Idioma
Português

Segurança e permissões

Esta página explica o modelo de segurança do Icon Map for Fabric: como funcionam a identidade, as permissões e o armazenamento de dados. Ela foi escrita para quem faz uma revisão de segurança.

Procura a configuração passo a passo para administradores (configurações de locatário, consentimento do administrador, permissões da entidade de serviço)? Consulte a seção Integração e configuração.

O princípio orientador é que o Icon Map trabalha com os seus dados, no seu locatário: ele lê os seus dados no local, age com a identidade do usuário conectado e armazena tudo o que grava no seu próprio OneLake.

Modelo de identidade

Criar e ler um mapa (dentro do Fabric). O editor e o visualizador do Icon Map são executados dentro da experiência do Fabric e agem como o usuário conectado, usando a identidade do Microsoft Entra dele. As leituras de arquivos do OneLake (como arquivos de blocos e de imagens) usam um SAS delegado pelo usuário de curta duração, obtido em nome do usuário; assim, um usuário só vê os dados que já tem permissão para acessar. As fontes de modelo semântico do Power BI são consultadas por meio do modelo, que aplica as medidas, relações e segurança em nível de linha dele.

Como o Icon Map herda as permissões do Fabric, nenhum sistema de acesso separado é introduzido para a criação e a visualização normais: as funções de workspace e as permissões do OneLake que você já tem determinam quem pode ver o quê.

Permissões para criação

Para criar mapas, um usuário precisa de:

  • Acesso ao workspace que contém o item do Icon Map (Colaborador ou superior para criar e editar itens; Visualizador para abrir no modo de Visualização).
  • Acesso de leitura aos dados aos quais se conecta (o Lakehouse, Warehouse/SQL, modelo semântico, Eventhouse/banco de dados KQL ou arquivo) com a própria identidade.
  • Para um Catálogo Organizacional, permissões do OneLake na pasta de repositório do catálogo, que determinam quem pode usar as camadas dele.

Nenhuma credencial elevada ou de serviço é necessária para que um usuário crie ou leia um mapa. Para que a criação funcione sem solicitações de consentimento repetidas, um administrador concede o consentimento do administrador para todo o locatário aos dois aplicativos da carga de trabalho do Icon Map (frontend e backend). Isso pré-aprova as permissões delegadas, mas não concede nenhum acesso independente aos seus dados.

Incorporação fora do Fabric: dois modos

Um mapa pode ser exibido fora do Fabric de duas formas, e os modelos de segurança delas são diferentes.

O usuário é dono dos dados (incorporação no seu próprio aplicativo). Cada leitor entra com a própria identidade do Microsoft Entra, e o mapa lê o item, os arquivos do OneLake dele e as consultas ao vivo como esse leitor. Não há etapa de publicação, nem cópia dos seus dados, e nenhuma entidade de serviço. Como as leituras são do próprio leitor, a segurança em nível de linha nativa do Fabric e do Power BI se aplica a cada leitor automaticamente, e um leitor nunca pode ver nada que as permissões dele no Fabric já não permitam. Use esse modo para portais internos e aplicativos de linha de negócios. Consulte Incorporação para a sua organização.

Mapas publicados. Para públicos sem nenhum acesso ao Fabric, um autor publica um mapa e o visualizador incorporado público o disponibiliza. Esse é o modo descrito no restante desta seção.

Publicação e a identidade do visualizador

Publicar um mapa para visualização fora do Fabric é o único caso em que uma identidade que não é de usuário está envolvida: o visualizador incorporado público lê os arquivos publicados e congelados do seu OneLake usando uma entidade de serviço de incorporação dedicada e somente leitura. Ela é um aplicativo do Microsoft Entra separado da carga de trabalho, autentica-se com um certificado guardado no Azure Key Vault e não solicita permissões de API. O único acesso dela é uma função de acesso a dados do OneLake somente leitura no Lakehouse que guarda os seus mapas publicados, concedida automaticamente ao publicar, com a identidade do próprio autor, e nunca de Colaborador do workspace. As empresas podem fornecer a própria entidade de serviço para essa leitura. A configuração está descrita em Configurar a publicação. Principais propriedades de segurança:

  • Uma publicação não concede mais do que o autor tem. No momento da publicação, o serviço verifica, com a identidade do próprio autor, se ele consegue acessar cada fonte de dados, arquivo e item a que o mapa faz referência, e recusa a publicação caso contrário. Portanto, a publicação não pode ser usada para expor dados que o autor já não pudesse abrir.
  • Mapas publicados à prova de adulteração. As instruções publicadas são assinadas criptograficamente, e a assinatura é verificada a cada leitura; um mapa publicado alterado depois da publicação é recusado em vez de disponibilizado.
  • Snapshot ou ao vivo. Uma publicação de snapshot congela os dados no momento da publicação; uma publicação ao vivo executa as consultas fixadas do mapa a cada carregamento, com parâmetros validados pelo servidor e um orçamento de consultas diário (padrão de 500 consultas novas por dia e 50.000 linhas por consulta) que você pode reduzir.
  • Segurança em nível de linha para leitores. Nos mapas publicados, a RLS por leitor só está disponível com tokens de incorporação assinados, em que as declarações do token correspondem a parâmetros de filtro declarados e validados pelo servidor. Links publicados anônimos não podem aplicar RLS por leitor: publique apenas dados que você aceita compartilhar com qualquer pessoa que tenha o link. Se você precisa que a RLS do Fabric que já existe se aplique a cada leitor, use o modo o usuário é dono dos dados acima, em que ela se aplica nativamente porque cada leitor lê com a própria identidade.
  • Origens permitidas. As incorporações protegidas por token precisam declarar quais sites podem hospedá-las (com suporte a subdomínios curinga), o que é aplicado no navegador pela Content-Security-Policy; os tokens de incorporação duram no máximo quatro horas.
  • Nenhuma credencial para os leitores. As chaves dos serviços de mapa com chave são removidas do conteúdo publicado no momento da publicação, mantidas no seu OneLake e anexadas no servidor quando os blocos são retransmitidos; e a forma do mapa exposta ao navegador omite o texto das consultas, os nomes de tabelas e arquivos, as listas de colunas e os detalhes de conexão.
  • Revogação. Qualquer link publicado pode ser revogado a qualquer momento no gerenciamento de publicações; a revogação entra em vigor em até 30 segundos.
  • Desativação para toda a organização. A publicação incorporada pode ser desabilitada para o seu locatário ou para workspaces específicos: a ação Publicar é removida do editor, e o serviço de incorporação deixa de disponibilizar os mapas afetados, incluindo os publicados antes da alteração.
  • Identidade somente leitura e limitada. A entidade de serviço de incorporação não tem acesso de gravação ao seu workspace, apenas uma função de acesso a dados somente leitura no Lakehouse de publicação. Os tilesets raster grandes são lidos no local, a partir do próprio Lakehouse (para continuarem atualizados), e são cobertos pela mesma função somente leitura.
  • O que fica armazenado onde. Os arquivos publicados ficam no seu OneLake, em um Lakehouse (IconMap_Published) do seu workspace, em Files/_published/<publish-id>/ (um manifest.json assinado com estilo e configuração, sem segredos nem cadeias de conexão, um snapshot data.json e os recursos). O Icon Map não copia nem armazena em cache os dados dos seus mapas nos próprios servidores.

Credenciais das fontes

Para as fontes que precisam de credenciais (por exemplo, um serviço WMS autenticado ou um feed GTFS), as credenciais salvas ficam armazenadas na pasta do OneLake do próprio item de mapa, protegida pelas funções de workspace, e são anexadas no servidor quando a fonte é buscada; elas não ficam armazenadas na configuração da camada.

Permissões de write-back

O write-back, que permite que os leitores adicionem ou editem os dados por trás de um mapa, grava em arquivos do seu OneLake (o repositório de anotações do mapa ou o arquivo GeoJSON/CSV de uma camada) como o usuário conectado. Ele depende da permissão de gravação do Fabric do usuário no item; por isso, fica disponível para usuários com acesso de gravação mesmo quando estão no modo de Visualização. Nesta versão prévia, leitores anônimos de mapas publicados/incorporados não podem fazer write-back.

Rótulos de confidencialidade

Os itens do Icon Map são itens comuns do Fabric: você pode aplicar um rótulo de confidencialidade do Microsoft Purview pela caixa de diálogo de criação do item, pelo cabeçalho ou pelas configurações dele, e qualquer política de proteção do Purview vinculada a esse rótulo controla quem pode abrir o item exatamente como nos itens nativos.

O Icon Map também respeita os rótulos dos dados que um mapa lê. Quando um mapa usa um Lakehouse, Warehouse, Eventhouse, modelo semântico ou arquivo do OneLake que tem um rótulo de confidencialidade, a carga de trabalho verifica esse rótulo, como o usuário conectado, antes que os dados saiam do item. A verificação abrange downloads (CSV, GeoJSON, GeoParquet, vídeos de tour, plantas), cópias para a área de transferência, arquivos salvos em um Lakehouse, a publicação para visualização fora do Fabric e capturas de tela anexadas a um relatório de suporte.

  • Um rótulo sem configurações de proteção gera um aviso com o nome do rótulo. O usuário pode continuar; o arquivo exportado não leva o rótulo. Isso corresponde à forma como o Fabric trata as exportações dos próprios itens que não são do Power BI.
  • Um rótulo com configurações de proteção (criptografia com direitos de uso) é aplicado. Um usuário sem o direito Exportar do rótulo não pode baixar nem salvar os dados, e sem o direito Extrair não pode copiá-los. Os dados sob um rótulo protegido não podem ser publicados para visualização fora do Fabric de forma alguma.
  • Os links anônimos nunca ficam disponíveis para um mapa que lê dados rotulados, quaisquer que sejam as configurações do rótulo.
  • Os mapas publicados ao vivo deixam de disponibilizar uma fonte de dados cujo rótulo muda depois da publicação, até que o autor publique o mapa novamente.

Duas configurações para toda a organização definem esse comportamento. export.labelGate é enforce por padrão; warn transforma cada bloqueio em um aviso, para organizações que querem apenas paridade com o Fabric, e off desabilita a verificação. export.blockedLabelIds lista os rótulos sem configurações de proteção que, mesmo assim, devem bloquear as exportações. Ambas são aplicadas mediante solicitação por support@icon-map.com e podem ser limitadas a um locatário, uma capacidade ou um workspace.

A verificação precisa da permissão SensitivityLabel.Read do Microsoft Graph do aplicativo de backend, que só um administrador pode consentir (consulte Consentimento do administrador). Enquanto esse consentimento não estiver em vigor, as exportações de dados rotulados são recusadas em vez de permitidas. As APIs de rótulos do Purview estão disponíveis somente na nuvem global; nas outras nuvens, a carga de trabalho consegue ver que os dados são rotulados, mas não o que o rótulo impõe, então ela emite um aviso. Nenhum formato de exportação gerado pelo Icon Map consegue levar um rótulo do Purview; por isso, os rótulos nunca são aplicados aos arquivos exportados.

Próximas etapas