Langue
Français

Sécurité et autorisations

Cette page explique le modèle de sécurité d'Icon Map for Fabric : le fonctionnement de l'identité, des autorisations et du stockage des données. Elle s'adresse à toute personne chargée d'une revue de sécurité.

Vous cherchez la configuration pas à pas pour les administrateurs (paramètres du locataire, consentement administrateur, autorisations du principal de service) ? Consultez la section Intégration et configuration.

Le principe directeur est qu'Icon Map travaille sur vos données, dans votre locataire : il lit vos données sur place, agit sous l'identité de l'utilisateur connecté et stocke tout ce qu'il écrit dans votre propre OneLake.

Modèle d'identité

Créer et lire une carte (dans Fabric). L'éditeur et la visionneuse Icon Map s'exécutent dans l'expérience Fabric et agissent en tant qu'utilisateur connecté, avec son identité Microsoft Entra. Les lectures de fichiers OneLake (comme les fichiers de tuiles et d'imagerie) utilisent une SAS déléguée par l'utilisateur, de courte durée, obtenue pour le compte de l'utilisateur : un utilisateur ne voit donc jamais que les données auxquelles il a déjà accès. Les sources modèle sémantique Power BI sont interrogées via le modèle, qui applique ses mesures, ses relations et sa sécurité au niveau des lignes.

Comme Icon Map hérite des autorisations Fabric, aucun système d'accès distinct n'est introduit pour la création et la consultation habituelles : vos rôles d'espace de travail et vos autorisations OneLake existants déterminent qui peut voir quoi.

Autorisations pour la création

Pour créer des cartes, un utilisateur a besoin :

  • d'un accès à l'espace de travail qui contient l'élément Icon Map (Contributeur ou supérieur pour créer et modifier des éléments ; Lecteur pour l'ouvrir en mode Affichage) ;
  • d'un accès en lecture aux données auxquelles il se connecte (Lakehouse, Warehouse/SQL, modèle sémantique, Eventhouse/base de données KQL ou fichier) sous sa propre identité ;
  • pour un catalogue organisationnel, des autorisations OneLake sur le dossier du référentiel du catalogue, qui déterminent qui peut utiliser ses couches.

Aucun identifiant élevé ni identifiant de service n'est nécessaire pour qu'un utilisateur crée ou lise une carte. Pour que la création fonctionne sans invites de consentement répétées, un administrateur accorde un consentement administrateur à l'échelle du locataire aux deux applications de la charge de travail Icon Map (frontend et backend) : cela pré-approuve les autorisations déléguées, mais n'accorde aucun accès autonome à vos données.

Intégration en dehors de Fabric : deux modes

Une carte peut être affichée en dehors de Fabric de deux façons, dont les modèles de sécurité diffèrent.

L'utilisateur est propriétaire des données (intégration dans votre propre application). Chaque lecteur se connecte avec sa propre identité Microsoft Entra, et la carte lit l'élément, ses fichiers OneLake et ses requêtes en direct en tant que ce lecteur. Il n'y a ni étape de publication, ni copie de vos données, ni aucun principal de service. Comme les lectures sont celles du lecteur, votre sécurité au niveau des lignes native de Fabric et de Power BI s'applique automatiquement à chaque lecteur, et un lecteur ne peut jamais voir ce que ses autorisations Fabric ne lui permettent pas déjà de voir. Utilisez ce mode pour les portails internes et les applications métier. Consultez Intégrer pour votre organisation.

Cartes publiées. Pour les publics qui n'ont aucun accès à Fabric, un auteur publie une carte et la visionneuse intégrée publique la diffuse. C'est le mode décrit dans le reste de cette section.

La publication et l'identité de la visionneuse

La publication d'une carte pour une consultation en dehors de Fabric est le seul cas où intervient une identité autre que celle d'un utilisateur : la visionneuse intégrée publique lit les fichiers publiés et figés depuis votre OneLake à l'aide d'un principal de service d'intégration dédié, en lecture seule. Il s'agit d'une application Microsoft Entra distincte de la charge de travail, qui s'authentifie avec un certificat conservé dans Azure Key Vault et ne demande aucune autorisation d'API. Son seul accès est un rôle d'accès aux données OneLake en lecture seule sur le Lakehouse qui contient vos cartes publiées, accordé automatiquement à la publication, sous l'identité de l'auteur, et jamais le rôle Contributeur sur l'espace de travail. Les entreprises peuvent fournir leur propre principal de service pour cette lecture. La configuration est décrite dans Configurer la publication. Principales propriétés de sécurité :

  • Une publication n'accorde jamais plus que ce dont dispose son auteur. Au moment de la publication, le service vérifie, sous l'identité de l'auteur, que celui-ci peut atteindre chaque source de données, fichier et élément référencé par la carte, et refuse la publication dans le cas contraire. La publication ne peut donc pas servir à exposer des données que l'auteur ne pouvait pas déjà ouvrir.
  • Cartes publiées infalsifiables. Les instructions publiées sont signées cryptographiquement et la signature est vérifiée à chaque lecture ; une carte modifiée après sa publication est refusée au lieu d'être servie.
  • Instantané ou en direct. Une publication instantané fige les données au moment de la publication ; une publication en direct exécute les requêtes épinglées de la carte à chaque chargement, avec des paramètres validés par le serveur et un budget de requêtes quotidien (par défaut 500 nouvelles requêtes par jour, 50 000 lignes par requête) que vous pouvez réduire.
  • Sécurité au niveau des lignes pour les lecteurs. Dans les cartes publiées, la SNL par lecteur n'est disponible qu'avec des jetons d'intégration signés, dont les revendications correspondent à des paramètres de filtre déclarés et validés par le serveur. Les liens publiés anonymes ne peuvent pas appliquer de SNL par lecteur : ne publiez que des données que vous acceptez de partager avec toute personne disposant du lien. Si votre SNL Fabric existante doit s'appliquer à chaque lecteur, utilisez plutôt le mode l'utilisateur est propriétaire des données ci-dessus, où elle s'applique nativement puisque chaque lecteur lit en son propre nom.
  • Origines autorisées. Les intégrations protégées par jeton doivent déclarer les sites autorisés à les héberger (sous-domaines génériques pris en charge), ce qui est appliqué dans le navigateur via Content-Security-Policy ; les jetons d'intégration durent au maximum quatre heures.
  • Aucun identifiant transmis aux lecteurs. Les clés des services cartographiques à clé sont retirées du contenu publié au moment de la publication, conservées dans votre OneLake et ajoutées côté serveur lors du relais des tuiles ; la forme de la carte transmise au navigateur omet le texte des requêtes, les noms de tables et de fichiers, les listes de colonnes et les détails de connexion.
  • Révocation. Tout lien publié peut être révoqué à tout moment depuis la gestion des publications ; la révocation prend effet en moins de 30 secondes.
  • Interrupteur général pour l'organisation. La publication intégrée peut être désactivée pour votre locataire, ou pour des espaces de travail individuels : l'action Publier est retirée de l'éditeur et le service d'intégration refuse de servir les cartes concernées, y compris celles publiées avant le changement.
  • Identité en lecture seule et à portée limitée. Le principal de service d'intégration n'a aucun accès en écriture à votre espace de travail : il dispose uniquement d'un rôle d'accès aux données en lecture seule sur le Lakehouse de publication. Les grands jeux de tuiles raster sont lus sur place depuis leur propre Lakehouse (et restent ainsi à jour), couverts par le même rôle en lecture seule.
  • Ce qui est stocké et où. Les fichiers publiés se trouvent dans votre OneLake, dans un Lakehouse (IconMap_Published) de votre espace de travail, sous Files/_published/<publish-id>/ (un manifest.json signé contenant le style et la configuration, sans secrets ni chaînes de connexion, un instantané data.json et des ressources). Icon Map ne copie ni ne met en cache vos données cartographiques sur ses propres serveurs.

Identifiants des sources

Pour les sources qui nécessitent des identifiants (par exemple un service WMS authentifié ou un flux GTFS), les identifiants enregistrés sont stockés dans le dossier OneLake propre à l'élément de carte, protégé par les rôles de l'espace de travail, et ajoutés côté serveur lors de la récupération de la source : ils ne sont pas stockés dans la configuration de la couche.

Autorisations d'écriture différée

L'écriture différée, qui permet aux lecteurs d'ajouter ou de modifier les données d'une carte, écrit dans des fichiers de votre OneLake (le magasin d'annotations de la carte, ou le fichier GeoJSON/CSV d'une couche) en tant qu'utilisateur connecté. Elle est conditionnée à l'autorisation d'écriture Fabric de l'utilisateur sur l'élément : elle est donc disponible pour les utilisateurs disposant d'un accès en écriture, même en mode Affichage. Dans cette préversion, les lecteurs anonymes de cartes publiées ou intégrées ne peuvent pas utiliser l'écriture différée.

Étiquettes de confidentialité

Les éléments Icon Map sont des éléments Fabric ordinaires : vous pouvez appliquer une étiquette de confidentialité Microsoft Purview depuis la boîte de dialogue de création de l'élément, son en-tête ou ses paramètres, et toute stratégie de protection Purview liée à cette étiquette détermine qui peut ouvrir l'élément, exactement comme pour les éléments natifs.

Icon Map respecte aussi les étiquettes des données qu'une carte lit. Lorsqu'une carte utilise un Lakehouse, un Warehouse, un Eventhouse, un modèle sémantique ou un fichier OneLake portant une étiquette de confidentialité, la charge de travail vérifie cette étiquette, en tant qu'utilisateur connecté, avant que les données ne quittent l'élément. La vérification couvre les téléchargements (CSV, GeoJSON, GeoParquet, vidéos de visite, plans d'étage), les copies dans le presse-papiers, les fichiers enregistrés dans un Lakehouse, la publication pour une consultation en dehors de Fabric et les captures d'écran jointes à un rapport d'assistance.

  • Une étiquette sans paramètres de protection produit un avertissement qui nomme l'étiquette. L'utilisateur peut continuer ; le fichier exporté ne porte pas l'étiquette. C'est ainsi que Fabric traite les exports de ses propres éléments autres que Power BI.
  • Une étiquette avec des paramètres de protection (chiffrement avec droits d'utilisation) est appliquée. Un utilisateur qui n'a pas le droit Export de l'étiquette ne peut pas télécharger ni enregistrer les données, et sans le droit Extract, il ne peut pas les copier. Les données sous une étiquette protégée ne peuvent pas du tout être publiées pour une consultation en dehors de Fabric.
  • Les liens anonymes ne sont jamais disponibles pour une carte qui lit des données étiquetées, quels que soient les paramètres de l'étiquette.
  • Les cartes publiées en direct cessent de servir une source de données dont l'étiquette change après la publication, jusqu'à ce que l'auteur publie à nouveau la carte.

Deux paramètres à l'échelle de l'organisation déterminent ce comportement. export.labelGate vaut enforce par défaut ; warn transforme chaque blocage en avertissement pour les organisations qui ne veulent que l'équivalent du comportement de Fabric, et off désactive la vérification. export.blockedLabelIds liste les étiquettes sans paramètres de protection qui doivent néanmoins bloquer les exports. Les deux sont appliqués sur demande via support@icon-map.com et peuvent être limités à un locataire, une capacité ou un espace de travail.

La vérification nécessite l'autorisation Microsoft Graph SensitivityLabel.Read de l'application backend, à laquelle seul un administrateur peut consentir (consultez Consentement administrateur). Tant que ce consentement n'est pas en place, les exports de données étiquetées sont refusés plutôt qu'autorisés. Les API d'étiquettes de Purview ne sont disponibles que dans le cloud mondial ; dans les autres clouds, la charge de travail peut voir que des données sont étiquetées, mais pas ce que l'étiquette impose : elle avertit donc au lieu de bloquer. Aucun format d'export produit par Icon Map ne peut porter d'étiquette Purview : les étiquettes ne sont donc jamais appliquées aux fichiers exportés.

Étapes suivantes