Rivitason suojaus (RLS) Power BI:ssä

Rivitason turvallisuus (RLS) rajoittaa tiettyjen käyttäjien pääsyä dataan. Suodattimet rajoittavat dataa rivitasolla, ja määrittelet suodattimet roolien sisällä. Power BI -palvelussa käyttäjillä, joilla on työtilan käyttöoikeus, on käyttöoikeus työtilan semanttisiin malleihin. Rivitason suojaus rajoittaa tietojen käyttöä vain käyttäjille, joilla on Katselija-käyttöoikeudet . Se ei koske järjestelmänvalvojia, jäseniä tai osallistujia.

RLS:n toteuttamiseksi seuraa tätä korkeatasoista työnkulkua:

1. Määrittele roolit ja säännöt Power BI Desktopissa DAX-suodatinlausekkeiden avulla.
2. Julkaise semanttinen malli ja raportoi Power BI -palvelu.
3. Lisää jäseniä rooleihin Power BI -palvelu.
4. Varmistakäyttämällä Test as Role -ominaisuutta varmistaaksesi, että datan suodatus toimii odotetusti.

Voit konfiguroida RLS:n tuoduille semanttisille malleille Power BI Desktopissa tai Power BI -palvelu:ssä. Voit myös määrittää rivitason suojauksen semanttisissa malleissa, jotka käyttävät DirectQueryä, kuten SQL Serveriä. Jos käytät Analysis Servicesiä tai Azure Analysis Services reaaliaikaisia yhteyksiä, määrität rivitason suojauksen mallissa, et Power BI:ssä. Suojausvaihtoehtoa ei näy reaaliaikaisen yhteyden semanttisille malleille.

Roolien ja sääntöjen määrittäminen Power BI Desktopissa

Voit määrittää rooleja ja sääntöjä Power BI Desktopissa. Tällä editorilla voit vaihtaa avattavan oletuskäyttöliittymän ja DAX-liittymän välillä. Kun julkaiset Power BI:ssä, julkaiset myös roolimääritykset.

Käyttöoikeusroolien määrittäminen:

1. Tuo tietoja Power BI Desktop -raporttiin tai määritä DirectQuery-yhteys.

   Huomautus

   Power BI Desktopissa ei voi määrittää rooleja reaaliaikaisille Analysis Services -yhteyksille. Se on tehtävä Analysis Services -mallissa.

2. Valitse Mallinnus-välilehdestäRoolien hallinta.

3. Luo uusi rooli valitsemalla Roolien hallinta -ikkunassa Uusi .

4. Anna roolille nimi Roolit-kohdassa ja valitse Enter.

   Huomautus

   Et voi määrittää roolia pilkulla, esimerkiksi London,ParisRole.

5. Valitse Valitse taulukot -kohdassa taulukko, johon haluat käyttää rivitason suojaussuodatinta.

6. Määritä roolit oletuseditorin avulla kohdassa Suodata tiedot. Luodut lausekkeet palauttavat arvon tosi tai epätosi.

   Huomautus

   Kaikkia Power BI:n rivitason suojauksen suodattimia ei voi määrittää oletuseditoria käyttämällä. Rajoituksia ovat lausekkeet, jotka voidaan nykyään määrittää vain DAX:n avulla, mukaan lukien dynaamiset säännöt, kuten username() tai userprincipalname(). Jos haluat määrittää roolit näiden suodattimien avulla, siirry DAX-editorin käyttöön.

7. Voit halutessasi valita Vaihda DAX-editoriin , jos haluat siirtyä käyttämään DAX-editoria roolisi määrittämiseen. DAX-lausekkeet palauttavat arvon tosi tai epätosi. Esimerkki: [Entity ID] = “Value”. DAX-editori on valmis kaavojen (intellisense) automaattisella täydennyksellä. Voit palauttaa muutokset valitsemalla lausekeruudun yläpuolelta valintamerkin lausekkeen vahvistamiseksi ja X-painikkeen lausekeruudun yläpuolella.

   Huomautus

   Voit käyttää username()-funktiota tässä lausekkeessa. Huomaa, että username() on muotoa DOMAIN\username Power BI Desktopissa. Power BI -palvelussa ja Power BI -raporttipalvelimessa se esitetään käyttäjän täydellinen käyttäjätunnus (UPN) muodossa. Voit lisäksi käyttää tässä lausekeruudussa pilkkuja DAX-funktioargumenttien erottamiseen, vaikka käyttäisit tavallisesti puolipisteerottimia, kuten ranskaa tai saksaa.

8. Voit vaihtaa takaisin oletuseditoriin valitsemalla Vaihda oletuseditoriin. Kaikki jommassakummassa editorin käyttöliittymässä tehdyt muutokset säilyvät, kun käyttöliittymää vaihdetaan, kun se on mahdollista. Kun määrität DAX-editorilla roolin, jota ei voi määrittää oletuseditorissa, jos yrität vaihtaa oletuseditoriin, näyttöön tulee varoitus, jonka mukaan editorien vaihtaminen voi johtaa joidenkin tietojen menettämiseen. Jos haluat säilyttää nämä tiedot, valitse Peruuta ja jatka vain tämän roolin muokkaamista DAX-editorissa.

   Huomautus

   Erota DAX-funktioargumentit toisistaan pilkuilla tämän lausekeruudun avulla, vaikka käyttäisit tavallisesti puolipisteerottimia, kuten ranskaa tai saksaa.

9. Valitse Tallenna.

Käyttäjille ei voi määrittää roolia Power BI Desktopissa. Voit määrittää ne Power BI -palvelussa. Voit ottaa dynaamisen suojauksen käyttöön Power BI Desktopissa käyttämällä username() - tai userprincipalname() DAX-funktioita ja määrittämällä oikeat suhteet.

Yleiset DAX-suodatinkuviot

Seuraavat esimerkit osoittavat yleisiä DAX-suodatinlausekkeita, joita voit käyttää RLS-roolien määrittelyssä:

• Staattinen RLS — Rajoittaa datan kiinteään arvoon:

  [Region] = "West"
  

• Dynaaminen RLS UPN :llä — Rajoittaa tietoja kirjautuneen käyttäjän sähköpostiosoitteen perusteella:

  [UserEmail] = USERPRINCIPALNAME()
  

• Dynaaminen RLS käyttäjätunnuksella — Rajoittaa tietoja käyttäjän verkkotunnuksen ja käyttäjätunnuksen perusteella:

  [UserDomain] = USERNAME()
  

• Dynaaminen RLS CUSTOMDATA :lla — Rajoittaa dataa upotussovelluksesta välitetyn mukautetun merkkijonon perusteella:

  [AppRole] = CUSTOMDATA()
  

  Huomautus

  CUSTOMDATA() käytetään pääasiassa sulautetuissa tilanteissa, joissa sovellus välittää mukautetun tehokkaan identiteettimerkkijonon Power BI REST API:n kautta.

Dynaaminen RLS on yleisin lähestymistapa, koska se mahdollistaa yhden roolimääritelmän suodattaa dataa eri tavoin jokaiselle käyttäjälle käyttäjämallin käyttäjäkartoitustaulun perusteella.

Kaksisuuntainen ristiinsuodatus

Oletuksena rivitason suojauksen suodatukseen käytetään yksisuuntaisia suodattimia, olivatpa suhteet sitten määritetty yksi- vai kaksisuuntaisiin.

Voit ottaa kaksisuuntaisen ristisuodatuksen manuaalisesti käyttöön rivitason suojauksen yhteydessä valitsemalla suhteen ja valitsemalla Ota suojaussuodattimet käyttöön molempiin suuntiin -valintaruudun. Valitse tämä vaihtoehto, kun olet ottanut käyttöön myös dynaamisen rivitason suojauksen palvelintasolla, jolla rivitason suojaus perustuu käyttäjänimeen tai kirjautumistunnukseen. Jos taulukko osallistuu useisiin kaksisuuntaisiin suhteisiin, voit valita tämän vaihtoehdon vain yhdelle näistä suhteista.

Lisätietoja on artikkelissa Kaksisuuntainen ristiinsuodatus käyttämällä DirectQueryä Power BI:ssä ja teknisessä artikkelissa Taulukkomuotoisen liiketoimintatietojen semanttisen mallin suojaaminen.

Mallin suojauksen hallinta

Jos haluat hallita semanttisen mallin suojausta, avaa työtila, johon tallensit semanttisen mallin Fabricissa, ja toimi seuraavasti:

1. Valitse Fabricissa semanttisen mallin Lisää asetuksia -valikko. Tämä valikko tulee näkyviin, kun pidät hiiren osoitinta semanttisen mallin nimen päällä.

   

2. Valitse Suojaus.

   

Suojaus vie sinut roolitason suojauksen sivulle, jolla voit lisätä jäseniä luomaasi rooliin. Käyttäjät, joilla on Contributor tai korkeampi työtilan rooli, näkevät Security-vaihtoehdon ja voivat määrittää käyttäjille roolin. Semanttinen mallin omistajuus tai rakennuslupa voi myös olla tarpeen tilanteesta riippuen.

Hallinnoi roolijäsenyyttä

Lisää jäseniä

Power BI -palvelussa voit lisätä jäsenen rooliin kirjoittamalla käyttäjän tai käyttöoikeusryhmän sähköpostiosoitteen tai nimen. Et voi lisätä Power BI:ssä luotuja ryhmiä. Voit lisätä jäseniä, jotka ovat organisaatiosi ulkopuolisia henkilöitä. Ohjeita siitä, miten RLS toimii ulkoisten B2B-vieraskäyttäjien kanssa, löydät kohdasta Huomiot ulkoisille (B2B-vieras) käyttäjille.

Voit määrittää rivitason suojauksen seuraavien ryhmien avulla.

• Jakeluryhmä
• Sähköpostia käyttävä ryhmä
• Microsoft Entra -käyttöoikeusryhmä

Voit nähdä, kuinka monta jäsentä kuuluu rooliin, suluissa roolinimen vieressä olevasta numerosta tai Jäsenistä.

Jäsenten poistaminen

Voit poistaa jäseniä valitsemalla hänen nimensä vieressä olevan X-merkin.

Roolin vahvistaminen Power BI -palvelussa

Voit varmistaa, että määrittelemäsi rooli toimii oikein Power BI -palvelu:ssä testaamalla roolia.

1. Valitse Enemmän vaihtoehtoja (...) roolin vieristä.
2. Valitse Testaa roolina.

Kun raportti latautuu, varmista seuraavat asiat:

• Raportti näyttää vain datarivejä, jotka vastaavat roolissa määriteltyä suodatinlauseketta.
• Visuaalit, taulukot ja kaaviot heijastavat suodatettua dataa, eivät koko aineistoa.
• Jos käytät dynaamista RLS:ää, data vastaa Now-näkymässä otsikona esitettyä identiteettiä.

Sivun otsikossa näkyy käytettävä rooli. Testaa muita rooleja, roolien yhdistelmiä tai tiettyä henkilöä valitsemalla Tarkastellaan nyt käyttäjänä. Tässä näet testattavaan henkilöön tai rooliin liittyvät tärkeät käyttöoikeustiedot. Lisätietoja oikeuksien vuorovaikutuksesta rivitason suojauksen kanssa on artikkelissa Rivitason suojauksen käyttökokemus.

Testaa muita semanttiseen malliin yhdistettyjä raportteja valitsemalla Sivun otsikossa Tarkasteleminen . Voit testata vain samassa työtilassa olevia raportteja kuin semanttinen mallisi.

Voit palata normaaliin tarkasteluun valitsemalla Takaisin rivitason suojaukseen.

DAX-funktion username() tai userprincipalname() käyttö

Voit hyödyntää tietojoukossa DAX-funktioita username() ja userprincipalname( ). Voit käyttää niitä lausekkeissa Power BI Desktopissa. Kun julkaiset mallin, sitä käytetään Power BI -palvelussa.

Power BI Desktopissa username() palauttaa käyttäjän muodossa TOIMIALUE\Käyttäjä ja userprincipalname() palauttaa käyttäjän muodossa user@contoso.com.

Power BI -palvelussa sekä username()että userprincipalname() palauttavat käyttäjän ensisijaisen nimen (UPN). Se näyttää samalta kuin sähköpostiosoite.

Rivitason suojauksen käyttäminen työtilojen kanssa Power BI:ssä

Jos julkaiset Power BI Desktop -raportin Työtilassa Power BI -palvelussa, RLS-roolit otetaan käyttöön jäsenille, joille on määritetty katselijan rooli työtilassa. Vaikka katsojille annetaan semanttisen mallin muodostamisoikeudet, rivitason suojaus on edelleen voimassa. Jos esimerkiksi muodostamisoikeudet saaneet katselijat käyttävät Analysoi Excelissä -toimintoa, heidän näkymänsä tietoihin on rajoitettu rivitason suojauksen avulla. Työtilan jäsenillä, joille on määritetty Admin, Jäsen tai Contributor, on muokkausoikeudet semanttiseen malliin, joten RLS ei koske heitä. Jos haluat, että rivitason suojaus koskee työtilan henkilöitä, voit määrittää heille vain Katselija-roolin. Lue lisää työtilojen rooleista.

Huomioitavat huomioita ulkoisille (B2B-vieras) käyttäjille

Jos jaat Power BI sisältöä ulkoisille käyttäjille Microsoft Entra B2B kautta, on tärkeää ymmärtää, miten RLS vuorovaikuttaa vieraskäyttäjien identiteettien kanssa.

UPN-resoluutio B2B-vieraille

Kun ulkoinen B2B-vieraskäyttäjä käyttää Power BI-raporttia, USERPRINCIPALNAME() DAX-funktio palauttaa tyypillisesti sähköpostimaisen tunnisteen (esimerkiksi user@partner.com). Joissakin asetuksissa se saattaa palauttaa vieras-UPN:n muodossa #EXT# (esim. user_partner.com#EXT#@yourtenant.onmicrosoft.com).

Tämä ero on tärkeä dynaamisessa RLS:ssä. Jos käyttäjäkartoitustaulusi tallentaa eri tunnistemuodon kuin palautus USERPRINCIPALNAME() , suodatinlauseke ei täsmää, ja vieraskäyttäjä saattaa nähdä tietoja tai virheellistä dataa.

USERNAME() käyttäytyminen B2B-vieraille

USERNAME() DAX-funktio palauttaa käyttäjän domainin\käyttäjätunnuksen. B2B-vieraskäyttäjille tämä funktio palauttaa tyypillisesti vieraan kotivuokralaisen UPN:n (esim. user@partner.com) eikä domainin\käyttäjätunnuksen muotoa. Koska USERNAME() ja USERPRINCIPALNAME() usein palauttaa sama arvo B2B-vieraille, useimmat toteutukset käyttävät USERPRINCIPALNAME() johdonmukaisuutta.

[UserEmail] = USERPRINCIPALNAME()

Missä sarakkeessa UserEmail on sähköpostiosoitteet, kuten user@partner.com sekä sisäisille että ulkoisille käyttäjille.

Vianetsintä: Ulkoinen vieras ei näe dataa

Jos B2B-vieraskäyttäjä näkee tyhjän raportin tai saa "ei dataa" -viestin, noudata näitä ohjeita:

1. Varmista palautettu UPN-muoto – Luo testimittari ja USERPRINCIPALNAME() näytä se kortin visuaalissa. Anna vieraskäyttäjän katsoa raportti ja nähdä todellinen palautusarvo.
2. Tarkista käyttäjäkartoitustaulu – Varmista, että kartoitustaulussa on rivi, jonka arvo täsmälleen vastaa kyseisen USERPRINCIPALNAME() vieraan palautusta.
3. Tarkista kirjainkoon herkkyys – DAX-merkkijonojen vertailut ovat oletuksena kirjainkoon liittymättömiä, mutta varmista, ettei tietolähteesi ole lisännyt kirjainkoon herkkiä arvoja.
4. Tarkista ristiinvuokralaisten käyttöoikeudet - Jos organisaatiosi käyttää cross-tenant access policy, nämä voivat vaikuttaa siihen, mikä UPN-muoto Power BI esitellään.
5. Testaa varsinaisen vieraskäyttäjän kanssa – Testaa roolina -ominaisuus käyttää omaa identiteettiäsi. Varmista aina oikealla ulkoisella vierastilillä. Lisätietoja Power BI sisällön jakamisesta ulkoisille käyttäjille löytyy osoitteesta Jaa Power BI sisältöä ulkoisille vieraskäyttäjille, joilla on Microsoft Entra B2B.

Huomioitavat asiat ja rajoitukset

Voit tarkistaa pilvimallien rivitason suojauksen tämänhetkiset rajoitukset täältä:

• Jos määritit aiemmin rooleja ja sääntöjä Power BI -palvelussa, sinun on luotava ne uudelleen Power BI Desktopissa.
• Voit määrittää rivitason suojauksen vain semanttisissa malleissa, jotka on luotu Power BI Desktopin avulla. Jos haluat ottaa rivitason suojauksen käyttöön Excelillä luoduille semanttisille malleille, sinun on ensin muunnettava tiedostosi Power BI Desktop (PBIX) -tiedostoiksi. Lisätietoja.
• Palvelun päänimiä ei voi lisätä rivitason suojauksen rooliin. Näin ollen rivitason suojausta ei käytetä sovelluksiin, jotka käyttävät palvelun päänimeä lopullisena voimassa olevana käyttäjätietona.
• Vain tuonti- ja DirectQuery-yhteyksiä tuetaan. Reaaliaikaisia yhteyksiä Analysis Servicesiin käsitellään paikallisessa mallissa.
• Kun RLS on käytössä, DAX-kyselyissä ja mittareissa USERELATIONSHIP()-funktion käyttö voi aiheuttaa odottamattomia virheitä. Tämän ongelman kiertämiseksi suunnittele DAX-lausekkeet uudelleen välttääksesi USERELATIONSHIP():n ja käytä mallitason suhteita tai muita DAX-malleja.
• Testaa roolina/Näytä roolina -ominaisuus ei toimi DirectQuery-malleissa, joissa kertakirjautuminen on käytössä.
• Testaa roolina/näytä roolina -ominaisuus näyttää vain semanttisten mallien työtilan raportit.
• Testaa roolina/Näytä roolina -ominaisuus ei toimi sivutetuissa raporteissa.

Muista, että jos Power BI -raportti viittaa riviin, jolle on määritetty rivitason suojaus, sama sanoma tulee näkyviin kuin poistetulle tai ei-olemassa olevalle kentälle. Näillä käyttäjillä vaikuttaa siltä, että raportti on rikki.

usein kysytyt kysymykset

Kysymys: Entä jos olen aiemmin luonut rooleja ja sääntöjä tietojoukolle Power BI -palvelussa? Toimivatko ne edelleen, jos en tee mitään?
Vastaus: Ei, visualisointeja ei hahmonneta oikein. Sinun on luotava roolit ja säännöt uudelleen Power BI Desktopissa ja sen jälkeen julkaistava ne Power BI -palveluun.

Kysymys: Voinko luoda nämä roolit Analysis Services -tietolähteille?
Vastaus: Kyllä, jos tiedot on tuotu Power BI Desktopiin. Jos käytät reaaliaikaista yhteyttä, et voi määrittää rivitason suojausta Power BI -palvelun sisällä. Voit määrittää rivitason suojauksen Analysis Services -mallissa paikallisesti.

Kysymys: voinko käyttää rivitason suojausta rajoittamaan käyttäjien käytössä olevia sarakkeita tai mittareita?
Vastaus: Ei. Jos käyttäjällä on tietyn tietorivin käyttöoikeus, hän voi nähdä kaikki kyseisen rivin tietosarakkeet. Jos haluat rajoittaa sarakkeiden ja sarakkeiden metatietojen käyttöä, harkitse objektitason suojauksen käyttämistä.

Kysymys: Salliiko rivitason suojaus tarkkojen tietojen piilottamisen ja visualisoinneissa olevien yhteenvetotietojen käytön?
Vastaus: Ei, voit suojata yksittäisiä tietorivejä, mutta käyttäjät voivat aina nähdä tarkat tiedot tai yhteenvetotiedot.

Kysymys: Tietolähteeseeni on jo määritetty käyttöoikeusrooleja (esimerkiksi SQL Server -rooleja tai SAP BW -rooleja). Mikä näiden roolien ja rivitason suojauksen välinen suhde on?
Vastaus: Vastaus riippuu siitä, tuotko tietoja vai käytätkö DirectQuerya. Jos tuot tietoja Power BI -tietojoukkoosi, tietolähteesi käyttöoikeusrooleja ei käytetä. Tässä tapauksessa sinun on määritettävä rivitason suojaus, jotta voit pakottaa suojaussäännöt käyttäjille, jotka muodostavat yhteyden Power BI:ssä. Jos käytät DirectQueryä, käytetään tietolähteesi käyttöoikeusrooleja. Kun käyttäjä avaa raportin, Power BI lähettää pohjana olevaan tietolähteeseen kyselyn, joka soveltaa tietoihin suojaussääntöjä käyttäjän tunnistetietojen perusteella.

Kysymys: Voiko käyttäjä kuulua useampaan kuin yhteen rooliin?
Vastaus: Käyttäjä voi kuulua useisiin rooleihin, ja roolit ovat lisääviä. Jos käyttäjä esimerkiksi kuuluu sekä Myynti- että Markkinointi-rooleihin, hän voi nähdä molempien roolien tiedot.

Liittyvä sisältö

• Tietojen käytön rajoittaminen rivitason suojauksen (RLS) avulla Power BI Desktopissa
• Power BI:n käyttöönoton suunnittelu: Raportin kuluttajan suojauksen suunnittelu
• RLS upotetuille isv-ohjelmistokehitysten skenaarioille
• Jaa Power BI sisältöä ulkoisille vieraskäyttäjille Microsoft Entra B2B

Kysyttävää? Voit esittää kysymyksiä Power BI -yhteisön ehdotuksille? Kerro ideasi Power BI:n parantamiseksi