Idioma
Español

Seguridad y permisos

Esta página explica el modelo de seguridad de Icon Map for Fabric: cómo funcionan la identidad, los permisos y el almacenamiento de datos. Está dirigida a cualquier persona que lleve a cabo una revisión de seguridad.

¿Busca la configuración paso a paso para administradores (configuración del inquilino, consentimiento de administrador, permisos de entidades de servicio)? Consulte la sección Incorporación y configuración.

El principio rector es que Icon Map trabaja con sus datos, en su inquilino: lee sus datos en su ubicación, actúa con la identidad del usuario que ha iniciado sesión y almacena todo lo que escribe en su propio OneLake.

Modelo de identidad

Crear y leer un mapa (dentro de Fabric). El editor y el visor de Icon Map se ejecutan dentro de la experiencia de Fabric y actúan como el usuario que ha iniciado sesión, con su identidad de Microsoft Entra. Las lecturas de archivos de OneLake (como los archivos de teselas e imágenes) usan una SAS de corta duración delegada por el usuario, obtenida en nombre del usuario, de modo que un usuario solo ve los datos a los que ya tiene permiso de acceso. Los orígenes de modelo semántico de Power BI se consultan a través del modelo, que aplica sus medidas, relaciones y seguridad de nivel de fila.

Como Icon Map hereda los permisos de Fabric, no se introduce ningún sistema de acceso aparte para la creación y la visualización normales: sus roles de área de trabajo y sus permisos de OneLake existentes determinan quién puede ver qué.

Permisos para crear mapas

Para crear mapas, un usuario necesita:

  • Acceso al área de trabajo que contiene el elemento de Icon Map (Colaborador o superior para crear y editar elementos; Espectador para abrirlo en el modo de visualización).
  • Acceso de lectura a los datos a los que se conecta (el Lakehouse, el Warehouse/SQL, el modelo semántico, la base de datos Eventhouse/KQL o el archivo) con su propia identidad.
  • Para un catálogo organizativo, permisos de OneLake sobre la carpeta del repositorio del catálogo, que determinan quién puede usar sus capas.

Un usuario no necesita credenciales elevadas ni de servicio para crear o leer un mapa. Para que la creación funcione sin solicitudes de consentimiento repetidas, un administrador concede el consentimiento de administrador para todo el inquilino a las dos aplicaciones de la carga de trabajo de Icon Map (front-end y back-end). Esto aprueba de antemano los permisos delegados, pero no concede ningún acceso independiente a sus datos.

Inserción fuera de Fabric: dos modos

Un mapa se puede mostrar fuera de Fabric de dos formas, y sus modelos de seguridad son distintos.

El usuario es propietario de los datos (inserción en su propia aplicación). Cada lector inicia sesión con su propia identidad de Microsoft Entra y el mapa lee el elemento, sus archivos de OneLake y sus consultas en directo como ese lector. No hay paso de publicación, ni copia de sus datos, ni ninguna entidad de servicio. Como las lecturas son del propio lector, la seguridad de nivel de fila nativa de Fabric y de Power BI se aplica a cada lector automáticamente, y un lector nunca puede ver nada que sus permisos de Fabric no le permitan ya. Use este modo para portales internos y aplicaciones de línea de negocio. Consulte Inserción para su organización.

Mapas publicados. Para audiencias sin ningún acceso a Fabric, un autor publica un mapa y el visor insertado público lo sirve. Este es el modo que se describe en el resto de esta sección.

La publicación y la identidad del visor

Publicar un mapa para verlo fuera de Fabric es el único caso en el que interviene una identidad que no es de usuario: el visor insertado público lee los archivos publicados y congelados desde su OneLake mediante una entidad de servicio de inserción dedicada y de solo lectura. Es una aplicación de Microsoft Entra distinta de la carga de trabajo, se autentica con un certificado guardado en Azure Key Vault y no solicita permisos de API. Su único acceso es un rol de acceso a datos de OneLake de solo lectura sobre el Lakehouse que contiene sus mapas publicados, concedido automáticamente al publicar, con la propia identidad del autor, nunca como Colaborador del área de trabajo. Las empresas pueden aportar su propia entidad de servicio para esta lectura. La configuración se explica en Configurar la publicación. Propiedades de seguridad clave:

  • Una publicación no concede más de lo que tiene su autor. Al publicar, el servicio comprueba, con la propia identidad del autor, que el autor puede acceder a todos los orígenes de datos, archivos y elementos a los que hace referencia el mapa, y rechaza la publicación en caso contrario. Por tanto, la publicación no se puede usar para exponer datos que el autor no pudiera abrir ya.
  • Mapas publicados a prueba de manipulaciones. Las instrucciones publicadas están firmadas criptográficamente y la firma se comprueba en cada lectura; un mapa publicado que se modifique después de publicarlo se rechaza en lugar de servirse.
  • Instantánea frente a datos en directo. Una publicación de instantánea congela los datos en el momento de publicar; una publicación en directo ejecuta las consultas fijadas del mapa en cada carga, con parámetros validados en el servidor y un presupuesto de consultas diario (de forma predeterminada, 500 consultas nuevas al día y 50.000 filas por consulta) que puede reducir.
  • Seguridad de nivel de fila para los lectores. En los mapas publicados, la RLS por lector solo está disponible con tokens de inserción firmados, cuyas notificaciones se asignan a parámetros de filtro declarados y validados en el servidor. Los vínculos publicados anónimos no pueden aplicar RLS por lector: publique solo datos que esté dispuesto a compartir con cualquiera que tenga el vínculo. Si necesita que su RLS de Fabric existente se aplique a cada lector, use en su lugar el modo el usuario es propietario de los datos descrito más arriba, donde se aplica de forma nativa porque cada lector lee con su propia identidad.
  • Orígenes permitidos. Las inserciones protegidas por token deben declarar qué sitios pueden hospedarlas (se admiten subdominios con caracteres comodín), lo que se aplica en el navegador mediante Content-Security-Policy; los tokens de inserción duran como máximo cuatro horas.
  • Ninguna credencial llega a los lectores. Las claves de los servicios de mapas con clave se quitan del contenido publicado al publicar, se guardan en su OneLake y se adjuntan en el servidor cuando se retransmiten las teselas; además, la versión del mapa que llega al navegador omite el texto de las consultas, los nombres de tablas y archivos, las listas de columnas y los detalles de conexión.
  • Revocación. Cualquier vínculo publicado se puede revocar en cualquier momento desde la administración de publicaciones; la revocación surte efecto en 30 segundos.
  • Desactivación para toda la organización. La publicación insertada se puede deshabilitar para su inquilino o para áreas de trabajo concretas: la acción Publicar desaparece del editor y el servicio de inserción deja de servir los mapas afectados, incluidos los publicados antes del cambio.
  • Identidad de solo lectura y de ámbito limitado. La entidad de servicio de inserción no tiene acceso de escritura a su área de trabajo, solo un rol de acceso a datos de solo lectura sobre el Lakehouse de publicación. Los conjuntos de teselas ráster grandes se leen en su ubicación, desde su propio Lakehouse (para que sigan actualizados), y los cubre el mismo rol de solo lectura.
  • Qué se almacena y dónde. Los archivos publicados están en su OneLake, en un Lakehouse (IconMap_Published) de su área de trabajo, en Files/_published/<publish-id>/ (un manifest.json firmado con el estilo y la configuración, sin secretos ni cadenas de conexión, una instantánea data.json y los recursos). Icon Map no copia ni almacena en caché los datos de sus mapas en sus propios servidores.

Credenciales de los orígenes

En los orígenes que necesitan credenciales (por ejemplo, un servicio WMS autenticado o una fuente GTFS), las credenciales guardadas se almacenan en la propia carpeta de OneLake del elemento del mapa, protegida por los roles del área de trabajo, y se adjuntan en el servidor cuando se obtiene el origen; no se almacenan en la configuración de la capa.

Permisos de reescritura

La reescritura, que permite a los lectores añadir o editar los datos que hay detrás de un mapa, escribe en archivos de su OneLake (el almacén de anotaciones del mapa, o el archivo GeoJSON/CSV de una capa) como el usuario que ha iniciado sesión. Depende del permiso de escritura de Fabric del usuario sobre el elemento, así que está disponible para los usuarios con acceso de escritura incluso cuando están en el modo de visualización. En esta versión preliminar, los lectores anónimos de mapas publicados o insertados no pueden usar la reescritura.

Etiquetas de confidencialidad

Los elementos de Icon Map son elementos normales de Fabric: puede aplicar una etiqueta de confidencialidad de Microsoft Purview desde el cuadro de diálogo de creación del elemento, desde su encabezado o desde su configuración, y cualquier directiva de protección de Purview vinculada a esa etiqueta controla quién puede abrir el elemento exactamente igual que en los elementos nativos.

Icon Map también respeta las etiquetas de los datos que lee un mapa. Cuando un mapa usa un Lakehouse, un Warehouse, un Eventhouse, un modelo semántico o un archivo de OneLake que lleva una etiqueta de confidencialidad, la carga de trabajo comprueba esa etiqueta, como el usuario que ha iniciado sesión, antes de que los datos salgan del elemento. La comprobación abarca las descargas (CSV, GeoJSON, GeoParquet, vídeos de recorridos, planos de planta), las copias al portapapeles, los archivos guardados en un Lakehouse, la publicación para ver los mapas fuera de Fabric y las capturas de pantalla adjuntas a un informe de soporte.

  • Una etiqueta sin configuración de protección genera una advertencia con el nombre de la etiqueta. El usuario puede continuar; el archivo exportado no lleva la etiqueta. Así es como Fabric trata las exportaciones de sus propios elementos que no son de Power BI.
  • Una etiqueta con configuración de protección (cifrado con derechos de uso) se aplica. Un usuario sin el derecho Exportar de la etiqueta no puede descargar ni guardar los datos, y sin el derecho Extraer no puede copiarlos. Los datos con una etiqueta protegida no se pueden publicar en absoluto para verlos fuera de Fabric.
  • Los vínculos anónimos nunca están disponibles para un mapa que lee datos etiquetados, sea cual sea la configuración de la etiqueta.
  • Los mapas publicados en directo dejan de servir un origen de datos cuya etiqueta cambie después de la publicación, hasta que el autor vuelva a publicar el mapa.

Dos opciones para toda la organización determinan este comportamiento. export.labelGate vale enforce de forma predeterminada; warn convierte cada bloqueo en una advertencia para las organizaciones que solo quieren el mismo comportamiento que Fabric, y off deshabilita la comprobación. export.blockedLabelIds enumera etiquetas sin configuración de protección que, aun así, deben bloquear las exportaciones. Ambas se aplican a petición a través de support@icon-map.com y se pueden limitar a un inquilino, una capacidad o un área de trabajo.

La comprobación necesita el permiso SensitivityLabel.Read de Microsoft Graph de la aplicación de back-end, al que solo un administrador puede dar su consentimiento (consulte Consentimiento de administrador). Mientras no exista ese consentimiento, las exportaciones de datos etiquetados se rechazan en lugar de permitirse. Las API de etiquetas de Purview solo están disponibles en la nube global; en otras nubes, la carga de trabajo puede ver que los datos están etiquetados, pero no lo que aplica la etiqueta, así que muestra una advertencia. Ningún formato de exportación que genera Icon Map puede llevar una etiqueta de Purview, así que nunca se aplican etiquetas a los archivos exportados.

Pasos siguientes