4. Microsoft Purview账户与治理门户配置

Microsoft Purview 是 Azure 上用于统一数据治理、数据安全与合规管理的平台。要开始使用它，第一步是创建一个 Purview 账户，然后通过治理门户完成权限配置、数据源注册、扫描与资产浏览。本节围绕“账户—权限—门户—核心概念”这条主线，把从零到可用的关键操作讲清楚。

一、创建 Purview 账户

Purview 账户是一个独立的 Azure 资源，位于某个资源组和区域中。创建前需要确认：订阅已注册 Microsoft.Purview 资源提供程序；当前账号在该订阅或资源组上具有“参与者”或“所有者”角色；同时，Purview 账户需要一个托管资源组来存放其依赖资源（如存储、事件中心命名空间等）。

在 Azure 门户中搜索“Microsoft Purview accounts”，点击“创建”，填写以下关键字段：

• 订阅与资源组：选择承载 Purview 账户的订阅和资源组。
• 账户名：全局唯一，例如 purview-gov-demo-01。
• 位置：选择与数据源尽量接近的区域，例如“中国东部 2”或“East US”。
• 托管资源组：可让系统自动新建，也可指定已有资源组。
• 平台版本：选择“标准版”或“企业版”，企业版支持更多治理与安全能力。

创建完成后，在“概述”页可以看到 Purview 账户的“治理门户 URL”，形如 https://web.purview.azure.com。这个 URL 是后续所有治理操作的入口。

二、配置权限：把“谁能做什么”定清楚

Purview 的权限分为两层：一层是 Azure 资源层面的 RBAC，控制谁能管理 Purview 账户本身；另一层是 Purview 内部的角色，控制谁能访问目录、扫描数据源、管理资产。两者不能互相替代。

在 Azure 资源层面，常见角色包括：

• Purview 账户参与者：可管理账户配置，但不能直接读取目录内容。
• Purview 账户读者：可查看账户信息，适合审计人员。

在 Purview 治理门户内部，核心角色包括：

• 数据策展人（Data Curator）：可编辑资产元数据、分类、术语表，是日常治理的主力角色。
• 数据读者（Data Reader）：可浏览目录和资产，但不能修改。
• 数据源管理员（Data Source Administrator）：可注册数据源、配置扫描。
• 集合管理员（Collection Administrator）：管理集合层级与成员权限。

配置时，先在治理门户左侧进入“数据映射”→“集合”，为不同团队建立集合，例如“财务域”“市场域”“共享域”。然后在集合的“角色分配”中，把 Azure AD 安全组加入对应角色。建议按“组”授权，而不是按个人授权，便于后续维护。

三、访问治理门户与统一目录

治理门户是 Purview 的工作台。登录后，左侧导航通常包含“统一目录”“数据映射”“数据资产”“术语表”“洞察”等模块。统一目录（Unified Catalog）是面向数据消费者的搜索与发现入口，它把不同数据源、不同格式的资产统一成“资产卡片”，每张卡片包含名称、描述、所有者、分类、敏感度标签、血缘等信息。

在统一目录中搜索一个资产，例如“customer_sales”，可以看到它的技术元数据（列名、数据类型、存储位置）和业务元数据（业务描述、术语表关联、负责人）。如果该资产已被扫描并应用了分类规则，还会显示“分类”和“敏感度标签”。

四、数据资产与数据映射

数据资产（Data Asset）是 Purview 对“一个可治理的数据对象”的抽象，可以是一张表、一个文件、一个报表、一个 API 端点。数据映射（Data Map）则是 Purview 的元数据底座，它记录数据源、扫描、资产、分类、血缘之间的关系。可以这样理解：数据映射是“地图”，数据资产是“地图上的地点”，统一目录是“给用户看的地图界面”。

注册数据源时，需要在数据映射中创建“数据源”对象，填写连接信息（如 Azure SQL 的服务器名、数据库名、认证方式）。随后创建“扫描”，选择扫描规则集（系统默认或自定义），指定扫描范围（全库或特定表），并设置扫描计划（一次性或每周）。扫描完成后，资产会自动出现在统一目录中。

五、一个可复现的最小配置示例

假设我们要治理一个 Azure SQL 数据库 salesdb，可以按以下顺序操作：

1. 创建 Purview 账户 purview-gov-demo-01，区域选择“East US”，平台版本选择“企业版”。
2. 在 Azure 门户中，把安全组 sg-purview-admins 授予“Purview 账户参与者”，把 sg-data-stewards 授予“数据策展人”。
3. 登录治理门户，进入“数据映射”→“集合”，新建集合“Sales”，并把 sg-data-stewards 加入“数据策展人”角色。
4. 在“数据映射”中注册数据源：类型选“Azure SQL Database”，服务器填 sql-sales-demo.database.windows.net，数据库填 salesdb，认证方式选“托管标识”。
5. 创建扫描：选择默认规则集 AzureSqlDatabase，扫描范围选“所有表”，计划设为“每周一 02:00”。
6. 扫描完成后，在“统一目录”搜索 customer，确认资产已出现，并检查分类与敏感度标签是否正确。

判断配置是否成功，可以看三个信号：数据源状态为“已连接”；扫描运行历史中最近一次状态为“成功”；统一目录中能搜索到目标表，且资产卡片上显示列级元数据。如果扫描失败，优先检查托管标识是否被授予数据库的 db_datareader 权限，以及 Purview 账户的托管资源组是否可访问。

六、核心概念之间的关系

把上述内容串起来：Purview 账户是资源载体；Azure RBAC 决定谁能管理账户；治理门户是操作界面；数据映射是元数据底座；数据资产是映射中的具体对象；统一目录是面向用户的发现层；权限角色决定用户能在目录中看到什么、改什么。理解这层关系后，后续的扫描、分类、血缘、术语表等操作，都可以归位到“数据映射写入、统一目录读出”这一基本模型中。