Security a administrace Fabricu

Poznámky pro Day 4 lekce 4.2 (Secure data access) a 4.3 (Administer Fabric). Audience má SQL Server admin background — paralely tahat k tomu (rights, roles, audit).

Mental model — 3 vrstvy security

┌─────────────────────────────────────────────────────────────┐
│ TENANT (admin.fabric.microsoft.com)                          │
│   • Tenant settings (kdo má přístup k Fabric features)       │
│   • Capacity assignment                                      │
│                                                               │
│   ┌─────────────────────────────────────────────────────┐   │
│   │ WORKSPACE                                             │   │
│   │   Layer 1: Workspace role                             │   │
│   │     Admin / Member / Contributor / Viewer             │   │
│   │                                                       │   │
│   │   ┌──────────────────────────────────────────────┐   │   │
│   │   │ ITEM (Lakehouse, Warehouse, Semantic Model)   │   │   │
│   │   │   Layer 2: Item permission                    │   │   │
│   │   │     Read, Read+ReShare, Build, Edit           │   │   │
│   │   │                                               │   │   │
│   │   │   ┌──────────────────────────────────────┐   │   │   │
│   │   │   │ DATA                                  │   │   │   │
│   │   │   │   Layer 3: Granular access            │   │   │   │
│   │   │   │     • OneLake permissions (per file)  │   │   │   │
│   │   │   │     • SQL Endpoint object perms       │   │   │   │
│   │   │   │     • RLS / OLS / CLS                 │   │   │   │
│   │   │   │     • Sensitivity labels (MIP)        │   │   │   │
│   │   │   └──────────────────────────────────────┘   │   │   │
│   │   └──────────────────────────────────────────────┘   │   │
│   └─────────────────────────────────────────────────────┘   │
└─────────────────────────────────────────────────────────────┘

Layer 1: Workspace roles

Layer 2: Item permissions

Specifické pro každý typ artefaktu. Příklad pro Semantic Model:

Layer 3: Granular data access

A. OneLake permissions

• Per-folder/per-file permissions v Lakehouse Files/ nebo Tables/
• Set via OneLake security wizard (Lakehouse → Manage OneLake permissions)
• Inheritance: workspace role → folder → file
• Use case: Lakehouse má mix public + sensitive data. Workspace Viewers vidí public/, jen Members vidí sensitive/.

B. SQL Endpoint object-level permissions

• Lakehouse SQL Endpoint = read-only
• Object permissions přes T-SQL: GRANT SELECT ON dbo.gold_fact_kvalita TO [user@firma.cz]
• Kombinuje s workspace role: workspace Viewer + GRANT SELECT = může query specifický table

C. Warehouse object permissions

• Plný T-SQL DCL: GRANT/DENY/REVOKE
• Schemas, tables, columns, rows přes views
• Funguje stejně jako Azure SQL DB / SQL Server

D. RLS / OLS / CLS v semantic modelu

• Viz kapitola 7, sekce RLS / OLS / Sensitivity labels
• DAX expression na tabulce (RLS)
• Hide column/table per role (OLS)
• Column-level security via T-SQL nad SQL Endpointem

E. Sensitivity labels (MIP)

• Microsoft Information Protection labels (Public, Internal, Confidential, ...)
• Aplikované na Lakehouse / Warehouse / Semantic model
• Propagace: label set na upstream Lakehouse → auto-inherited na downstream Semantic Model → na PBI report
• Auto-classification přes Purview scan (sensitive data discovery)

Demo arc 4.2

Demo 1: Workspace role + RLS chain

1. Vytvoř test user tester@firma.cz
2. Add jako Viewer do DP600_Demo_CHMI
3. Open Semantic Model → Manage roles → Add Kraj_PHA: [kraj_kod] = "PHA"
4. Sign-in jako tester → vidí jen Praha data
5. Demo: change role assignment → tester vidí vše
6. Klíčový takeaway: Viewer + RLS = production pattern pro consumers

Demo 2: Sensitivity label propagation

1. Lakehouse lh_chmi_demo → Settings → Sensitivity → set "Internal"
2. Open semantic model na top → label auto-inherited (visible v top bar)
3. Build report → label propagated
4. Export to Excel → Excel file má MIP watermark
5. Klíčový takeaway: label "follows" data napříč Fabric stack

Demo 3: OneLake permissions

• Show OneLake security wizard
• Difference: workspace role = "kdo vidí workspace", OneLake = "kdo vidí konkrétní složku"

Tenant Admin Portal — what's there

URL: app.fabric.microsoft.com/admin-portal Required: Fabric Administrator role v Microsoft 365 (Global admin nebo dedicated)

Top sections

Tenant settings — high-impact toggles

Doporučené review nastavení:

Capacity admin

F-SKU sizing rule of thumb

Smoothing window

• F-SKU spotřeba je smoothed přes 24h window
• Dva F2 nejsou ekvivalent F4 — F2 má 2 CU peak, F4 má 4 CU peak
• Burst over capacity OK pro krátkou dobu (smoothing absorbing), sustained → throttling

Throttling levels

1. Interactive Delay — query čeká pár sekund
2. Interactive Rejection — query odmítnuta
3. Background Rejection — refresh / pipeline odmítnut

Capacity Metrics App ukazuje aktuální throttling status per workspace.

Autoscale / Pause-Resume

• Autoscale Billing for Spark = Spark se účtuje serverless mimo kapacitu (GA); pro ostatní workloady platí smoothing + burst — aktuální stav ověřte
• Pause/Resume = manuálně pause cíleně mimo pracovní hodiny → ušetříš 70%
• F-SKU reserved = roční commit, ~40% sleva oproti PAYG

Capacity Metrics App — deep dive

Install z AppSource (free, oficiální Microsoft). 3 hlavní reporty:

Report 1: Compute

• CU spotřeba per workspace, per item, per operation
• Drill: workspace → item → user → operation
• Use case: kdo žere capacity? Pohledem vidíš že 80% žere 1 Power BI report → optimize ten report.

Report 2: Storage

• OneLake size per workspace
• Tracked: Lakehouse files, Warehouse data, Delta versions
• Use case: identifikace bloated workspaces, plán cleanup

Report 3: Throttling & Smoothing

• Throttling events historicky (kdy a koho)
• Smoothing window utilization graph
• Use case: pre-emptivně upgrade kapacity před tím, než dojde k throttling

Audit logs

• Activity log: kdo, kdy, co dělal ve Fabricu — Power BI activity API drží 30 dní, M365 audit log 180 dní (výchozí; ověřte podle licence)
• Export: M365 Compliance Center → Search → Audit log search → Filter Fabric activities
• Pro long-term: integrate with Sentinel nebo SIEM via M365 Defender connector
• API: Power BI Admin REST API /admin/activityevents

Workspace governance patterns

Pattern 1: DEV / TEST / PROD

3 workspaces per project, 3 different capacities (F4 / F8 / F32). Deployment Pipelines (built-in Fabric feature) automatizují propagaci.

Pattern 2: Per-domain workspaces

Sales / Marketing / Finance / Operations — každý vlastní workspace, vlastní data domain. Fabric Domains (preview) přidává meta-vrstvu pro klasifikaci.

Pattern 3: Personal sandboxes + central PROD

Každý analytik má vlastní personal workspace (Pro license sufficient), produkce workspace je central s Deployment Pipelines.

Demo arc 4.3

Demo 1: Tenant Admin Portal walkthrough

Live click-through:

1. Tenant settings — show 3-4 high-impact toggles
2. Capacity assignment — assign demo workspace
3. Audit log — search "view report" za posledních 7 dní

Demo 2: Capacity Metrics App deep-dive

1. Install z AppSource
2. Connect na lektorovu kapacitu
3. Show Compute report — drill: workspace → item → operation
4. Show Throttling tab — historic events
5. Story: „Tady vidíte, že DAX query na visual X tahá 0.5 CU/s sustained. To je 25% kapacity F2. Optimalizujte."

Demo 3: Deployment Pipeline

1. New Deployment Pipeline → 3 stages (DEV/TEST/PROD)
2. Assign workspaces
3. Compare DEV vs TEST → vidíš diff (visual change, measure change)
4. Deploy DEV → TEST → PROD with rules (parameter overrides per stage)

• Tenant Admin Portal: app.fabric.microsoft.com/admin-portal
• Capacity Metrics App: Instalace Capacity Metrics App (Learn)
• F-SKU pricing: https://azure.microsoft.com/en-us/pricing/details/microsoft-fabric/
• OneLake security: https://learn.microsoft.com/fabric/onelake/onelake-security
• Sensitivity labels: https://learn.microsoft.com/fabric/governance/information-protection
• Audit logs: https://learn.microsoft.com/fabric/admin/track-user-activities
• Deployment Pipelines: https://learn.microsoft.com/fabric/cicd/deployment-pipelines/intro-to-deployment-pipelines
• Purview integration: https://learn.microsoft.com/fabric/governance/microsoft-purview-fabric