Azure Synapse Workspace中仅允许查询专用SQL池数据的角色权限问询

仅分配“Synapse User”角色不足以完全满足你的需求，具体原因和正确配置方式如下：

核心问题分析 #

1. Synapse User角色的权限边界

   • 该角色是工作区级别的RBAC角色，仅能控制用户对Synapse Studio及工作区全局资源的访问：它确实会禁止用户创建管道、修改工作区设置，也不允许用户创建/修改/删除工作区内的各类资源（如链接服务、数据集等）。
   • 但它不会自动赋予用户对专用SQL池的查询权限——对SQL池内数据的访问控制需要在数据库层面单独配置。

2. 默认Synapse User的额外权限

   • 用户拥有该角色后，仍可在Synapse Studio中浏览工作区内的所有资源（包括管道、数据集的配置信息），如果你的需求包含禁止这类浏览操作，还需要自定义更严格的RBAC角色，但这不属于你当前核心需求的范畴。

满足需求的正确配置步骤 #

• 第一步：为用户分配Synapse User角色，确保其无法执行创建管道、修改工作区设置等操作。
• 第二步：在目标专用SQL池的数据库中，为用户分配db_datareader数据库角色（或针对特定表/视图授予SELECT权限），以此赋予用户仅查询该池内数据的权限。

内容的提问来源于stack exchange，提问作者xmlapi