03. Segurança em nível de linha

Duas pessoas podem abrir o mesmo relatório e enxergar conjuntos diferentes de linhas. A RLS faz essa filtragem dentro do modelo semântico, usando papéis e a identidade do usuário, sem precisar manter uma cópia por região.

Manter uma solução é garantir que ela continue correta, protegida e recuperável depois da primeira publicação. Acesso, versionamento, implantação e linhagem acompanham toda mudança. Este é o capítulo 3 de 14 da disciplina Manter uma solução de análise de dados. A leitura parte do que foi construído em Controles de acesso no nível do item. Depois dele, o estudo avança para Segurança de coluna, objeto e arquivo.

RLS acrescenta filtros ao modelo

A regra de um papel restringe linhas visíveis e se propaga pelas relações. Ela não altera os dados físicos nem corrige uma relação ambígua. O esquema estrela e a direção do filtro determinam se a restrição alcança todas as fatos esperadas.

Com essa base, o capítulo segue para Regra estática e regra dinâmica. O conceito que acabou de ser apresentado passa a funcionar como ponto de partida para a decisão seguinte.

Regra estática e regra dinâmica

RLS estática fixa condições como Região = Sul. A dinâmica usa USERPRINCIPALNAME ou identidade equivalente e uma tabela de autorização que relaciona usuário a entidade permitida. A tabela deve tratar múltiplos acessos, mudanças e identidades consistentes.

A decisão anterior ainda não encerra o problema. Em Papéis não substituem menor privilégio de autoria, veremos o que muda quando esse mecanismo encontra outra camada, outro contexto ou uma necessidade mais específica.

Papéis não substituem menor privilégio de autoria

RLS foi desenhada para consumidores. Papéis elevados de workspace podem ter capacidades que não seguem a experiência de Viewer. Não conceda Contributor a quem depende da restrição de consumo e não use RLS como única barreira para fontes externas.

Resta ligar esse mecanismo a Testar como papel e como usuário. Essa passagem completa o fluxo e permite avaliar o resultado como um todo, em vez de conferir apenas uma configuração isolada.

Testar como papel e como usuário

Use “Exibir como” para validar a lógica e, no serviço, teste identidades reais e combinações de grupos. Inclua usuário sem mapeamento, com duas regiões e removido recentemente. Confirme detalhe, subtotal, exportação e conteúdo conectado.

Com as quatro partes reunidas, já é possível sair das definições e acompanhar uma situação completa. O exemplo seguinte mostra como as decisões aparecem em conjunto e em que momento cada uma precisa ser conferida.