Connectiviteit

Deze pagina legt uit hoe workspaces databronnen bereiken: de connectietypen die het platform voor je aanmaakt, wat je zelf moet aanleveren en de outbound-regels eromheen. Voor het netwerkontwerp erachter, zie Architectuur.

Referentieontwerp, jouw deployment kan afwijken

De connectietypen en standaardwaarden hieronder zijn die van de code van de oplossing. Vraag je platformteam welke zijn ingeschakeld.

Twee manieren om een bron te bereiken

Manier	Gebruik het wanneer	Hoe het werkt
VNet data gateway	De bron in het spoke-netwerk staat, of on-premises bereikbaar is via ExpressRoute of VPN	Fabric-connections worden geconfigureerd om de gateway van de omgeving te gebruiken. De workspace mag alleen die gateway gebruiken.
Managed private endpoint	De bron een Azure-resource is die Private Link ondersteunt (bijvoorbeeld Storage of SQL), of een andere Fabric workspace	Een directe privéverbinding per resource. Gebruikt meestal de gateway niet.

Uitgaand verkeer van een workspace is standaard geblokkeerd. Het verlaat de workspace alleen via de gateway of een managed private endpoint (zie Workspace network policy).

Connections via de gateway

Alle onderstaande connections gebruiken het connectiviteitstype VirtualNetworkGateway en de gateway van de capacity van de workspace. De weergavenaam van een connection is de key die je in de configuratie kiest. De credentials worden gelezen uit de Key Vault van de spoke op naam van het secret wanneer de pipeline draait. Ze worden nooit in de repository opgeslagen.

Type	Authenticatie	Wat je aanlevert
ADLS	Service principal met client secret	Containernaam, en de namen van de secrets met de client-ID en het client secret
SQL (service principal)	Service principal met client secret	Server, database, en de namen van de secrets voor client-ID en client secret
SQL (basic)	Gebruikersnaam en wachtwoord, voor databases met SQL-authenticatie	Server, database, en de namen van de secrets voor gebruikersnaam en wachtwoord
Oracle Cloud Storage	Basic (gebruikersnaam en wachtwoord)	API-endpoint, en de namen van de secrets voor gebruikersnaam en wachtwoord

Opmerkingen:

• De ADLS-connection wijst naar een container van het eigen data lake storage account van de omgeving (het DFS-endpoint). Het platform maakt de container aan voor elke ADLS-connection. De service principal in de secrets heeft toegang nodig tot het storage account, wat buiten deze oplossing om wordt geregeld.
• Voor SQL met een service principal (en voor andere bronnen op basis van Entra ID) heeft de service principal toegang nodig tot de bron. Het platform verleent die niet. Standaard wordt de service principal van de spoke gebruikt, maar je kunt via de namen van de secrets naar een aparte verwijzen.
• Alleen de bovenstaande connectietypen worden door de oplossing aangemaakt. De repository bevat ook een referentie-export uit de Fabric- API van de connectietypen die Fabric als ondersteund voor een VNet data gateway vermeldt (docs/reference/fabric_vnet_connection_types.json in de repository van de oplossing). Gebruik die om te controleren of een type kan worden toegevoegd, wat een ontwikkelwijziging zou zijn.
• De gateway gaat na 30 minuten inactiviteit slapen en wordt bij het volgende verzoek weer wakker.
• Gebruiksrechten op connections worden aan groepen gegeven, zie Toegang en rollen.

Van workspace naar workspace

Een workspace-naar-workspace-connection maakt een managed private endpoint van de ene workspace naar een andere workspace van het platform (via de Private Link Service van de doelworkspace). Daarmee kunnen Lakehouses en Warehouses van de andere workspace worden gebruikt. Voor elke zodanige connection voegt het platform de doelworkspace ook toe aan de allowed list van outbound cloud connections van de bronworkspace voor de connectietypen LakeHouse en Warehouse, met de standaardactie Deny en Power BI semantic models toegestaan.

De allowed list werkt alleen met outbound protection aan

Fabric dwingt deze connectieregels alleen af als de standaard outbound-actie van de workspace Deny is. Met outbound protection uit geeft de aanroep 403 terug, slaat de deployment de stap over en worden de regels niet afgedwongen. Zie Workspace network policy.

Managed private endpoints naar Azure-resources

Je levert de resource-ID van het doel en het sub-resourcetype (bijvoorbeeld blob of dfs voor een storage account). De endpoint wordt in de workspace aangemaakt met de naam pe-<workspace name>-<key>.

Git-integratie

Een workspace kan voor versiebeheer aan een Git-repository worden gekoppeld. De oplossing ondersteunt GitHub (inclusief een eigen GitHub-domein).

Onderdeel	Waarde
Configuratie	Owner, repository, branch en directory. De directory moet in de repository bestaan.
Credential	Een personal access token dat wordt gelezen uit een Key Vault-secret met een vaste naam (GitHub-PAT) in de Key Vault van de spoke
Connection	Een Fabric-connection van het type GitHubSourceControl via de VNet data gateway, privacyniveau Private
Eerste sync	De inhoud van de workspace wint (PreferWorkspace)
Netwerk	Een benoemde outbound-uitzondering voor Git, alleen toegepast op workspaces met een Git-koppeling en outbound protection aan
Tenant setting	GitHub-toegang moet zijn ingeschakeld in het Fabric admin portal (Vereisten)

In de basisopzet heeft alleen de ontwikkelworkspace een Git-koppeling. Productieworkspaces worden via CI/CD-pipelines gedeployd. Als je de Git-koppeling uit de configuratie haalt, wordt Git losgekoppeld van de workspace.

Toegang voor developers

Developers bereiken de workspaces via VPN of ExpressRoute. Zonder verbinding met het platformnetwerk is er geen pad naar de workspace.

Aanvragen

Voeg een connection toe, wijzig of verwijder die via Aanvragen en wijzigen. Vermeld de omgeving, de workspace, de bron en, voor credentials, de namen van de secrets (nooit de waarden).