Esercitazione: Risolvere i problemi relativi ai criteri di Microsoft Purview per le origini dati SQL

Articolo
08/23/2023

Questa esercitazione illustra come eseguire comandi SQL per esaminare i criteri di Microsoft Purview comunicati all'istanza di SQL, in cui verranno applicati. Si apprenderà anche come forzare il download dei criteri nell'istanza di SQL. Questi comandi vengono usati solo per la risoluzione dei problemi e non sono necessari durante il normale funzionamento dei criteri di Microsoft Purview. Questi comandi richiedono un livello superiore di privilegi nell'istanza di SQL.

Per altre informazioni sui criteri di Microsoft Purview, vedere le guide ai concetti elencate nella sezione Passaggi successivi .

Prerequisiti

Una sottoscrizione di Azure. Se non è già disponibile, creare una sottoscrizione gratuita.
Un account Microsoft Purview. Se non è disponibile, vedere la guida introduttiva per la creazione di un account Microsoft Purview.
Registrare un'origine dati, abilitare la gestione dell'uso dei dati e creare un criterio. A tale scopo, usare una delle guide ai criteri di Microsoft Purview. Per seguire gli esempi di questa esercitazione, è possibile creare un criterio DevOps per Azure SQL Database.

Testare i criteri

Dopo aver creato un criterio, le entità di Azure AD a cui si fa riferimento nell'oggetto del criterio devono essere in grado di connettersi a qualsiasi database nel server in cui vengono pubblicati i criteri.

Forzare il download dei criteri

È possibile forzare un download immediato dei criteri pubblicati più recenti nel database SQL corrente eseguendo il comando seguente. L'autorizzazione minima necessaria per eseguirla è l'appartenenza al ruolo ##MS_ServerStateManager##-server.

-- Force immediate download of latest published policies
exec sp_external_policy_refresh reload

Analizzare lo stato dei criteri scaricati da SQL

Le DMV seguenti possono essere usate per analizzare i criteri scaricati e attualmente assegnati alle entità di Azure AD. L'autorizzazione minima necessaria per eseguirli è VIEW DATABASE SECURITY STATE o il revisore della sicurezza SQL del gruppo di azioni assegnato.


-- Lists generally supported actions
SELECT * FROM sys.dm_server_external_policy_actions

-- Lists the roles that are part of a policy published to this server
SELECT * FROM sys.dm_server_external_policy_roles

-- Lists the links between the roles and actions, could be used to join the two
SELECT * FROM sys.dm_server_external_policy_role_actions

-- Lists all Azure AD principals that were given connect permissions  
SELECT * FROM sys.dm_server_external_policy_principals

-- Lists Azure AD principals assigned to a given role on a given resource scope
SELECT * FROM sys.dm_server_external_policy_role_members

-- Lists Azure AD principals, joined with roles, joined with their data actions
SELECT * FROM sys.dm_server_external_policy_principal_assigned_actions

Passaggi successivi

Guide ai concetti per i criteri di accesso di Microsoft Purview:

Share via