深入解析Microsoft Fabric的安全体系：全方位防护、治理与合规

# 深入解析Microsoft Fabric的安全体系：全方位防护、治理与合规

## 引言

在当今数字化转型浪潮中，数据已成为企业最宝贵的资产之一。然而，随着数据量呈指数级增长和云计算技术的广泛应用，数据安全面临的挑战也日益严峻。Microsoft Fabric作为一款软件即服务（SaaS）平台，为用户提供了获取、创建、共享和可视化数据的一体化解决方案。作为SaaS服务，Fabric不仅简化了数据分析的复杂性，更重要的是提供了一套完整且多层次的安全防护体系，将安全维护的成本和责任转移至云端，让企业能够充分利用微软的专业知识和资源来保护数据安全、修补漏洞、监控威胁并满足合规要求。

## Fabric安全的核心特性

Microsoft Fabric的安全架构建立在五个关键支柱之上，这些支柱共同构成了一个全方位、纵深防御的安全体系，确保企业在云端的数据安全无虞。

### 始终开启的安全性

Fabric的"始终开启"安全特性体现在三个层面。首先，每一次与Fabric的交互默认都经过加密，并通过Microsoft Entra ID进行身份验证，这意味着无论是数据传输还是访问控制，都处于持续保护之下。其次，所有Fabric体验之间的通信都通过微软骨干互联网传输，这一设计确保了数据在传输过程中的安全性，避免了公共网络可能带来的风险。最后，静态数据默认自动加密存储，即使数据在存储层面也得到充分保护。此外，Fabric还支持通过Private Links或Entra Conditional Access等额外安全功能来进一步管控访问权限，并且可以借助可信访问方式连接到受防火墙或私有网络保护的数据源。

### 合规性与数据主权

在企业合规需求日益复杂的今天，Fabric展现了卓越的适应能力。Fabric提供开箱即用的数据主权功能，通过多地理容量（multi-geo capacities）机制，企业可以根据业务需求选择数据存储的地理位置，确保满足各地区的法规要求。同时，Fabric支持广泛的合规标准，包括但不限于ISO、SOC、GDPR等国际通用标准，使企业能够轻松应对各种审计和监管要求。

### 可治理性

Fabric内置了一套完整的治理工具集，包括数据沿袭（data lineage）、信息保护标签（information protection labels）、数据丢失防护（data loss prevention）和Purview集成。这些工具使管理员能够全面追踪数据流向、实施统一的安全策略，并通过Microsoft Purview中心实现数据的集中管理和监控，确保数据从创建到使用的全生命周期都处于可控状态。

### 可配置性与持续演进

Fabric的安全架构允许企业根据组织策略灵活配置各项安全功能，从访问控制、条件访问策略到网络隔离，都能实现定制化设置。同时，微软持续改进Fabric的安全性，不断添加新的安全功能和控制手段，使企业能够始终受益于最新的安全技术和最佳实践。

## 身份验证与访问控制

作为SaaS平台，Fabric与Azure、Microsoft Office、OneDrive和Dynamics等微软服务一样，采用Microsoft Entra ID作为基于云的身份提供者。这一设计为用户提供了统一的身份认证体验，使员工能够从任何设备、任何网络位置安全地连接到Fabric，无论是身处公司办公室、居家办公还是远程出差。

每次连接到Fabric的请求都会经过Microsoft Entra ID的身份验证，这一强制性认证机制确保只有经过授权的用户才能访问Fabric资源，有效防止了未授权访问和身份冒用风险。这种云原生身份验证方式不仅简化了身份管理流程，还通过集中式管理增强了整体安全性。

## 网络安全性深度剖析

网络安全性是Fabric安全架构的重要组成部分，涵盖入站网络安全和出站网络安全两个方向，确保数据在Fabric平台内外传输过程中的安全性。

### 入站网络安全

为了保护进入Fabric的网络流量，企业可以根据自身需求选择适当的安全解决方案。

**Microsoft Entra ID条件访问**提供了精细化的访问控制能力，允许管理员定义IP地址白名单、强制多因素认证（MFA）、根据来源国家/地区或设备类型限制流量等策略。例如，企业可以配置条件访问策略，仅允许来自特定IP范围的连接，或者要求所有远程访问都经过MFA验证，从而有效降低账户被盗用的风险。

**私有链接（Private Links）** 提供最高级别的网络隔离，通过限制对Fabric租户的访问仅来自Azure虚拟网络（VNet），并阻止所有公共访问，确保只有该VNet内的网络流量才能访问Fabric功能，如Notebook、Lakehouse、数据仓库和数据库。这种网络隔离机制特别适合对网络安全要求极高的企业场景，如金融、医疗等受监管行业。

### 出站网络安全

Fabric提供了一套完善的外部数据源安全连接工具，确保企业在将外部数据导入Fabric时能够保持数据传输的安全性。

**可信工作区访问**允许Fabric工作区安全地访问启用防火墙的Azure Data Lake Gen 2账户。通过工作区身份，可以将Azure Data Lake Storage Gen2的访问权限限制在特定的Fabric工作区内，实现精细化的数据访问控制。需要注意的是，此项功能需要购买Microsoft Fabric容量（F SKU）。

**托管私有端点**和**托管虚拟网络**为企业提供安全的连接方式。托管私有端点允许安全连接到Azure SQL数据库等数据源，而无需将其暴露在公共网络上，也避免了复杂的网络配置。托管虚拟网络则是由Fabric为每个工作区创建和管理的专用网络，为Spark工作负载提供网络隔离，确保计算集群部署在专用网络中，不再属于共享虚拟网络的一部分。

**数据网关**解决方案包括本地数据网关和虚拟网络（VNet）数据网关，用于连接本地数据源或受防火墙、虚拟网络保护的数据源。本地数据网关部署在企业内部的服务器上，作为本地数据源与Fabric之间的桥梁，通过安全通道进行通信，无需开放端口或更改网络配置。VNet网关则允许从微软云服务连接到VNet内的Azure数据服务，无需使用本地数据网关。

**其他连接选项**包括通过现有的Azure平台即服务（PaaS）服务连接、使用服务标签（Service Tags）或无IP白名单方式。服务标签允许在不使用数据网关的情况下从Azure虚拟网络中的数据源（如Azure SQL虚拟机、SQL托管实例和REST API）提取数据，并可配置防火墙规则以允许特定流量通过。

## 数据加密与存储安全性

数据安全的核心在于加密和存储保护。Fabric在数据保护方面采取了多层次的安全措施，确保数据在存储和处理过程中的机密性和完整性。

### 静态数据加密

所有存储在OneLake中的Fabric数据都默认进行了静态加密。更重要的是，所有静态数据都存储在用户的主区域或选择的远程区域容量中，这使企业能够满足数据主权和合规要求。这种设计确保企业可以根据自身业务需求和法规要求选择合适的数据存储位置，避免因数据跨境传输而产生的合规风险。

### 工作区客户管理密钥

对于需要额外加密层的企业，Fabric支持使用工作区客户管理密钥（Workspace Customer Managed Keys）。通过这一功能，企业可以使用自己的Azure Key Vault密钥来加密微软加密密钥，实现数据的双重加密保护。这种方案让企业拥有对加密密钥的完全控制权，即使微软也无法访问解密后的数据，满足了安全要求极高的企业需求。

### 多地理区域租户支持

许多跨国企业在多个Azure地理区域运营，需要确保数据在多个区域进行静态存储以符合当地法规。Fabric的多地理（multi-geo）功能正是为此设计。在多地理工作区中，查询执行层、查询缓存和分配给工作区的项目数据都保留在其创建的Azure地理区域内，而部分元数据和进程则存储在租户的主地理区域。这种灵活的架构使企业在全球范围内开展业务时能够遵守各地数据驻留法规。

Fabric作为微软更广泛生态系统的一部分，与Azure、Microsoft 365或Dynamics 365等云订阅服务共享同一个Microsoft Entra租户。当企业使用多个租户、多个容量跨多个地理区域时，Fabric确保数据在多区域之间安全可靠。逻辑数据隔离机制保护了不同租户间的数据安全，防止跨租户的数据泄露风险。

## 数据访问控制与权限管理

Fabric通过工作区来管控数据访问权限，实施一套精细化的权限管理体系。

### 工作区角色与权限

Fabric将工作区访问分为不同角色，每个角色拥有不同的数据访问权限。管理员、成员和贡献者角色可以使用工作区中的所有项目，并拥有OneLake访问权限；而查看者角色只能查看工作区中的所有项目，但无法访问Fabric项目或运行Notebook。值得注意的是，拥有查看者角色的用户可以运行SQL、数据分析表达式或多维表达式查询，这表明Fabric在数据访问控制上实现了细粒度的权限区分。

### 项目共享与访问限制

Fabric支持通过共享功能，向组织内不具备工作区角色的用户授予特定项目的访问权限。这种共享机制提供受限访问，使用户仅能访问工作区中共享的特定项目，而不能查看工作区中的其他内容，以最小权限原则保障数据安全。

### 行级、列级和对象级安全性

对于需要更精细数据控制的企业，Fabric提供行级安全性（RLS）、列级安全性（CLS）和对象级安全性（OLS）。这些安全特性允许创建具有特定数据访问权限的用户身份，确保SQL查询结果仅返回该用户身份可访问的数据部分。通过RLS和CLS，企业可以实现部门级、区域级等不同维度的数据隔离需求。

当DirectLake数据集启用了RLS时，如果定义了SQL和DAX两套安全规则，DirectLake将在具有RLS的表上回退到DirectQuery模式。这种情况下，DAX或MDX结果受限于用户身份。为了避免DirectQuery回退，可以使用Power BI中的直接数据集共享或应用功能来展现带有RLS的DirectLake数据集报告，无需向用户提供查看者权限。

## 数据保护与合规管理

Fabric支持Microsoft Purview信息保护中的敏感度标签，这些标签与Office应用中的"常规"、"机密"和"高度机密"等标签一致，广泛使用于Word、PowerPoint和Excel等应用。在Fabric中，用户可以使用这些相同的敏感度标签对包含敏感数据的项目进行分类，标签会在数据流经Fabric时自动从一个项目传递到另一个项目，从数据源一直延伸到业务用户。

即使数据被导出为PBIX、Excel、PowerPoint和PDF等支持格式，敏感度标签也会随之传递，确保数据在导出后仍保持受保护状态。只有经过授权的用户才能打开这些文件，这有效防止了敏感数据的外泄风险。此外，Microsoft Purview与Fabric的集成使用户能够从Microsoft Purview中心这一单一位置存储、分析和治理数据，极大简化了数据治理流程。

## 数据恢复与业务连续性

Fabric的数据弹性保障确保在灾难情况下数据仍然可用。通过Fabric的灾难恢复功能，企业能够有效应对基础设施故障或灾难，确保关键数据可恢复和业务连续性。（此部分内容有限，Fabric的可靠性设计还包括区域冗余、自动故障转移等机制，确保最高级别的服务可用性。）

## 管理功能与审计追踪

作为Fabric管理员，可以控制整个组织的各项功能，并能够将管理员角色委派给容量、工作区和域级别。这种分级管理模型允许多个关键管理员控制整个组织的Fabric常规设置，同时让其他管理员负责特定区域的相关设置，实现管理责任的合理分配。

### 审计日志

Fabric提供了全面的审计日志功能，管理员可以按照指引追踪用户在Microsoft Fabric中的活动。通过审计日志，管理员可以监控组织的安全状态和操作历史，识别潜在的安全威胁和异常行为。参考操作列表可以查看可在审计日志中搜索的所有可用活动，确保日志记录覆盖所有关键操作。

### 安全功能概览

Fabric提供的核心安全功能包括：通过Microsoft Entra ID实现的条件访问控制、锁定箱（Lockbox）控制微软工程师对数据的访问权限、Fabric和OneLake的安全设置、通过Azure可用区实现的弹性和区域可靠性、服务标签功能（允许Azure SQL托管实例接受Fabric的入站连接）等。这些功能共同构建了一个全方位、纵深防御的安全体系。

## 结论

Microsoft Fabric的安全架构展现了一个现代化SaaS平台应有的安全素养，从身份验证、网络安全、数据加密、访问控制到合规管理和审计追踪，每个层面都体现了"安全内置、默认安全"的设计理念。通过将复杂的安全机制透明化、自动化，Fabric既保护了企业数据资产的安全，又减轻了企业在安全方面的运维负担，让企业能够专注于核心业务，利用数据驱动创新和增长。随着网络安全威胁的不断演变，Fabric持续演进的安全能力将成为企业数字化转型道路上值得信赖的安全基石。