Verwende für die meisten Kunden Einmaliges Anmelden (Single sign-on, SSO). Jede Anfrage verwendet dann die Fabric-Identität und Berechtigungen des angemeldeten Users.
Datenzugriff in Fabric auswählen
Wähle Einmaliges Anmelden (Single sign-on, SSO), wenn User mit ihrer eigenen Identität auf die Quellen zugreifen sollen. Sie benötigen Zugriff auf die API für GraphQL und die zugrunde liegenden Quellen. Fabric wertet die Quellberechtigungen und Sicherheitsregeln für den angemeldeten User aus.
Wähle Gespeicherte Anmeldeinformationen (Saved credentials), wenn alle User der API über eine zentral verwaltete Identität auf die Quelle zugreifen sollen. Fabric speichert diese Verbindung, nicht Langdock. User melden sich weiterhin über Microsoft OAuth in Langdock an und benötigen Zugriff auf die API für GraphQL. Fabric wertet den Zugriff auf die Quelle jedoch als gespeicherte Identität aus.
Jede API für GraphQL verwendet für alle Quellen eine gemeinsame Verbindungsoption. Microsoft dokumentiert die aktuellen Anforderungen in der Übersicht zur Authentifizierung und zu Berechtigungen.
Lese- und Schreibzugriff steuern
Fabric verwendet für Abfragen und Mutationen dieselbe API-Berechtigung Ausführen von Abfragen und Mutationen (Run Queries and Mutations). Unter Direkter Zugriff (Direct access) wird sie auch als Ausführen (Execute) angezeigt. Der tatsächliche Zugriff hängt weiterhin davon ab, was die API bereitstellt und welche Quellberechtigungen gelten.
Gewähre Usern oder Microsoft-Entra-Gruppen bei SSO nur den benötigten Zugriff auf die Quellen. Bei gespeicherten Anmeldeinformationen gilt das Least-Privilege-Prinzip stattdessen für die gespeicherte Identität. Verwende für größere Rollouts getrennte APIs für GraphQL für unterschiedliche Zielgruppen oder Anwendungsfälle. Stelle in jeder API nur die dafür relevanten Quellen, Objekte und Operationen bereit.
Das detaillierte Berechtigungsmodell und die Kontrollen der einzelnen Quellen werden von Fabric definiert. Nutze dafür die aktuellen Hinweise von Microsoft zum Berechtigungsmodell in Fabric und zur jeweiligen Quelle, etwa für Fabric SQL-Datenbanken oder Warehouses und SQL-Analyseendpunkte.
Mutationen sicher bereitstellen
Langdock verwendet getrennte Aktionen für GraphQL-Abfragen und -Mutationen. Die Abfrageaktion kann keine Mutation ausführen. Vor einer Mutation bittet Langdock den User um Bestätigung.
Fabric bestimmt, welche Quellen und Objekte Mutationen bereitstellen können. Wenn eine API für eine Zielgruppe schreibgeschützt bleiben soll, stelle in dieser API keine Mutationen bereit oder gewähre ihrer Quellidentität keinen Schreibzugriff. Beachte die aktuellen Hinweise von Microsoft zu unterstützten Quellen und Operationen und GraphQL-Einschränkungen.
Für kontrollierte Geschäftsoperationen kannst du eine gespeicherte Prozedur bereitstellen, die ihre Eingaben validiert und die vollständige Änderung ausführt. Microsoft beschreibt, wie du gespeicherte Prozeduren mit der Fabric-API für GraphQL verwendest.
Stelle eine gespeicherte Prozedur, die Daten ändern kann, als GraphQL Mutation bereit. Langdock wählt die Lese- oder Schreibaktion anhand des deklarierten GraphQL-Operationstyps. Eine datenändernde Prozedur, die als Query bereitgestellt ist, würde daher wie eine Leseoperation behandelt.
Individuelle Zugriffe in geteilten Agents und Workflows bewahren
Wähle für geteilte Agents und Workflows, in denen die individuellen Fabric-Zugriffe gelten sollen, für die Fabric-Aktionen Ihre eigenen Zugangsdaten. Jeder User verbindet sein eigenes Microsoft-Konto. Eine API mit SSO verwendet dann die Fabric-Berechtigungen des jeweiligen Users.
Eine vorausgewählte Langdock-Verbindung führt die Aktionen als Owner dieser Verbindung aus. Eine API mit gespeicherten Anmeldeinformationen greift unabhängig von der aufrufenden Langdock-Verbindung immer als gespeicherte Fabric-Identität auf ihre Quellen zu.
