Power BI - Bezpieczeństwo: RLS, OLS i etykiety poufności
Etykieta poufności wyszarzona w Power BI Desktop
W skrócie
Przycisk Poufność na karcie Narzędzia główne w Power BI Desktop jest wyszarzony, więc etykiety poufności nie da się nadać plikowi. Tak wyglądał w kursie Power BI na koncie środowiska demonstracyjnego, choć sam Desktop działał poprawnie.
Przyczyna leży po stronie organizacji: etykiety muszą być utworzone i opublikowane w Microsoft Purview, a w portalu administracyjnym Power BI włączone ustawienie Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości. Dochodzą licencje i logowanie.
Sprawdzasz logowanie i licencję Pro albo PPU, a administrator tworzy i publikuje etykiety oraz włącza ustawienie dzierżawy dla całej organizacji albo Twojej grupy. Potem przycisk pokazuje listę etykiet, a nadana etykieta widnieje na pasku stanu.
Firma każe oznaczać pliki jako poufne albo wewnętrzne, a przycisk Poufność w Power BI Desktop jest szary i nie reaguje. Wyszarzona etykieta poufności w Power BI rzadko jest jednak problemem samego Desktopu. Zbieramy warunki, które według dokumentacji Microsoft muszą być spełnione, opisujemy, co widzieliśmy w kursie na pustej konfiguracji, i podpowiadamy, co zgłosić administratorowi.
Jak to wygląda w praktyce
Na karcie Narzędzia główne, w grupie Poufność, przycisk o tej samej nazwie jest nieaktywny i nie rozwija listy etykiet. Tak było w lekcji 22, na koncie środowiska demonstracyjnego. W portalu Microsoft Purview, w sekcji Ochrona informacji, lista Etykiety poufności była pusta (Liczba elementów: 0), a w portalu administracyjnym Power BI ustawienie Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości było wyłączone dla całej organizacji.
Desktop nie pokazuje przy tym komunikatu o błędzie. Po poprawnej konfiguracji nadana etykieta pojawia się na pasku stanu. Gdy organizacja wymaga etykiety na każdym pliku, Desktop prosi o nią przy zapisie komunikatem „Aby zapisać ten plik, nadaj mu etykietę poufności. Wybierz poufność na wstążce z narzędziami głównymi.” (w angielskiej wersji: „To save this file, give it a sensitivity label. Select sensitivity on the home ribbon.”).
Przycisk Poufność w grupie o tej samej nazwie jest nieaktywny. To nie usterka Power BI, tylko stan organizacji: etykiet nie ma albo nie są dostępne dla Twojego konta. Ramkę dodaliśmy my.
Etykiety poufności nie powstają w Power BI. Pochodzą z Microsoft Purview Information Protection i według dokumentacji Microsoft przycisk działa dopiero wtedy, gdy spełnione są wszystkie warunki naraz. Pierwszy: administrator Microsoft 365 tworzy etykiety w portalu Microsoft Purview i publikuje je zasadą dla użytkowników albo grup. W Desktopie etykiety widzą tylko osoby, którym je opublikowano. Drugi: administrator Power BI włącza na stronie Ustawienia dzierżawcy, w sekcji Ochrona informacji, ustawienie Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości, dla całej organizacji albo dla wybranych grup zabezpieczeń. Gdy włączył je tylko dla wybranych grup, a Ciebie w nich nie ma, według dokumentacji polecenie Poufność nie będzie dla Ciebie dostępne.
Trzeci warunek to licencje i logowanie. Według dokumentacji do nadawania etykiet w Desktopie potrzebujesz licencji Power BI Pro albo Premium na użytkownika (PPU) i musisz być zalogowany, a organizacja potrzebuje licencji Azure Information Protection Premium P1 albo P2. Wersja Power BI Desktop dla serwera raportów nie obsługuje ochrony informacji. Dlatego na pytanie, czemu nie da się nadać etykiety, odpowiedź leży zwykle w konfiguracji organizacji, a nie w pliku. Różnice między licencjami opisujemy w poście o licencjach Free, Pro i Premium na użytkownika.
Co zrobić krok po kroku
Sprawdź, czy jesteś zalogowany w Power BI Desktop kontem służbowym. Według dokumentacji Microsoft bez logowania etykiety nie nadasz, a ochrona informacji w Power BI nie obsługuje scenariuszy B2B ani wielu dzierżaw, więc liczy się konto w organizacji, która opublikowała etykiety.
Sprawdź licencję. Do nadawania etykiet w Desktopie potrzebna jest licencja Power BI Pro albo PPU. Z licencją Free według dokumentacji nadasz etykietę w usłudze tylko elementom w obszarze Mój obszar roboczy, przy spełnieniu pozostałych warunków.
Poproś administratora Microsoft 365 o etykiety. W portalu Microsoft Purview, w sekcji Ochrona informacji, na liście Etykiety poufności tworzy je przyciskiem Utwórz etykietę, a przyciskiem Opublikuj etykiety zakłada zasadę, która udostępnia je Tobie albo Twojej grupie. Według dokumentacji Microsoft etykiety muszą być zdefiniowane i opublikowane, zanim administrator Power BI włączy je w dzierżawie.
Poproś administratora Power BI o ustawienie dzierżawy. W usłudze otwiera Portal administracyjny, przechodzi na stronę Ustawienia dzierżawcy, w sekcji Ochrona informacji rozwija Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości, włącza przełącznik, wybiera całą organizację albo konkretne grupy zabezpieczeń i klika Zastosuj. Dokumentacja dodaje, że osoba z tym prawem potrzebuje też uprawnień do tworzenia i edycji elementu, który oznacza.
Sprawdź wydanie Desktopu. Według dokumentacji etykiety działają w wydaniu z grudnia 2020 i nowszych, a nie działają w Power BI Desktop dla serwera raportów. Przy zapisie pliku z etykietą jako projekt .pbip Desktop ostrzega: „Plik PBIX ma etykietę poufności, która szyfruje zarówno dane, jak i metadane. Po zapisaniu jej jako projektu usługi Power BI (PBIP) etykieta pozostanie niezmieniona, ale dane ani metadane nie zostaną objęte żadną ochroną.” (w angielskiej wersji: „Your PBIX file has a sensitivity label that encrypts both its data and metadata. When you save it as a Power BI Project (PBIP), the label will remain, but no protection will be applied to the data or metadata.”).
Po zmianach po stronie organizacji nadaj etykietę: kliknij Poufność i wybierz etykietę z listy. Według dokumentacji Microsoft pojawi się na pasku stanu, przy publikacji przejdzie na raport i model semantyczny w usłudze, a przy eksporcie raportu do Excela, PowerPointa i PDF na wyeksportowany plik. Usunąć etykietę można tylko w Power BI Desktop.
Jak sprawdzić, że problem zniknął
Naprawione, gdy przycisk Poufność rozwija listę etykiet, a po wyborze nazwa etykiety widnieje na pasku stanu Desktopu. Po publikacji sprawdź w usłudze, czy raport i model mają tę samą etykietę. Według dokumentacji Microsoft w usłudze etykieta nie zmienia dostępu do treści: o tym, kto co widzi, decydują uprawnienia Power BI, a o wierszach i kolumnach role RLS i OLS, opisane w poście o ukryciu kolumny i OLS. Ustawienia szyfrowania etykiety działają na plikach eksportowanych z usługi i na pliku .pbix w Desktopie.
Nową osobę w zespole wystarczy dopisać do grupy zabezpieczeń, dla której administrator opublikował etykiety i włączył ustawienie dzierżawy. Co trafia do pliku przy eksporcie oznaczonego raportu, opisujemy w poście o eksporcie do PDF i PowerPointa.
Źródła i sposób sprawdzenia
Microsoft Learn: Apply sensitivity labels in Power BI (wymagania w Power BI Desktop) (źródło)
Microsoft Learn: Enable sensitivity labels in Fabric and Power BI (licencje, ustawienie dzierżawy) (źródło)
Microsoft Learn: Sensitivity labels in Power BI (Desktop, eksport, ograniczenia) (źródło)
Kurs Power BI, lekcja 22: etykiety poufności i wyszarzony przycisk Poufność (Purview z zerową liczbą etykiet, ustawienie dzierżawy wyłączone)
Zachowanie programu sprawdziliśmy w Power BI Desktop 2.157 (wydanie z sierpnia 2026 r.) z polskim interfejsem, a przykłady na modelu sieci Nordvella z bezpłatnego kursu Power BI. Microsoft wydaje nową wersję Power BI Desktop co miesiąc, więc nazwy przycisków i limity usługi mogą się zmieniać. Aktualne wartości podaje dokumentacja Microsoft Learn.
Dlaczego przycisk Poufność jest wyszarzony w Power BI Desktop?
Najczęściej organizacja nie utworzyła i nie opublikowała etykiet w Microsoft Purview albo administrator Power BI nie włączył ustawienia Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości dla Ciebie lub Twojej grupy. Według dokumentacji Microsoft potrzebne są też licencja Pro albo PPU i zalogowanie w Desktopie.
Jaka licencja jest potrzebna do etykiet poufności w Power BI?
Według dokumentacji Microsoft autor potrzebuje licencji Power BI Pro albo Premium na użytkownika, a organizacja licencji Azure Information Protection Premium P1 albo P2. Z licencją Free etykietę w usłudze nadasz tylko elementom w obszarze Mój obszar roboczy.
Gdzie włączyć etykiety poufności w Power BI?
W portalu administracyjnym Power BI, na stronie Ustawienia dzierżawcy, w sekcji Ochrona informacji. Ustawienie nazywa się Zezwalaj użytkownikom na stosowanie etykiet poufności dla zawartości i można je włączyć dla całej organizacji albo dla wybranych grup zabezpieczeń. Wcześniej etykiety muszą być utworzone i opublikowane w Microsoft Purview.
Czy etykieta poufności ogranicza dostęp do raportu w usłudze Power BI?
Według dokumentacji Microsoft nie. W usłudze dostęp zależy od uprawnień Power BI, a ustawienia szyfrowania etykiety działają na plikach eksportowanych z usługi, na przykład do Excela, PowerPointa i PDF, oraz na pliku .pbix w Desktopie. Wiersze i kolumny ogranicza się rolami RLS i OLS.
Komentarze (0)
Brak komentarzy...