Flujos de trabajo

Workspace identity y service principals: deje de refrescar como una persona

Por Adrien Yvin ·

fabricservice-principalworkspace-identityrefreshsecurity

Cuando el lead de BI se va, el refresh muere. Cada conexión como su usuario es una bomba.

Dos patrones no humanos

Workspace identity (Fabric): identidad del workspace, acceso a orígenes in-platform, menos secretos.

Service principal: app Entra, aún necesaria para gateway, Azure SQL, CLI/REST. Secret/cert + rotación + grupo owner.

Menor privilegio

Acceso al origen, no Contributor en la suscripción. Refresh = lectura Gold. Identidad de pipeline ≠ viewers RLS.

Gateway

Cuenta de servicio (gMSA si puede), no un admin con nombre. En cloud: SP / workspace identity, no el token OAuth de quien se va.

Runbook de rotación

Owner = grupo. Calendario de expiry. Dual-run Dev → Test → Prod. Break-glass nombrado.

Exporte conexiones OAuth2 con UPN de usuario: ese es el backlog.

¿Sacar un tenant de credenciales personales sin una caída el lunes? Reserve una llamada de 30 minutos.