użytkownika dla obciążeń wewnętrznych z ściśle kontrolowanymi zapisanymi poświadczeniami dla źródeł wielochmurowych, możesz zbudować elastyczne, bezkopiowe środowisko analityczne bez utraty bezpieczeństwa. Aby poznać szersze strategie architektoniczne, formaty danych i kompromisy, koniecznie posłuchaj pełnego odcinka, aby zapoznać się z kompleksowym omówieniem nowoczesnego zarządzania danymi w chmurze.

Często zadawane pytania

Czy skróty w usłudze Microsoft Fabric automatycznie dziedziczą uprawnienia użytkowników?

Skróty wewnętrzne korzystają z Twojej osobistej tożsamości w Entra ID, co oznacza, że musisz mieć jawny dostęp do odczytu zarówno do przestrzeni roboczej ze skrótem, jak i do przestrzeni roboczej docelowej. Natomiast zewnętrzne skróty korzystają z zapisanej tożsamości połączenia, dzięki czemu każdy, kto ma dostęp do lakehouse'u, może odczytać dane zewnętrzne.

Co się dzieje z danymi, jeśli usunę skrót w usłudze Microsoft Fabric?

Usunięcie samego obiektu skrótu nie usuwa danych znajdujących się pod ścieżką docelową. Pliki lub tabele pozostają w pełni bezpieczne, chyba że skrót został skonfigurowany jako zapisywalny i użytkownik celowo usunął pliki przez ścieżkę skrótu, mając wystarczające uprawnienia do miejsca docelowego.

Jak zewnętrzne skróty do chmury obsługują uwierzytelnianie w usługach AWS S3 lub Google Cloud Storage?

Zewnętrzne skróty do chmury uwierzytelniają się przy użyciu zapisanego połączenia skonfigurowanego podczas konfiguracji, a nie przekazują poświadczeń poszczególnych użytkowników. Z tego powodu listy kontroli dostępu do obszaru roboczego stanowią główną barierę bezpieczeństwa dla użytkowników wykonujących zapytania do danych wielochmurowych.

Co oznacza reguła bezpieczeństwa stricter-wins w usłudze Fabric?

Reguła stricter-wins oznacza, że podczas oceny dostępu usługa Fabric stosuje najbardziej restrykcyjny zestaw uprawnień znaleziony zarówno w ścieżce skrótu, jak i w ścieżce docelowej. Jeśli którakolwiek z lokalizacji odmawia dostępu lub ogranicza możliwości, ograniczenia te obowiązują użytkownika końcowego.