Hola @kkitsara ,
Para solucionar el problema, el enfoque principal debe estar en configurar correctamente la propagación de identidades entre Power BI y Databricks. Actualmente, parece que se está utilizando la identidad del desarrollador del informe, lo que impide que la seguridad de nivel de fila (RLS) se aplique según lo previsto. A continuación, te explicamos cómo puedes resolver este problema.
En primer lugar, confirme que el conector de Databricks de Power BI está configurado para el inicio de sesión único (SSO) con la solución de OIDC personalizada. Esto implica asegurarse de que el cliente OIDC usado por Databricks pueda aceptar tokens específicos del usuario de Power BI y pasar esos tokens para la verificación de identidad. Debe comprobar que la configuración de OIDC permite la transmisión de notificaciones como userPrincipalName o correo electrónico, que pueden identificar de forma única a los usuarios que acceden a los datos.
En el servicio Power BI, vaya a la configuración del conjunto de datos asociado al informe. En la configuración del conjunto de datos, asegúrese de que la opción SSO esté habilitada. Esto garantiza que Power BI esté configurado para pasar las credenciales de usuario a Databricks en lugar de usar un conjunto de credenciales estático. Para que esto funcione, el modo DirectQuery debe estar configurado para usar la identidad del visor para consultar el origen de datos. Además, confirme que el área de trabajo de Databricks reconoce y procesa la identidad de usuario pasada a través de Power BI.
En el lado de Databricks, debe implementar la seguridad de nivel de fila (RLS) mediante atributos específicos del usuario. Por ejemplo, la tabla puede incluir una columna para el nombre de usuario y las consultas SQL pueden filtrar filas mediante una función como current_user() o un atributo similar asignado desde el token de usuario. Esto garantiza que solo se pueda acceder a los datos correspondientes al usuario que ha iniciado sesión.
Las pruebas son cruciales. Use diferentes cuentas de usuario para acceder al informe publicado en Power BI Service y observe si los registros de Databricks indican la identidad de usuario correcta para cada consulta. Si todas las consultas parecen originarse en la identidad del desarrollador, apunta a un problema con la propagación de la identidad en la configuración de SSO.
Si el cliente OIDC personalizado no admite la suplantación de usuarios de forma nativa, es posible que necesite una capa de autenticación adicional. Puede tratarse de un servicio de middleware que asigna identidades de usuario de Power BI a tokens compatibles con Databricks de forma dinámica, lo que garantiza una suplantación adecuada.
Al alinear correctamente la configuración del conjunto de datos de Power BI, la configuración de autenticación de Databricks y las reglas de RLS, puede exigir que cada visor use su propia identidad para acceder a los datos, manteniendo la integridad del filtrado de nivel de fila.
¿Respondí a tu pregunta? ¡Marca mi publicación como una solución!
