Tutorial: Mengakses provisi oleh pemilik data ke himpunan data Azure Storage (pratinjau)
Penting
Fitur ini sedang dalam Pratinjau. Ketentuan Penggunaan Tambahan untuk Pratinjau Microsoft Azure mencakup ketentuan hukum yang berlaku untuk fitur Azure dalam versi beta, pratinjau, atau belum dirilis ke ketersediaan umum.
Kebijakan dalam Microsoft Purview memungkinkan Anda mengaktifkan akses ke sumber data yang telah didaftarkan ke koleksi. Tutorial ini menjelaskan bagaimana pemilik data dapat menggunakan Microsoft Purview untuk mengaktifkan akses ke himpunan data di Azure Storage melalui Microsoft Purview.
Dalam tutorial ini, Anda akan mempelajari cara:
- Menyiapkan lingkungan Azure Anda
- Mengonfigurasi izin untuk mengizinkan Microsoft Purview tersambung ke sumber daya Anda
- Mendaftarkan sumber daya Azure Storage Anda untuk Manajemen Penggunaan Data
- Membuat dan menerbitkan kebijakan untuk grup sumber daya atau langganan Anda
Prasyarat
- Akun Azure dengan langganan aktif. Buat akun gratis.
- Buat baru, atau gunakan akun Microsoft Purview yang sudah ada. Anda dapat mengikuti panduan mulai cepat kami untuk membuatnya.
- Buat baru, atau gunakan grup sumber daya yang sudah ada, dan tempatkan sumber data baru di bawahnya. Ikuti panduan ini untuk membuat grup sumber daya baru.
Mengaktifkan penegakan kebijakan akses untuk akun Azure Storage
Untuk mengaktifkan Microsoft Purview mengelola kebijakan untuk satu atau beberapa akun Azure Storage, jalankan perintah PowerShell berikut dalam langganan tempat Anda akan menyebarkan akun Azure Storage. Perintah PowerShell ini akan memungkinkan Microsoft Purview mengelola kebijakan pada semua akun Azure Storage yang baru dibuat dalam langganan tersebut.
Jika Anda menjalankan perintah ini secara lokal, pastikan untuk menjalankan PowerShell sebagai administrator. Atau, Anda dapat menggunakan Cloud Shell Azure di portal Azure: https://shell.azure.com.
# Install the Az module
Install-Module -Name Az -Scope CurrentUser -Repository PSGallery -Force
# Login into the subscription
Connect-AzAccount -Subscription <SubscriptionID>
# Register the feature
Register-AzProviderFeature -FeatureName AllowPurviewPolicyEnforcement -ProviderNamespace Microsoft.Storage
Jika keluaran dari perintah terakhir menunjukkan RegistrationState sebagai Terdaftar, maka langganan Anda diaktifkan untuk kebijakan akses. Jika output adalah Mendaftar, tunggu setidaknya 10 menit, lalu coba lagi perintah. Jangan lanjutkan kecuali RegistrationState ditampilkan sebagai Terdaftar.
Penting
Fitur kebijakan akses hanya tersedia di akun Azure Storage baru. Storage akun harus memenuhi persyaratan berikut untuk menerapkan kebijakan akses yang diterbitkan dari Microsoft Purview.
- Versi akun penyimpanan >= 81.x.x.
- Dibuat dalam langganan setelah fitur AllowPurviewPolicyEnforcementTerdaftar.
Buat akun Azure Storage baru
Setelah Mengaktifkan kebijakan akses di atas, buat akun Azure Storage baru di salah satu wilayah yang tercantum di bawah ini. Anda dapat mengikuti panduan ini untuk membuatnya.
Saat ini, kebijakan akses Microsoft Purview hanya dapat diberlakukan di wilayah Azure Storage berikut:
- Prancis Tengah
- Kanada Tengah
- US Timur
- AS Timur2
- AS Tengah Bagian Selatan
- AS Barat
- US Barat2
- Eropa Utara
- Eropa Barat
- UK Selatan
- Asia Tenggara
- Australia Timur
Konfigurasi
Daftarkan Microsoft Purview sebagai penyedia sumber daya di langganan lain
Jalankan langkah ini hanya jika sumber data dan akun Microsoft Purview berada dalam langganan yang berbeda. Daftarkan Microsoft Purview sebagai penyedia sumber daya di setiap langganan tempat sumber data berada dengan mengikuti panduan ini: Daftarkan penyedia sumber daya.
Penyedia sumber daya Microsoft Purview adalah:
Microsoft.Purview
Mengonfigurasi izin untuk tindakan manajemen kebijakan
Bagian ini membahas izin yang diperlukan untuk:
- Membuat sumber daya data tersedia untuk Manajemen Penggunaan Data. Langkah ini diperlukan sebelum kebijakan dapat dibuat di Microsoft Purview untuk sumber daya tersebut.
- Menulis dan mempublikasikan kebijakan dalam Microsoft Purview.
Penting
Saat ini, peran Microsoft Purview yang terkait dengan operasi kebijakan harus dikonfigurasi di tingkat koleksi akar.
Izin untuk membuat sumber daya data tersedia untuk Manajemen Penggunaan Data
Untuk mengaktifkan pengalih Manajemen Penggunaan Data (DUM) untuk sumber data, grup sumber daya, atau langganan, pengguna yang sama harus memiliki hak istimewa IAM tertentu pada sumber daya dan hak istimewa Microsoft Purview tertentu.
Pengguna harus memiliki salah satu kombinasi peran IAM berikut pada jalur ARM sumber daya atau induknya (menggunakan pewarisan).
- Pemilik IAM
- Baik Kontributor IAM + Administrator Akses Pengguna IAM
Ikuti panduan ini untuk mengonfigurasi izin peran Azure RBAC. Cuplikan layar berikut menunjukkan cara mengakses bagian Access Control dalam pengalaman portal Azure untuk sumber daya data guna menambahkan penetapan peran:
- Selain itu, pengguna yang sama harus memiliki peran administrator sumber data (DSA) Microsoft Purview di tingkat pengumpulan akar. Lihat panduan tentang mengelola Microsoft Purview penetapan peran. Cuplikan layar berikut menunjukkan cara menetapkan Admin Sumber Data di tingkat koleksi akar:
Izin untuk penulisan dan penerbitan kebijakan
Izin berikut diperlukan dalam Microsoft Purview di tingkat pengumpulan akar:
- Peran penulis kebijakan dapat membuat atau mengedit kebijakan.
- Peran administrator sumber data dapat mempublikasikan kebijakan.
Periksa bagian tentang mengelola penetapan peran Microsoft Purview dalam panduan ini.
Catatan
Masalah yang diketahui terkait dengan izin
- Selain peran Pembuat kebijakan Microsoft Purview, pengguna mungkin memerlukan izin Pembaca Direktori pada Azure Active Directory untuk membuat kebijakan pemilik data. Ini adalah izin umum untuk pengguna di penyewa Azure. Anda bisa memeriksa izin untuk Pembaca Direktori Azure AD
Delegasi tanggung jawab kontrol akses untuk Microsoft Purview
Peringatan
- Peran Pemilik IAM untuk sumber data dapat diwarisi dari grup sumber daya induk, langganan, atau Grup Manajemen langganan.
- Setelah sumber daya diaktifkan untuk Pengelolaan Penggunaan Data, setiap set akar Microsoft Purview pembuat kebijakan akan dapat membuat kebijakan akses terhadapnya, dan setiap koleksi-akar Microsoft Purview Admin sumber data akan dapat memublikasikan kebijakan tersebut pada kapan saja setelahnya.
- Setiap root Microsoft Purview Admin Koleksi dapat menetapkan peran baru koleksi-akar Admin Sumber Data dan Penulis kebijakan.
- Jika akun Microsoft Purview dihapus, kebijakan apa pun yang diterbitkan akan berhenti diberlakukan dalam jumlah waktu yang bergantung dengan sumber data tertentu. Tindakan ini dapat berdampak pada ketersediaan keamanan dan akses data.
Dengan mengingat peringatan ini, berikut adalah beberapa praktik terbaik yang disarankan untuk izin:
- Minimalkan jumlah orang yang memegang peran Admin Koleksi root Microsoft Purview, Admin Sumber Data root, atau root Penulis kebijakan.
- Untuk memastikan pemeriksaan dan keseimbangan, tetapkan peran Microsoft Purview Penulis kebijakan dan Admin sumber data kepada orang yang berbeda dalam organisasi. Dengan ini, sebelum kebijakan data berlaku, orang kedua (Admin sumber data) harus meninjaunya dan secara eksplisit menyetujuinya dengan memublikasikannya.
- Akun Microsoft Purview dapat dihapus oleh peran Kontributor dan Pemilik di IAM. Anda dapat memeriksa izin ini dengan membuka bagian Kontrol akses (IAM) untuk akun Microsoft Purview Anda dan memilih Penetapan Peran. Anda juga dapat menempatkan kunci untuk mencegah akun Microsoft Purview dihapus melalui kunci ARM.
Mendaftarkan sumber data di Microsoft Purview untuk Manajemen Penggunaan Data
Akun Azure Storage Anda perlu didaftarkan di Microsoft Purview untuk menentukan kebijakan akses nanti, dan selama pendaftaran, kami akan mengaktifkan Manajemen Penggunaan Data. Manajemen Penggunaan Data adalah fitur yang tersedia di Microsoft Purview yang memungkinkan pengguna mengelola akses ke sumber daya dari dalam Microsoft Purview. Ini memungkinkan Anda untuk memusatkan penemuan data dan manajemen akses, namun ini adalah fitur yang secara langsung berdampak pada keamanan data Anda.
Peringatan
Sebelum mengaktifkan Manajemen Penggunaan Data untuk salah satu sumber daya Anda, baca artikel Manajemen Penggunaan Data kami.
Artikel ini menyertakan praktik terbaik Manajemen Penggunaan Data untuk membantu Anda memastikan bahwa informasi Anda aman.
Untuk mendaftarkan sumber daya Anda dan mengaktifkan Manajemen Penggunaan Data, ikuti langkah-langkah berikut:
Catatan
Anda harus menjadi pemilik grup langganan atau sumber daya untuk dapat menambahkan identitas terkelola pada sumber daya Azure.
Dari portal Azure, temukan akun penyimpanan Azure Blob yang ingin Anda daftarkan.
Pilih Access Control (IAM) di navigasi kiri lalu pilih + Tambahkan -->Tambahkan penetapan peran.
Atur Peran ke Storage Pembaca Data Blob dan masukkan nama akun Microsoft Purview Anda di bawah kotak Input pilih. Lalu, pilih Simpan untuk memberikan penetapan peran ini ke akun Microsoft Purview Anda.
Jika Anda mengaktifkan firewall di akun Storage Anda, ikuti langkah-langkah berikut juga:
Buka akun Azure Storage Anda di portal Azure.
Navigasi ke Keamanan + jaringan Networking.NET >
Pilih Jaringan Yang Dipilih di bawah Izinkan akses dari.
Di bagian Pengecualian, pilih Izinkan layanan Microsoft tepercaya untuk mengakses akun penyimpanan ini dan pilih Simpan.
Setelah Anda menyiapkan autentikasi untuk akun penyimpanan Anda, buka portal tata kelola Microsoft Purview.
Pilih Peta Data pada menu sebelah kiri.
Pilih Daftar.
Pada Daftarkan sumber, pilih Azure Blob Storage.
Pilih Lanjutkan.
Pada layar Daftarkan sumber (Azure) , lakukan hal berikut ini:
Dalam kotak Nama , masukkan nama bersahabat yang akan dicantumkan sumber data dalam katalog.
Dalam kotak daftar dropdown Langganan , pilih langganan tempat akun penyimpanan Anda berada. Kemudian pilih akun penyimpanan Anda di bawah nama akun Storage. Di Pilih koleksi pilih koleksi tempat Anda ingin mendaftarkan akun Azure Storage Anda.
Dalam kotak Pilih kumpulan, pilih kumpulan atau buat yang baru (opsional).
Atur tombol Manajemen Penggunaan Data ke Diaktifkan, seperti yang ditunjukkan pada gambar di bawah ini.
Tip
Jika pengalih Manajemen Penggunaan Data berwarna abu-abu dan tidak dapat dipilih:
- Konfirmasikan bahwa Anda telah mengikuti semua prasyarat untuk mengaktifkan Manajemen Penggunaan Data di seluruh sumber daya Anda.
- Konfirmasikan bahwa Anda telah memilih akun penyimpanan untuk didaftarkan.
- Mungkin sumber daya ini sudah terdaftar di akun Microsoft Purview lain. Arahkan mouse ke atasnya untuk mengetahui nama akun Microsoft Purview yang telah mendaftarkan sumber daya data.first. Hanya satu akun Microsoft Purview yang dapat mendaftarkan sumber daya untuk Manajemen Penggunaan Data pada saat itu.
Pilih Daftar untuk mendaftarkan grup sumber daya atau langganan dengan Microsoft Purview dengan Manajemen Penggunaan Data diaktifkan.
Tip
Untuk informasi selengkapnya tentang Manajemen Penggunaan Data, termasuk praktik terbaik atau masalah yang diketahui, lihat artikel Manajemen Penggunaan Data kami.
Membuat kebijakan pemilik data
Masuk ke portal tata kelola Microsoft Purview.
Navigasikan ke fitur Kebijakan data menggunakan panel sebelah kiri. Lalu pilih Kebijakan data.
Pilih tombol Kebijakan Baru di halaman kebijakan.
Halaman kebijakan baru akan muncul. Masukkan Nama dan Deskripsi kebijakan.
Untuk menambahkan pernyataan kebijakan ke kebijakan baru, pilih tombol Pernyataan kebijakan baru. Ini akan memunculkan penyusun pernyataan kebijakan.
Pilih tombol Efek dan pilih Izinkan dari daftar tarik-turun.
Pilih tombol Tindakan dan pilih Baca atau Ubah dari daftar tarik-turun.
Pilih tombol Sumber Daya Data untuk memunculkan jendela untuk memasukkan informasi sumber daya Data, yang akan terbuka di sebelah kanan.
Di bawah Panel Sumber Daya Data, lakukan salah satu dari dua hal bergantung pada perincian kebijakan:
- Untuk membuat pernyataan kebijakan luas yang mencakup seluruh sumber data, grup sumber daya, atau langganan yang sebelumnya terdaftar, gunakan kotak Sumber data dan pilih Jenisnya.
- Untuk membuat kebijakan terperinci, gunakan kotak Aset sebagai gantinya. Masukkan Jenis Sumber Data dan Nama dari sumber data yang terdaftar dan dipindai sebelumnya. Lihat contoh dalam gambar.
Pilih tombol Lanjutkan dan melintasi hierarki untuk memilih dan mendasar objek data (misalnya: folder, file, dll.). Pilih Rekursif untuk menerapkan kebijakan dari titik tersebut dalam hierarki ke objek data turunan apa pun. Kemudian pilih tombol Tambahkan. Ini akan membawa Anda kembali ke editor kebijakan.
Pilih tombol Subjek dan masukkan identitas subjek sebagai prinsipal, grup, atau MSI. Kemudian pilih tombol OK. Ini akan membawa Anda kembali ke editor kebijakan
Ulangi langkah #5 hingga #11 untuk memasukkan pernyataan kebijakan lainnya.
Pilih tombol Simpan untuk menyimpan kebijakan.
Menerbitkan kebijakan pemilik data
Masuk ke portal tata kelola Microsoft Purview.
Navigasikan ke fitur Kebijakan data menggunakan panel sebelah kiri. Lalu pilih Kebijakan data.
Portal Kebijakan akan menampilkan daftar kebijakan yang ada di Microsoft Purview. Temukan kebijakan yang perlu diterbitkan. Pilih tombol Terbitkan di sudut kanan atas halaman.
Daftar sumber data ditampilkan. Anda dapat memasukkan nama untuk memfilter daftar. Kemudian, pilih setiap sumber data tempat kebijakan ini akan diterbitkan, lalu pilih tombol Terbitkan.
Penting
- Terbitkan adalah operasi latar belakang. Diperlukan waktu hingga 2 jam agar perubahan tercermin dalam akun Storage.
Membersihkan sumber daya
Untuk menghapus kebijakan di Microsoft Purview, ikuti langkah-langkah berikut:
Masuk ke portal tata kelola Microsoft Purview.
Navigasikan ke fitur Kebijakan data menggunakan panel sebelah kiri. Lalu pilih Kebijakan data.
Portal Kebijakan akan menampilkan daftar kebijakan yang ada di Microsoft Purview. Pilih kebijakan yang perlu diperbarui.
Halaman detail kebijakan akan muncul, termasuk opsi Edit dan Hapus. Pilih tombol Edit, yang menampilkan pembuat pernyataan kebijakan. Sekarang, setiap bagian dari pernyataan dalam kebijakan ini dapat diperbarui. Untuk menghapus kebijakan, gunakan tombol Hapus.
Langkah berikutnya
Periksa demo kami dan tutorial terkait: