Seguridad OLS en modelos compuestos

[Syndicate_Admin]

Me interesaría saber si OLS Security puede funcionar en un entorno de modelo compuesto. Para ser precisos, tengo un modelo con muchas tablas de hechos. Pero no todas las tablas de hechos deben ser visibles y accesibles para todos los usuarios. Tengo un modelo central donde todas las dimensiones se han incluido en modo de importación, donde como las tablas de hechos se han agregado de forma remota (conjuntos de datos PBI). El propósito de hacerlo de esta manera es limitar el tamaño del modelo a menos de 1 GB, ya que solo estamos usando licencias de Power BI Pro. Sin embargo, notamos que OLS no funcionará en las tablas remotas. Por lo tanto, esas tablas permanecerán accesibles cuando se implementen para los usuarios.

¿Hay alguna solución alternativa para la restricción anterior?

Gracias

Veemal

[Syndicate_Admin]

Hola

Si miras hacia abajo https://powerbi.microsoft.com/en-us/blog/directquery-for-power-bi-datasets-and-azure-analysis-servic... verá que en el "Comportamiento a tener en cuenta" habla específicamente sobre RLS, pero lo mismo se aplica a OLS.

Creo que si define las reglas ols en el conjunto de datos central en lugar de su modelo local, debería funcionar.

Una cosa a tener en cuenta es cómo ha concedido permisos de compilación en el conjunto de datos central. Estos son necesarios para que los modelos compuestos funcionen, sin embargo, si asigna roles de miembro/contribuido/administrador a las personas en el área de trabajo del conjunto de datos central, se deshabilita RLS/OLS. Desea eliminar usuarios del área de trabajo y asignar directamente solo permisos de compilación y tener el informe en un área de trabajo independiente. (Es posible que los conjuntos de datos entre espacios de trabajo deban habilitarse en la configuración tennant)

[Syndicate_Admin]

de hecho, este es el problema al que me enfrento. En el dataset central (Dimensiones importadas), cuando intento establecer la seguridad OLS en las tablas de consulta directa, encuentro un error en el editor tabular de la siguiente manera:

Por lo tanto, no puedo establecer ninguna seguridad en las tablas de consulta directa en este momento.

[Syndicate_Admin]

Parece que está tratando de aplicar el OLS en su modelo compuesto (está diciendo que se está accediendo a esas tablas a través de una consulta directa).

Para usar OLS, debe establecer los roles relevantes para esas tablas en su propio conjunto de datos (por ejemplo, al que se está conectando actualmente)

[Syndicate_Admin]

Lo hice y lo probé en el escritorio PBI desde el conjunto de datos principal. He comprobado lo mismo usando la función 'ver como', pero no veo ninguna diferencia, es decir, el hecho de que las tablas que he hecho ocultas a través de OLS todavía se pueden ver cuando uso el papel de ese usuario en particular.

¿Necesito publicar el modelo de conjunto de datos principal y comprobar si funciona en el espacio de trabajo?

Gracias

Veemal

[Syndicate_Admin]

Hola @VeemalS, la buena noticia es que OLS ciertamente funciona en modelos compuestos. Sin embargo, ¡es un violín para comprobarlo!.

Me referiré a los dos modelos de la siguiente manera:

Base: su conjunto de datos principal de power bi.

Composite - su nuevo modelo compuesto.

Para proteger las tablas en el modelo base, debe establecer el OLS/RLS dentro de ese modelo.

Si publica ambos en el servicio y agrega usuario a los roles correctos en el modelo base, funcionará.

Sin embargo, no puedo encontrar una manera fácil de probarlo dentro del servicio. "Ver como rol" en el modelo compuesto solo suplanta los roles de ese modelo, no el básico.

La única forma en que pude probarlo fue la siguiente (necesita premium por usuario / capacidad premium para conectarse al punto final xlma).

1) Agregue un usuario de prueba al rol OLS en el conjunto de datos base (el usuario necesita permisos de compilación en ambos conjuntos de datos, pero no puede ser nada más alto que el visor en el área de trabajo).

2) Abra DAX Studio y conéctese a su punto final de XLMA para el espacio de trabajo, pero expanda Opciones avanzadas e ingrese su usuario de prueba en "Nombre de usuario efectivo"

3) Use el menú desplegable para seleccionar su modelo compuesto:

4) En mi ejemplo, RemoteMember tiene OLS aplicado. Parece que no ha funcionado, pero si intenta consultarlo, obtiene lo siguiente:

Espero que eso ayude. Si no tiene un punto final XMLA, tendría que conseguir que un usuario lo pruebe con usted. No puede probarse a sí mismo porque tendrá derechos de alto rendimiento en el espacio de trabajo.

Podría intentar escribir esto como una publicación de blog dando un poco más de detalle.

[Syndicate_Admin]

¡Acabo de darme cuenta de que hay una manera más fácil de probar directamente en servicio!

La misma configuración que la anterior, pero agregué un rol de seguridad vacío en el conjunto de datos compuesto solo para habilitar cosas en el servicio. Una vez hecho esto, si entra en seguridad para el modelo compuesto y prueba como rol:

Esto por sí solo no lo hará, ya que solo está probando el rol local en el modelo compuesto. Sin embargo, una vez allí en la parte superior, puede hacerse pasar por un usuario de prueba:

[Syndicate_Admin]

Estoy lejos de una computadora en este momento, pero tan pronto como pueda configuraré un entorno de prueba para verificar que pueda funcionar.