03. Segurança granular do OneLake

Um lakehouse pode reunir arquivos e tabelas destinados a públicos diferentes. A segurança granular do OneLake permite expressar esse recorte próximo aos dados, mas sua eficácia depende de quais direitos o consumidor já possui e de como o mecanismo de leitura aplica as regras.

Dados, funções e escopos

O OneLake é a camada lógica de armazenamento compartilhada do Fabric. Suas funções de segurança associam membros a conjuntos de dados e permissões. Em vez de entregar acesso amplo para que uma aplicação filtre depois, o desenho explicita quais tabelas, pastas e arquivos cada consumidor poderá alcançar. O escopo da regra precisa corresponder ao caminho realmente usado.

É necessário diferenciar acesso a arquivos e acesso a tabelas. Uma restrição tabular pode selecionar colunas ou linhas quando o recurso e o mecanismo suportam essa aplicação. Já uma permissão sobre uma pasta se refere ao caminho armazenado. Não transforme qualquer filtro SQL local em uma garantia universal sobre todos os acessos possíveis ao mesmo conjunto.

Uma política precisa corresponder à unidade do requisito. Se a necessidade é liberar apenas uma pasta de contratos, uma regra tabular sobre uma coluna de vendas não atua nesse caminho. Se a necessidade é permitir vendas de uma região, uma concessão ampla de arquivos pode oferecer informação além da consulta filtrada. Desenhe os caminhos de leitura antes das regras: item usado, mecanismo, identidade e conjunto alcançado. O mapa de acesso ajuda a reconhecer quando duas configurações aparentemente corretas produzem, em conjunto, uma exposição maior que a pretendida.

Concessões amplas e DefaultReader

Admins, Members e Contributors do workspace possuem acesso elevado. As funções granulares destinadas a leitores não devem ser usadas como se reduzissem esses privilégios administrativos ou de edição. O primeiro passo para restringir um consumidor é garantir que ele não pertença a um perfil que já oferece acesso amplo.

Examine também DefaultReader e demais funções existentes. Uma função restrita não elimina uma concessão ampla paralela. Se o usuário continua elegível a ler todo o conjunto por outro caminho, adicionar uma função que cita apenas uma tabela não produz a restrição esperada. A revisão deve tratar as associações em conjunto e testar o resultado efetivo, sem presumir uma regra simples de negação.