能否为报表团队授予Kusto函数只读权限且不开放底层表访问？

完全可以实现让报表开发团队仅能调用指定函数、无法直接查询底层表的需求，具体通过以下权限组合和函数配置实现：

• 核心配置：函数调用上下文设置
  将你编写的函数配置为invoke as owner模式，这样用户调用函数时，会以函数所有者（集群管理员）的权限访问底层表，无需用户本身拥有底层表的访问权限。创建或修改函数时可通过语法指定：

  .create-or-alter function with (invoke_as = 'owner') MyReportFunction() {
      // 你的函数逻辑（包含right joins、hints等）
  }
  

• 权限组合配置

  1. 不给报表开发团队授予任何底层表的直接访问权限（比如Table Reader角色），确保他们无法直接查询表数据。
  2. 给报表开发团队授予目标数据库的Database User角色，同时单独授予他们调用指定函数的权限：

     .add database MyDatabase users ('aadgroup=报表开发团队@domain.com')
     .grant execute function on database MyDatabase to ('aadgroup=报表开发团队@domain.com')
     

  这样他们仅能调用函数获取结果，无法直接操作底层表。

• 函数更新说明
  你作为管理员拥有函数的Function Admin角色，可随时修改函数字段或逻辑，报表团队调用时会自动获取最新版本，无需额外调整权限。

内容的提问来源于stack exchange，提问作者caramel