Dela via

Hantera databassäkerhetsroller

Gäller för: ✅Microsoft Fabric✅Azure Data Explorer

Huvudnamn beviljas åtkomst till resurser via en rollbaserad åtkomstkontrollmodell, där deras tilldelade säkerhetsroller avgör resursåtkomsten.

I den här artikeln får du lära dig hur du använder hanteringskommandon för att visa befintliga säkerhetsroller och lägga till och släppa huvudassociation till säkerhetsroller på databasnivå.

Behörigheter

Du måste ha minst databasadministratör behörighet att köra dessa kommandon.

Anmärkning

Om du vill ta bort en databas behöver du minst behörigheter för Deltagare i Azure Resource Manager (ARM). Information om hur du tilldelar ARM-behörigheter finns i Tilldela Azure-roller med hjälp av Azure-portalen.

Säkerhetsroller på databasnivå

Följande tabell visar möjliga säkerhetsroller på databasnivå och beskriver de behörigheter som beviljas för varje roll.

Befattning Behörigheter
admins Visa och ändra databas- och databasentiteterna.
users Visa databasen och skapa nya databasentiteter.
viewers Visa tabeller i databasen där RestrictedViewAccess inte är aktiverat.
unrestrictedviewers Visa tabellerna i databasen även där RestrictedViewAccess är aktiverat. Huvudkontot måste också ha adminsbehörigheten , viewerseller users .
ingestors Mata in data till databasen utan åtkomst till frågor.
monitors Visa databasmetadata som scheman, åtgärder och behörigheter.

Anmärkning

Det går inte att tilldela viewer rollen för endast vissa tabeller i databasen. Olika metoder för hur du beviljar en huvudvyåtkomst till en delmängd av tabeller finns i Hantera åtkomst till tabellvyer.

Visa befintliga säkerhetsroller

Innan du lägger till eller tar bort huvudnamn kan du använda .show kommandot för att se en tabell med alla huvudnamn och roller som redan har angetts i databasen.

Syntax

Så här visar du alla roller:

.show database DatabaseNameprincipals

Så här visar du dina roller:

.show database DatabaseNameprincipalroles

Läs mer om syntaxkonventioner.

Viktigt!

  • Om huvudkontot finns i samma klientorganisation som användaren visas deras fullständigt kvalificerade namn (FQN).

  • Om huvudkontot finns i en annan klientorganisation än användaren:

    • Visningsnamnet visar inte FQN.
    • Visningsnamnet anger att huvudkontot kommer från en annan klientorganisation. Formatet är [User/Group/Application] from AAD tenant [Tenant Id].
    • Om du vill lägga till identifierande information tilldelar du huvudnamnet en roll i klientorganisationen och använder parametern Description för att lägga till identifierande information. Description Visas i kolumnen Anteckningar i utdata.

Parameterar

Namn Typ Krävs Beskrivning
DatabaseName string ✔️ Namnet på den databas som huvudnamnen ska listas för.

Exempel

Följande kommando visar alla säkerhetsobjekt som har åtkomst till Samples databasen.

.show database Samples principals

Exempel på utdata

Befattning Principaltyp PrincipalDisplayName PrincipalObjectId PrincipalFQN
Administratör för databasexempel Microsoft Entra-användare Abbi Atkins cd709aed-a26c-e3953dec735e aaduser=abbiatkins@fabrikam.com

Lägga till och släppa huvudnamnsassociation till säkerhetsroller

Det här avsnittet innehåller syntax, parametrar och exempel för att lägga till och ta bort huvudnamn till och från säkerhetsroller.

Syntax

HandlingdatabaseDatabaseName-rollens(huvudnamn [,Principal...] ) [skip-results] [ Beskrivning ]

Läs mer om syntaxkonventioner.

Parameterar

Namn Typ Krävs Beskrivning
Åtgärd string ✔️ Kommandot .add, .dropeller .set.
.add lägger till de angivna huvudkontona, .drop tar bort de angivna huvudnamnen och .set lägger till de angivna huvudkontona och tar bort alla tidigare.
DatabaseName string ✔️ Namnet på databasen som du vill lägga till huvudnamn för.
Befattning string ✔️ Rollen som ska tilldelas till huvudnamnet. För databaser kan roller vara admins, users, viewers, unrestrictedviewers, ingestorseller monitors.
Rektor string ✔️ Ett eller flera huvudnamn eller hanterade identiteter. Om du vill referera till hanterade identiteter använder du formatet "App" med hjälp av objekt-ID för hanterad identitet eller klient-ID för hanterad identitet (program). Information om hur du anger dessa huvudnamn finns i Referera till Microsoft Entra-huvudkonton och -grupper.
skip-results string Om det tillhandahålls returnerar kommandot inte den uppdaterade listan över databashuvudnamn.
Beskrivning string Text som beskriver den ändring som visas när du använder .show kommandot.
Namn Typ Krävs Beskrivning
Åtgärd string ✔️ Kommandot .add, .dropeller .set.
.add lägger till de angivna huvudkontona, .drop tar bort de angivna huvudnamnen och .set lägger till de angivna huvudkontona och tar bort alla tidigare.
DatabaseName string ✔️ Namnet på databasen som du vill lägga till huvudnamn för.
Befattning string ✔️ Rollen som ska tilldelas till huvudnamnet. För databaser kan detta vara admins, users, viewers, unrestrictedviewers, ingestorseller monitors.
Rektor string ✔️ Ett eller flera huvudnamn. Information om hur du anger dessa huvudnamn finns i Referera till Microsoft Entra-huvudkonton och -grupper.
skip-results string Om det tillhandahålls returnerar kommandot inte den uppdaterade listan över databashuvudnamn.
Beskrivning string Text som beskriver den ändring som visas när du använder .show kommandot.

Anmärkning

Kommandot .set med none i stället för en lista med huvudnamn tar bort alla huvudnamn för den angivna rollen.

Exempel

I följande exempel ser du hur du lägger till säkerhetsroller, tar bort säkerhetsroller och lägger till och tar bort säkerhetsroller i samma kommando.

Lägga till säkerhetsroller med .add

I följande exempel läggs ett huvudnamn till i users rollen i Samples databasen.

.add database Samples users ('aaduser=imikeoein@fabrikam.com')

I följande exempel läggs ett program till i viewers rollen i Samples databasen.

.add database Samples viewers ('aadapp=4c7e82bd-6adb-46c3-b413-fdd44834c69b;fabrikam.com')

Ta bort säkerhetsroller med .drop

Följande exempel tar bort alla huvudnamn i gruppen från admins rollen i Samples databasen.

.drop database Samples admins ('aadGroup=SomeGroupEmail@fabrikam.com')

Lägg till nya säkerhetsroller och ta bort det gamla med .set

Följande exempel tar bort befintliga viewers och lägger till de angivna huvudnamnen som viewers i Samples databasen.

.set database Samples viewers ('aaduser=imikeoein@fabrikam.com', 'aaduser=abbiatkins@fabrikam.com')

Ta bort alla säkerhetsroller med .set

Följande kommando tar bort alla befintliga viewers i Samples databasen.

.set database Samples viewers none

Relaterat innehåll