OneLake Data Access Security - List Data Access Roles
Zwraca listę ról OneLake.
Note
Ten interfejs API jest częścią wersji zapoznawczej i jest dostarczany tylko do celów ewaluacyjnych i programistycznych. Może ona ulec zmianie na podstawie opinii i nie jest zalecana do użytku produkcyjnego.
Wymagane zakresy delegowane
OneLake.Read.All lub OneLake.ReadWrite.All
Tożsamości obsługiwane przez firmę Microsoft
To API obsługuje tożsamości Microsoft wymienione w tej sekcji.
| Identity | Support |
|---|---|
| User | Yes |
| Główne usługi i Tożsamości zarządzane | Yes |
Interface
GET https://api.fabric.microsoft.com/v1/workspaces/{workspaceId}/items/{itemId}/dataAccessRoles
GET https://api.fabric.microsoft.com/v1/workspaces/{workspaceId}/items/{itemId}/dataAccessRoles?continuationToken={continuationToken}
Parametry identyfikatora URI
| Nazwa | W | Wymagane | Typ | Opis |
|---|---|---|---|---|
|
item
|
path | True |
string (uuid) |
Identyfikator elementu sieć szkieletowa do umieszczenia ról. |
|
workspace
|
path | True |
string (uuid) |
Identyfikator obszaru roboczego. |
|
continuation
|
query |
string |
Token do pobierania następnej strony wyników. |
Odpowiedzi
| Nazwa | Typ | Opis |
|---|---|---|
| 200 OK |
Żądanie zostało ukończone pomyślnie. Nagłówki Etag: string |
|
| Other Status Codes |
Typowe kody błędów:
|
Przykłady
| List data access roles multiple pages example |
| List data access roles single page example |
| List data access roles with constraints example |
| List default data access roles example |
List data access roles multiple pages example
Przykładowe żądanie
GET https://api.fabric.microsoft.com/v1/workspaces/cfafbeb1-8037-4d0c-896e-a46fb27ff222/items/25bac802-080d-4f73-8a42-1b406eb1fceb/dataAccessRoles
Przykładowa odpowiedź
ETag: 33a64df551425fcc55e4d42a148795d9f25f89d4
{
"value": [
{
"name": "default_role_1",
"decisionRules": [
{
"effect": "Permit",
"permission": [
{
"attributeName": "Path",
"attributeValueIncludedIn": [
"*"
]
},
{
"attributeName": "Action",
"attributeValueIncludedIn": [
"Read"
]
}
]
}
],
"members": {
"fabricItemMembers": [
{
"itemAccess": [
"ReadAll"
],
"sourcePath": "cfafbeb1-8037-4d0c-896e-a46fb27ff222/25bac802-080d-4f73-8a42-1b406eb1fceb"
}
]
}
}
],
"continuationToken": "LDEsMTAwMDAwLDA%3D",
"continuationUri": "https://api.fabric.microsoft.com/v1/workspaces/cfafbeb1-8037-4d0c-896e-a46fb27ff222/items/25bac802-080d-4f73-8a42-1b406eb1fceb/dataAccessRoles?continuationToken=LDEsMTAwMDAwLDA%3D"
}
List data access roles single page example
Przykładowe żądanie
GET https://api.fabric.microsoft.com/v1/workspaces/cfafbeb1-8037-4d0c-896e-a46fb27ff222/items/25bac802-080d-4f73-8a42-1b406eb1fceb/dataAccessRoles
Przykładowa odpowiedź
ETag: 33a64df551425fcc55e4d42a148795d9f25f89d4
{
"value": [
{
"name": "default_role_1",
"decisionRules": [
{
"effect": "Permit",
"permission": [
{
"attributeName": "Path",
"attributeValueIncludedIn": [
"*"
]
},
{
"attributeName": "Action",
"attributeValueIncludedIn": [
"Read"
]
}
]
}
],
"members": {
"fabricItemMembers": [
{
"itemAccess": [
"ReadAll"
],
"sourcePath": "cfafbeb1-8037-4d0c-896e-a46fb27ff222/25bac802-080d-4f73-8a42-1b406eb1fceb"
}
]
}
}
]
}
List data access roles with constraints example
Przykładowe żądanie
GET https://api.fabric.microsoft.com/v1/workspaces/cfafbeb1-8037-4d0c-896e-a46fb27ff222/items/25bac802-080d-4f73-8a42-1b406eb1fceb/dataAccessRoles
Przykładowa odpowiedź
ETag: 33a64df551425fcc55e4d42a148795d9f25f89d4
{
"value": [
{
"name": "DefaultReader",
"decisionRules": [
{
"effect": "Permit",
"permission": [
{
"attributeName": "Path",
"attributeValueIncludedIn": [
"*"
]
},
{
"attributeName": "Action",
"attributeValueIncludedIn": [
"Read"
]
}
],
"constraints": {
"columns": [
{
"tablePath": "/Tables/industrytable",
"columnNames": [
"Industry"
],
"columnEffect": "Permit",
"columnAction": [
"Read"
]
}
],
"rows": [
{
"tablePath": "/Tables/industrytable",
"value": "select * from Industrytable where Industry=\"Green\""
}
]
}
}
],
"members": {
"fabricItemMembers": [
{
"itemAccess": [
"ReadAll"
],
"sourcePath": "cfafbeb1-8037-4d0c-896e-a46fb27ff222/25bac802-080d-4f73-8a42-1b406eb1fceb"
}
]
}
}
]
}
List default data access roles example
Przykładowe żądanie
GET https://api.fabric.microsoft.com/v1/workspaces/cfafbeb1-8037-4d0c-896e-a46fb27ff222/items/25bac802-080d-4f73-8a42-1b406eb1fceb/dataAccessRoles
Przykładowa odpowiedź
ETag: 33a64df551425fcc55e4d42a148795d9f25f89d4
{
"value": [
{
"name": "DefaultReader",
"decisionRules": [
{
"effect": "Permit",
"permission": [
{
"attributeName": "Path",
"attributeValueIncludedIn": [
"*"
]
},
{
"attributeName": "Action",
"attributeValueIncludedIn": [
"Read"
]
}
]
}
],
"members": {
"fabricItemMembers": [
{
"itemAccess": [
"ReadAll"
],
"sourcePath": "cfafbeb1-8037-4d0c-896e-a46fb27ff222/25bac802-080d-4f73-8a42-1b406eb1fceb"
}
]
}
}
]
}
Definicje
| Nazwa | Opis |
|---|---|
|
Attribute |
Określa nazwę atrybutu ocenianego pod kątem uprawnień dostępu. AtrybutName może być |
|
Column |
Tablica akcji zastosowanych do kolumny columnNames. Określa, które akcje użytkownik będzie mógł wykonywać w kolumnach. Dozwolone wartości to: Odczyt. Dodatkowe typy columnAction mogą być dodawane w czasie. |
|
Column |
KolumnaConstraint wskazuje ograniczenie określające uprawnienia i widoczność, które użytkownik ma w kolumnach w tabeli. |
|
Column |
Efekt nadany kolumnom columnNames. Jedyną dozwoloną wartością jest Zezwalanie. Dodatkowe typy columnEffect mogą być dodawane w czasie. |
| Constraints |
Wszelkie ograniczenia, takie jak zabezpieczenia na poziomie wiersza lub kolumny, które są stosowane do tabel w ramach tej roli. Jeśli nie zostaną uwzględnione, żadne ograniczenia nie mają zastosowania do żadnych tabel w roli. |
|
Data |
Rola dostępu do danych reprezentuje zestaw uprawnień i zakresów uprawnień, które definiują, jakie akcje mogą wykonywać jego członkowie dla danych w zakresie. Role dostępu do danych służą do zarządzania zabezpieczeniami dostępu do danych i zapewniają, że tylko autoryzowani użytkownicy mogą wyświetlać, edytować lub usuwać określone dane. Członkowie to użytkownicy lub grupy, którym przyznano rolę, i mogą odczytywać dane na podstawie uprawnień przypisanych do roli. Na przykład element członkowski może być grupą identyfikatorów Entra firmy Microsoft i zakresem uprawnień może być akcja odczytu zastosowana w danej ścieżce do plików, folderów lub tabel w usłudze OneLake. |
|
Data |
|
|
Decision |
Określa regułę dopasowania żądanej akcji. Zawiera efekt (Zezwól) i Uprawnienie, które określają, czy użytkownik lub jednostka jest autoryzowana do wykonania konkretnej akcji (np. odczytu) na zasobie. Uprawnienie to zestaw zakresów zdefiniowanych przez atrybuty, które muszą być zgodne z żądaną akcją, aby reguła została zastosowana. |
| Effect |
Wpływ, jaki rola ma na dostęp do zasobu danych. Obecnie jedynym obsługiwanym typem efektu jest |
|
Error |
Obiekt szczegółów zasobu powiązanego z błędem. |
|
Error |
Odpowiedź na błąd. |
|
Error |
Szczegóły odpowiedzi na błąd. |
|
Fabric |
Składowa elementu sieci szkieletowej. |
|
Item |
Lista określająca uprawnienia dostępu dla użytkownika sieci szkieletowej, które mają być automatycznie uwzględniane w członkach roli. Dodatkowe typy itemAccess można dodawać w czasie. |
| Members |
Obiekt członkowski zawierający elementy członkowskie roli jako tablice różnych typów składowych. |
|
Microsoft |
Członek microsoft Entra ID przypisany do roli. |
|
Object |
Typ obiektu Microsoft Entra ID. Dodatkowe typy objectType można dodawać w czasie. |
|
Permission |
Definiuje zestaw atrybutów (właściwości), które określają zakres i poziom dostępu do zasobu. Gdy właściwość |
|
Row |
WierszConstraint wskazuje ograniczenie określające wiersze w tabeli, które użytkownicy mogą zobaczyć. Role zdefiniowane za pomocą ograniczeń wierszy używają języka T-SQL do zdefiniowania predykatu, który filtruje dane w tabeli. Wiersze, które nie spełniają warunków predykatu, są filtrowane, pozostawiając podzbiór oryginalnych wierszy. Ograniczenia wierszy mogą również służyć do określania dynamicznych i wieloplaterowych smaków zabezpieczeń na poziomie wiersza przy użyciu języka T-SQL. |
AttributeName
Określa nazwę atrybutu ocenianego pod kątem uprawnień dostępu. AtrybutName może być Path lub Action. Dodatkowe typy attributeName można dodawać w czasie.
| Wartość | Opis |
|---|---|
| Path |
Ścieżka nazwy atrybutu |
| Action |
Akcja nazwy atrybutu |
ColumnAction
Tablica akcji zastosowanych do kolumny columnNames. Określa, które akcje użytkownik będzie mógł wykonywać w kolumnach. Dozwolone wartości to: Odczyt. Dodatkowe typy columnAction mogą być dodawane w czasie.
| Wartość | Opis |
|---|---|
| Read |
Odczyt wartości ColumnAction |
ColumnConstraint
KolumnaConstraint wskazuje ograniczenie określające uprawnienia i widoczność, które użytkownik ma w kolumnach w tabeli.
| Nazwa | Typ | Opis |
|---|---|---|
| columnAction |
Tablica akcji zastosowanych do kolumny columnNames. Określa, które akcje użytkownik będzie mógł wykonywać w kolumnach. Dozwolone wartości to: Odczyt. Dodatkowe typy columnAction mogą być dodawane w czasie. |
|
| columnEffect |
Efekt nadany kolumnom columnNames. Jedyną dozwoloną wartością jest Zezwalanie. Dodatkowe typy columnEffect mogą być dodawane w czasie. |
|
| columnNames |
string[] |
Tablica nazw kolumn z uwzględnieniem wielkości liter. Każda wartość to nazwa kolumny z tabeli określonej w pliku |
| tablePath |
string |
Względna ścieżka pliku określająca, do której tabeli ma zastosowanie ograniczenie kolumny. Powinno to mieć postać |
ColumnEffect
Efekt nadany kolumnom columnNames. Jedyną dozwoloną wartością jest Zezwalanie. Dodatkowe typy columnEffect mogą być dodawane w czasie.
| Wartość | Opis |
|---|---|
| Permit |
Typ ColumnEffect Zezwalaj |
Constraints
Wszelkie ograniczenia, takie jak zabezpieczenia na poziomie wiersza lub kolumny, które są stosowane do tabel w ramach tej roli. Jeśli nie zostaną uwzględnione, żadne ograniczenia nie mają zastosowania do żadnych tabel w roli.
| Nazwa | Typ | Opis |
|---|---|---|
| columns |
Tablica ograniczeń kolumn zastosowanych do co najmniej jednej tabeli w roli dostępu do danych. |
|
| rows |
Tablica ograniczeń wierszy zastosowanych do co najmniej jednej tabeli w roli dostępu do danych. |
DataAccessRole
Rola dostępu do danych reprezentuje zestaw uprawnień i zakresów uprawnień, które definiują, jakie akcje mogą wykonywać jego członkowie dla danych w zakresie. Role dostępu do danych służą do zarządzania zabezpieczeniami dostępu do danych i zapewniają, że tylko autoryzowani użytkownicy mogą wyświetlać, edytować lub usuwać określone dane. Członkowie to użytkownicy lub grupy, którym przyznano rolę, i mogą odczytywać dane na podstawie uprawnień przypisanych do roli. Na przykład element członkowski może być grupą identyfikatorów Entra firmy Microsoft i zakresem uprawnień może być akcja odczytu zastosowana w danej ścieżce do plików, folderów lub tabel w usłudze OneLake.
| Nazwa | Typ | Opis |
|---|---|---|
| decisionRules |
Tablica uprawnień tworzących rolę dostępu do danych. |
|
| id |
string (uuid) |
Unikatowy identyfikator roli dostępu do danych. |
| members |
Obiekt członkowski zawierający elementy członkowskie roli jako tablice różnych typów składowych. |
|
| name |
string |
Nazwa roli dostępu do danych. |
DataAccessRoles
| Nazwa | Typ | Opis |
|---|---|---|
| continuationToken |
string |
Token dla następnej partii zestawu wyników. Jeśli nie ma więcej rekordów, zostanie on usunięty z odpowiedzi. |
| continuationUri |
string |
Identyfikator URI następnego zestawu wyników wsadowy. Jeśli nie ma więcej rekordów, zostanie on usunięty z odpowiedzi. |
| value |
Lista ról używanych do zarządzania zabezpieczeniami dostępu do danych i zapewniania, że tylko autoryzowani użytkownicy mogą wyświetlać określone dane. Rola reprezentuje zestaw uprawnień i zakresów uprawnień, które definiują, jakie akcje mogą wykonywać jego członkowie dla danych w zakresie. Członkowie to użytkownicy lub grupy, którym przyznano rolę, i mogą odczytywać dane na podstawie uprawnień przypisanych do roli. Na przykład element członkowski może być grupą identyfikatorów Entra firmy Microsoft i zakresem uprawnień może być akcja odczytu zastosowana w danej ścieżce do plików, folderów lub tabel w usłudze OneLake. |
DecisionRule
Określa regułę dopasowania żądanej akcji. Zawiera efekt (Zezwól) i Uprawnienie, które określają, czy użytkownik lub jednostka jest autoryzowana do wykonania konkretnej akcji (np. odczytu) na zasobie. Uprawnienie to zestaw zakresów zdefiniowanych przez atrybuty, które muszą być zgodne z żądaną akcją, aby reguła została zastosowana.
| Nazwa | Typ | Opis |
|---|---|---|
| constraints |
Wszelkie ograniczenia, takie jak zabezpieczenia na poziomie wiersza lub kolumny, które są stosowane do tabel w ramach tej roli. Jeśli nie zostaną uwzględnione, żadne ograniczenia nie mają zastosowania do żadnych tabel w roli. |
|
| effect |
Wpływ, jaki rola ma na dostęp do zasobu danych. Obecnie jedynym obsługiwanym typem efektu jest |
|
| permission |
Właściwość |
Effect
Wpływ, jaki rola ma na dostęp do zasobu danych. Obecnie jedynym obsługiwanym typem efektu jest Permit, który udziela dostępu do zasobu. Dodatkowe typy efektów mogą być dodawane w czasie.
| Wartość | Opis |
|---|---|
| Permit |
typ efektu Zezwalaj |
ErrorRelatedResource
Obiekt szczegółów zasobu powiązanego z błędem.
| Nazwa | Typ | Opis |
|---|---|---|
| resourceId |
string |
Identyfikator zasobu, który jest zaangażowany w błąd. |
| resourceType |
string |
Typ zasobu, który jest zaangażowany w błąd. |
ErrorResponse
Odpowiedź na błąd.
| Nazwa | Typ | Opis |
|---|---|---|
| errorCode |
string |
Określony identyfikator, który zawiera informacje o stanie błędu, co pozwala na ustandaryzowaną komunikację między naszą usługą a jej użytkownikami. |
| message |
string |
Czytelna reprezentacja błędu przez człowieka. |
| moreDetails |
Lista dodatkowych szczegółów błędu. |
|
| relatedResource |
Szczegóły zasobu powiązanego z błędem. |
|
| requestId |
string |
Identyfikator żądania skojarzonego z błędem. |
ErrorResponseDetails
Szczegóły odpowiedzi na błąd.
| Nazwa | Typ | Opis |
|---|---|---|
| errorCode |
string |
Określony identyfikator, który zawiera informacje o stanie błędu, co pozwala na ustandaryzowaną komunikację między naszą usługą a jej użytkownikami. |
| message |
string |
Czytelna reprezentacja błędu przez człowieka. |
| relatedResource |
Szczegóły zasobu powiązanego z błędem. |
FabricItemMember
Składowa elementu sieci szkieletowej.
| Nazwa | Typ | Opis |
|---|---|---|
| itemAccess |
Lista określająca uprawnienia dostępu dla użytkownika sieci szkieletowej, które mają być automatycznie uwzględniane w członkach roli. Dodatkowe typy itemAccess można dodawać w czasie. |
|
| sourcePath |
string pattern: ^[{]?[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}[}]?/[{]?[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}[}]?$ |
Ścieżka do elementu sieci szkieletowej z określonym dostępem do elementu. |
ItemAccess
Lista określająca uprawnienia dostępu dla użytkownika sieci szkieletowej, które mają być automatycznie uwzględniane w członkach roli. Dodatkowe typy itemAccess można dodawać w czasie.
| Wartość | Opis |
|---|---|
| Read |
Odczyt dostępu do elementów. |
| Write |
Zapis dostępu do elementu. |
| Reshare |
Udostępnianie dalej dostępu do elementów. |
| Explore |
Eksplorowanie dostępu do elementów. |
| Execute |
Wykonywanie dostępu do elementów. |
| ReadAll |
Dostęp do elementu ReadAll. |
Members
Obiekt członkowski zawierający elementy członkowskie roli jako tablice różnych typów składowych.
| Nazwa | Typ | Opis |
|---|---|---|
| fabricItemMembers |
Lista członków, którzy mają określone uprawnienia ustawione w usłudze Microsoft Fabric. Wszyscy członkowie z tym zestawem uprawnień są dodawani jako członkowie tej roli dostępu do danych. |
|
| microsoftEntraMembers |
Lista członków identyfikatora Entra firmy Microsoft. |
MicrosoftEntraMember
Członek microsoft Entra ID przypisany do roli.
| Nazwa | Typ | Opis |
|---|---|---|
| objectId |
string (uuid) |
Identyfikator obiektu. |
| objectType |
Typ obiektu Microsoft Entra ID. Dodatkowe typy objectType można dodawać w czasie. |
|
| tenantId |
string (uuid) |
Identyfikator dzierżawy. |
ObjectType
Typ obiektu Microsoft Entra ID. Dodatkowe typy objectType można dodawać w czasie.
| Wartość | Opis |
|---|---|
| Group |
Grupa nazw atrybutów |
| User |
Nazwa atrybutu Użytkownik |
| ServicePrincipal |
Nazwa atrybutu ServicePrincipal |
| ManagedIdentity |
Nazwa atrybutu ManagedIdentity |
PermissionScope
Definiuje zestaw atrybutów (właściwości), które określają zakres i poziom dostępu do zasobu. Gdy właściwość attributeName jest ustawiona na Path, właściwość attributeValueIncludedIn musi określać lokalizację zasobu, na przykład "Tables/Table1". Gdy właściwość attributeName jest ustawiona na Action, właściwość attributeValueIncludedIn musi określać typ udzielanego dostępu, na przykład Read.
| Nazwa | Typ | Opis |
|---|---|---|
| attributeName |
Określa nazwę atrybutu ocenianego pod kątem uprawnień dostępu. AtrybutName może być |
|
| attributeValueIncludedIn |
string[] |
Określa listę wartości dla |
RowConstraint
WierszConstraint wskazuje ograniczenie określające wiersze w tabeli, które użytkownicy mogą zobaczyć. Role zdefiniowane za pomocą ograniczeń wierszy używają języka T-SQL do zdefiniowania predykatu, który filtruje dane w tabeli. Wiersze, które nie spełniają warunków predykatu, są filtrowane, pozostawiając podzbiór oryginalnych wierszy. Ograniczenia wierszy mogą również służyć do określania dynamicznych i wieloplaterowych smaków zabezpieczeń na poziomie wiersza przy użyciu języka T-SQL.
| Nazwa | Typ | Opis |
|---|---|---|
| tablePath |
string |
Względna ścieżka pliku określająca, do której tabeli ma zastosowanie ograniczenie wiersza. Powinno to mieć postać |
| value |
string |
Wyrażenie języka T-SQL używane do oceny wierszy, które mogą zobaczyć członkowie roli. Jako predykat można używać tylko podzestawu języka T-SQL. |