Toegang en rollen¶

Toegang tot het platform loopt via Entra ID-groepen. Individuele gebruikers krijgen in de configuratie geen rollen toegewezen. Workspace-rollen zijn Fabric-rollen (beheerd met de resource fabric_workspace_role_assignment), geen Azure RBAC-rollen.

Workspace-rollen¶

Elke workspace kan voor elk van vier rollen een groep hebben. Alle vier zijn optioneel in de configuratie.

Rol	Wat hij toestaat
Admin	Volledige controle over de workspace: instellingen beheren, gebruikers en groepen toevoegen en verwijderen, functies op workspace-niveau configureren. Heft de toegang van de deployende service principal niet op.
Contributor	Items in de workspace aanmaken, bewerken en verwijderen. Krijgt gebruiksrechten op de connections van de workspace (zie hieronder).
Member	Uitgebreide rechten, inclusief beheer van workspace-instellingen.
Viewer	Alleen-lezentoegang tot items in de workspace.

De groepen worden opgegeven als Object ID of als weergavenaam. De ID heeft voorrang als beide zijn ingesteld. De weergavenaam wordt tijdens het plan opgelost.

Eén rol per groep

Fabric dwingt één rol per principal per workspace af. Gebruik voor elke rol een andere groep. De configuratie bevat een controle die dezelfde groep in twee rollen meldt, en Fabric wijst het af tijdens de apply.

De optionele Admin-groep¶

Met de rol Admin kan je team workspace-instellingen en gebruikers beheren zonder voor elke wijziging een ticket aan te maken. Configureer hem met admins_group_id op elke workspace.

Wat een workspace-admin kan:

gebruikers en groepen toevoegen en verwijderen voor Contributor, Member en Viewer,
workspace-instellingen beheren (beschrijving, sensitivity labels, endorsement),
functies op workspace-niveau configureren (lineage, instellingen voor Git-integratie),
workspace-items verwijderen en toegangsverzoeken beheren.

Wat een workspace-admin niet kan:

de capacity van de workspace wijzigen (beheerd door het platform),
de network policies wijzigen (beheerd door het platform via Terraform),
de toegang van de deployende service principal verwijderen, die als maker van de workspace impliciete adminrechten houdt.

Wat je aanlevert¶

Onderdeel	Wie	Opmerkingen
Entra ID-securitygroep per omgevingsgrens	Workload team of je identiteitsteam	Bijvoorbeeld één voor productie- en pre-productieworkspaces en één voor ontwikkelworkspaces
Object ID van elke groep	Workload team, aan het platformteam
Groepslidmaatschap	Workload team	Je voegt je eigen mensen toe

Het platformteam voegt de Object ID toe aan de workspaceconfiguratie en deployt. Het plan toont dan alleen toevoegende wijzigingen (een nieuwe role assignment). Workspaces worden niet opnieuw aangemaakt en er wordt niets verstoord. Om terug te draaien verwijder je de groep uit de configuratie: de volgende deployment verwijdert de assignment.

Drift en handmatige role assignments¶

Terraform beheert alleen de assignments die het zelf aanmaakt.

Als een workspace-admin in de Fabric-portal extra assignments toevoegt, ziet Terraform ze niet en draait het ze niet terug. Het platform beheert de baseline, het workload team beheert de extra's.
Als iemand een assignment verwijdert die Terraform beheert, maakt de volgende deployment hem opnieuw aan.

Problemen oplossen¶

Symptoom	Oorzaak	Oplossing
`409 Conflict` tijdens de deployment	De groep was al handmatig als Admin toegewezen in de Fabric-portal	Het platformteam voegt een tijdelijk Terraform `import`-blok voor de assignment toe (ID: `<workspace id>/<principal id>`), deployt één keer en verwijdert het blok weer. Of verwijder eerst de handmatige assignment.
Waarschuwing van de controle `unique_role_groups`	Dezelfde groep wordt voor twee rollen gebruikt	Gebruik verschillende groepen, of verwijder het duplicaat
De admingroep ziet de workspace niet	Verkeerde Object ID, of de groep heeft geen leden	Controleer de ID in Entra ID en zorg dat de groep minstens één lid heeft

Gebruiksrechten op connections¶

De connections die het platform aanmaakt, worden met de connectionrol User gedeeld met groepen:

Connection	Groepen die de rol `User` krijgen in de code
ADLS, SQL (beide authenticatietypen), Oracle Cloud Storage	De Contributor-groep van de workspace
GitHub-connection van een workspace met een Git-koppeling	De Contributor-groep en de Member-groep van de workspace

De servicebeschrijving zegt dat Contributors en Members gebruiksrechten krijgen op workspace-connections. Vraag je platformteam welke groepen in jouw deployment worden toegepast.

Capacity-rollen¶

Rol	Waar	Wie
Capacity administrator	Op de Fabric capacity	Service principals van de spokes die naar de capacity deployen, en optioneel individuele gebruikers. Groepen kunnen deze rol niet hebben.
Fabric Capacity Operator (custom Azure-rol)	Op de gedeelde resource group	De Logic Apps voor pauzeren en hervatten, en de Entra ID-groepen die handmatig mogen pauzeren en hervatten. Zie Kostenoptimalisatie.

Overige toegang¶

Resource	Toegangsmodel
Managed Grafana	Drie eigen Entra ID-groepen voor Admin, Editor en Viewer. Ze staan los van de Fabric-workspacegroepen: toegang tot Grafana is geen toegang tot Fabric. Zie Monitoring.
Microsoft Purview	De deployende principal heeft Contributor op het account, een optionele groep van het datateam heeft Reader. Zie Governance.
Data lake storage	Alleen OAuth. De service principal die deployt heeft Storage Blob Data Contributor.
Key Vault	Secrets voor connections worden door de deployment identity gelezen als de pipeline draait.

Toegangsaanvragen volgen het normale wijzigingsproces: Aanvragen en wijzigen. Algemene regels voor groepen en just-in-time-toegang op het platform staan bij Toegang, groepen en PIM.