Segurança em nível de linha no OneLake (versão prévia)

A segurança em nível de linha (RLS) é um recurso da segurança do OneLake (versão prévia) que permite definir restrições de dados em nível de linha para dados tabulares armazenados no OneLake. Os usuários podem definir funções no OneLake que contêm regras para filtrar linhas de dados para os membros dessa função. Quando um membro de uma função RLS consulta esses dados, as regras RLS são avaliadas e somente as linhas permitidas são retornadas.

Pré-requisitos

• Um item no OneLake com a segurança do OneLake ativada. Para obter mais informações, consulte Introdução às funções de acesso a dados do OneLake.
• Alterne o ponto de extremidade da Análise de SQL no lakehouse para o modo "Identidade do usuário" por meio da guia Segurança .
• Para criar modelos semânticos, use as etapas para criar um modelo DirectLake.
• Para obter uma lista completa de limitações, consulte a seção limitações conhecidas.

Impor segurança em nível de linha

A RLS da segurança do OneLake é imposta de duas maneiras:

• Tabelas filtradas em mecanismos do Fabric: consultas à lista de mecanismos do Fabric com suporte, como notebooks do Spark, resultam na exibição de apenas as linhas que o usuário tem permissão para ver, conforme as regras RLS.
• Acesso bloqueado a tabelas: tabelas com regras RLS aplicadas a elas não podem ser lidas fora dos mecanismos do Fabric com suporte.

Para tabelas filtradas, os seguintes comportamentos se aplicam:

• As regras RLS não restringem o acesso de usuários nas funções Administrador, Membro e Colaborador.
• Se a regra RLS não corresponder à tabela na qual está definida, a consulta falhará e nenhuma linha será retornada. Por exemplo, se a regra RLS fizer referência a uma coluna que não faz parte da tabela.
• Consultas de tabelas RLS falharão com um erro se um usuário fizer parte de duas funções diferentes e uma das funções tiver segurança em nível de coluna (CLS).
• As regras RLS só podem ser aplicadas a objetos que são tabelas Delta parquet.
  • Em vez disso, as regras RLS aplicadas a objetos de tabela não Delta bloqueiam o acesso de membros da função a toda a tabela.
• O acesso a uma tabela pode ser bloqueado se a instrução RLS contiver erros de sintaxe que impeçam sua avaliação.

Definir regras de segurança em nível de linha

Você pode definir regras de segurança em nível de linha como parte de qualquer função de segurança do OneLake que conceda acesso a dados de tabela no formato Delta parquet. As linhas são um conceito relevante apenas para dados tabulares, portanto, as definições de RLS não são permitidas para pastas que não sejam tabelas ou dados não estruturados.

As regras RLS usam a sintaxe do SQL para especificar as linhas que um usuário pode ver. Essa sintaxe assume a forma de uma instrução SQL SELECT com as regras RLS definidas na cláusula WHERE. As regras RLS só dão suporte a um subconjunto da linguagem SQL conforme definido em Regras de sintaxe. Consultas com sintaxe RLS inválida ou sintaxe RLS que não corresponda à tabela subjacente fazem com que nenhuma linha seja exibida aos usuários, ou resultam em erros de consulta no endpoint de análise SQL.

Como prática recomendada, evite usar expressões RLS vagas ou excessivamente complexas. Expressões fortemente tipdas com pesquisas de inteiro ou cadeia de caracteres com "=" serão as mais seguras e fáceis de entender.

Use as etapas a seguir para definir as regras RLS:

1. Navegue até o Lakehouse e selecione Gerenciar segurança do OneLake (versão prévia).

2. Selecione uma função existente para a qual você deseja definir a segurança de tabela ou pasta ou selecione Novo para criar uma nova função.

3. Na página de detalhes da função, selecione mais opções (...) ao lado da tabela para a qual você deseja definir a RLS e selecione Segurança em nível de linha (versão prévia).

   

4. Digite a instrução SQL para definir quais linhas você deseja que os usuários vejam no editor de código. Use a seção Regras de sintaxe para obter diretrizes.

5. Selecione Salvar para confirmar as regras de segurança de linha.

Habilitar segurança do OneLake para endpoint de análise do SQL

Antes de usar a segurança do OneLake com o ponto de extremidade de análise de SQL, você deve habilitar o modo de Identidade do usuário. Os pontos de extremidade de análise do SQL recém-criados serão padrão para o modo de identidade do usuário, portanto, essas etapas devem ser seguidas para pontos de extremidade de análise de SQL existentes.

1. Navegue até o ponto de extremidade de análise do SQL.

2. Na experiência do ponto de extremidade de análise do SQL, selecione a guia Segurança na faixa de opções superior.

3. Selecione a identidade do usuário no modo de acesso do OneLake.

   

4. No prompt, selecione Sim, use a identidade do usuário.

   

Agora, o ponto de extremidade de análise do SQL está pronto para ser usado com a segurança do OneLake.

Regras de sintaxe

Todas as regras de segurança em nível de linha têm a seguinte forma:

SELECT * FROM {schema_name}.{table_name} WHERE {column_level_boolean_1}{column_level_boolean_2}...{column_level_boolean_N}

Por exemplo:

SELECT * FROM Sales WHERE Amount>'50000' AND State='CA'

O número máximo de caracteres em uma regra de segurança em nível de linha é 1.000.

Operadores com suporte

As regras de segurança em nível de linha dão suporte à seguinte lista de operadores e palavras-chave:

Combinar a Segurança em Nível de Linha e em nível de coluna

A segurança em nível de linha e de coluna pode ser usada em conjunto para restringir o acesso do usuário a uma tabela. No entanto, as duas políticas precisam ser aplicadas usando uma única função de segurança do OneLake. Nesse cenário, o acesso aos dados é restrito de acordo com as regras definidas em uma função.

A segurança do OneLake não dá suporte à combinação de duas ou mais funções em que uma contém regras RLS e outra contém regras CLS. Os usuários que tentam acessar tabelas que fazem parte de uma combinação de função sem suporte recebem erros de consulta.