Segurança em nível de linha no OneLake (pré-visualização)

A segurança em nível de linha (RLS) é um recurso da segurança do OneLake (visualização) que permite definir restrições de dados em nível de linha para dados tabulares armazenados no OneLake. Os usuários podem definir funções no OneLake que contêm regras para filtrar linhas de dados para membros dessa função. Quando um membro de uma função RLS vai consultar esses dados, as regras RLS são avaliadas e apenas as linhas permitidas são retornadas.

Pré-requisitos

• Um item no OneLake com a segurança do OneLake ativada. Para obter mais informações, consulte Introdução às funções de acesso a dados do OneLake.
• Mude o ponto final do SQL Analytics no lakehouse para o modo "Identidade do utilizador" através do separador Segurança.
• Para criar modelos semânticos, use as etapas para criar um modelo DirectLake.
• Para obter uma lista completa de limitações, consulte a seção de limitações conhecidas.

Aplicar a segurança a nível de linha

A RLS de segurança OneLake é aplicada de duas maneiras:

• Tabelas filtradas em mecanismos de malha: As consultas à lista de mecanismos de malha suportados, como blocos de anotações Spark, fazem com que o usuário veja apenas as linhas que tem permissão para ver de acordo com as regras RLS.
• Acesso bloqueado às tabelas: As tabelas com regras RLS aplicadas a elas não podem ser lidas fora dos mecanismos de malha suportados.

Para tabelas filtradas, aplicam-se os seguintes comportamentos:

• As regras de RLS não restringem o acesso de usuários nas funções de Administrador, Membro e Colaborador.
• Se a regra RLS tiver uma incompatibilidade com a tabela em que está definida, a consulta falhará e nenhuma linha será retornada. Por exemplo, se a regra RLS fizer referência a uma coluna que não faz parte da tabela.
• As consultas de tabelas RLS falham com um erro se um usuário fizer parte de duas funções diferentes e uma das funções tiver segurança em nível de coluna (CLS).
• As regras RLS só podem ser aplicadas aos dados que estão em tabelas Delta Parquet.
  • Em vez disso, as regras RLS aplicadas a objetos de tabela não Delta bloqueiam o acesso a toda a tabela para os membros da função.
• O acesso a uma tabela pode ser bloqueado se a instrução RLS contiver erros de sintaxe que impeçam que ela seja avaliada.

Definir regras de segurança em nível de linha

Você pode definir regras de segurança em nível de linha como parte de qualquer função de segurança do OneLake que conceda acesso aos dados da tabela no formato Delta parquet. As linhas são um conceito relevante apenas para dados tabulares, portanto, as definições de RLS não são permitidas para pastas não tabeladas ou dados não estruturados.

As regras RLS usam sintaxe SQL para especificar as linhas que um usuário pode ver. Essa sintaxe assume a forma de uma instrução SQL SELECT com as regras RLS definidas na cláusula WHERE. As regras RLS suportam apenas um subconjunto da linguagem SQL, conforme definido nas regras de sintaxe. Consultas com sintaxe RLS inválida ou que não coincidem com a tabela subjacente resultam em não mostrar nenhuma linha aos utilizadores, ou em erros de consulta no ponto final de análise SQL.

Como prática recomendada, evite o uso de expressões RLS vagas ou excessivamente complexas. Expressões fortemente tipadas com pesquisas de inteiro ou cadeia de caracteres com "=" serão as mais seguras e fáceis de entender.

Use as seguintes etapas para definir regras RLS:

1. Navegue até o Lakehouse e selecione Gerenciar segurança do OneLake (visualização).

2. Selecione uma função existente para a qual você deseja definir a segurança da tabela ou pasta ou selecione Novo para criar uma nova função.

3. Na página de detalhes da função, selecione mais opções (...) junto à tabela para a qual pretende definir RLS e, em seguida, selecione Segurança da linha (pré-visualização).

   

4. Digite a instrução SQL para definir quais linhas você deseja que os usuários vejam no editor de códigos. Use a seção Regras de sintaxe para obter orientação.

5. Selecione Salvar para confirmar as regras de segurança da linha.

Ativar a segurança do OneLake para o ponto final de análise SQL

Antes de poderes usar a segurança do OneLake com o ponto de extremidade de análise SQL, deves habilitar o modo de identidade do utilizador. Os pontos de extremidade de análise SQL recém-criados serão padronizados para o modo de identidade do usuário, portanto, essas etapas devem ser seguidas para os pontos de extremidade de análise SQL existentes.

1. Navegue até o ponto de extremidade da análise SQL.

2. Na interface do ponto de extremidade da análise SQL, selecione o separador Segurança na barra superior de opções.

3. Selecione a identidade do usuário no modo de acesso OneLake.

   

4. No prompt, selecione Sim, use a identidade do usuário.

   

Agora, o ponto de extremidade de análise SQL está pronto para ser utilizado com a segurança do OneLake.

Regras de sintaxe

Todas as regras de segurança em nível de linha assumem a seguinte forma:

SELECT * FROM {schema_name}.{table_name} WHERE {column_level_boolean_1}{column_level_boolean_2}...{column_level_boolean_N}

Por exemplo:

SELECT * FROM Sales WHERE Amount>'50000' AND State='CA'

O número máximo de caracteres em uma regra de segurança em nível de linha é 1000.

Operadores suportados

As regras de segurança em nível de linha suportam a seguinte lista de operadores e palavras-chave:

Combine a segurança ao nível de linha e ao nível de coluna

A segurança em nível de linha e em nível de coluna pode ser usada em conjunto para restringir o acesso do usuário a uma tabela. No entanto, as duas políticas devem ser aplicadas usando uma única função de segurança OneLake. Nesse cenário, o acesso aos dados é restrito de acordo com as regras definidas em uma função.

A segurança do OneLake não suporta a combinação de duas ou mais funções em que uma contém regras RLS e outra contém regras CLS. Os usuários que tentam acessar tabelas que fazem parte de uma combinação de funções sem suporte recebem erros de consulta.