Implementing Row-Level Security (RLS) in Power BI
9/19/2025•3 mins read
Implementing Row-Level Security (RLS) in Power BI
Bảo mật hàng loạt là gì?
Bảo mật cấp hàng (RLS) là một công cụ tiện dụng giúp nhà phát triển và quản trị viên kiểm soát dữ liệu nào mỗi người dùng có thể xem trong báo cáo hoặc tập dữ liệu Power BI. Hãy hình dung nó như một cách để thiết lập các quy tắc về việc ai được xem gì, dựa trên từng hàng dữ liệu. Nếu bảo mật cấp đối tượng là ẩn toàn bộ cột hoặc bảng, thì RLS là việc cụ thể hóa từng hàng.
Cách thức hoạt động như sau: nhà phát triển thiết lập một số hướng dẫn trong Power BI, tạo các quy tắc xác định dữ liệu nào sẽ hiển thị cho nhiều vai trò khác nhau hoặc thậm chí cho từng người dùng.
Tại sao bạn nên quan tâm đến RLS? Nó rất quan trọng để giữ an toàn cho dữ liệu của bạn. Với RLS, bạn có thể đảm bảo rằng mọi người trong tổ chức chỉ nhìn thấy thông tin họ cần và không có gì khác. Điều này đồng nghĩa với việc dữ liệu nhạy cảm, chẳng hạn như bảng lương hoặc số liệu bán hàng, sẽ được bảo vệ. Nếu không có RLS, bạn có nguy cơ để lộ thông tin mật cho những người không được phép truy cập.
Các trường hợp sử dụng bảo mật cấp hàng trong thực tế
RLS dựa trên Ngành nghề Kinh doanh: Loại RLS này hoàn hảo cho các công ty muốn cấp cho người dùng quyền truy cập vào dữ liệu cụ thể của một ngành nghề kinh doanh, sản phẩm, dịch vụ hoặc phòng ban cụ thể. Ví dụ: một công ty có nhiều ngành hàng có thể đảm bảo rằng đội ngũ bán hàng của Sản phẩm A chỉ nhìn thấy dữ liệu liên quan đến Sản phẩm A, trong khi đội ngũ Sản phẩm B chỉ nhìn thấy dữ liệu liên quan của họ. Điều này giúp đơn giản hóa việc truy cập dữ liệu và đảm bảo người dùng tập trung vào thông tin ảnh hưởng trực tiếp đến công việc của họ.
RLS dựa trên vị trí: Các công ty có thể sử dụng RLS này để hạn chế quyền truy cập dữ liệu dựa trên khu vực địa lý. Ví dụ: một quản lý khu vực ở Châu Âu sẽ chỉ có quyền truy cập vào dữ liệu liên quan đến hoạt động tại Châu Âu, trong khi một quản lý ở Châu Á sẽ thấy dữ liệu liên quan đến khu vực của họ. Kịch bản này cũng áp dụng cho các chuỗi bán lẻ, nơi các quản lý cửa hàng chỉ có thể truy cập dữ liệu cho các cửa hàng cụ thể của họ, hoặc các công ty logistics hạn chế dữ liệu cho các trung tâm khu vực.
RLS dựa trên nhân viên: Kịch bản này giới hạn quyền truy cập dữ liệu dựa trên vai trò và trách nhiệm công việc. Ví dụ: quản lý nhân sự chỉ có thể truy cập dữ liệu nhân viên trong phòng ban của mình, trong khi quản lý tài chính có thể xem báo cáo tài chính của nhóm mình nhưng không phải của toàn bộ công ty. Ngoài ra, quản lý dự án có thể bị hạn chế chỉ xem dữ liệu liên quan đến các dự án mà họ giám sát, tránh việc tiếp xúc không cần thiết với các chi tiết dự án không liên quan.
Các kịch bản RLS khác: Ngoài những trường hợp sử dụng phổ biến này, RLS có thể được cấu hình cho nhiều kịch bản khác. Ví dụ: RLS theo thời gian có thể giới hạn quyền truy cập dữ liệu trong các khoảng thời gian cụ thể, chẳng hạn như báo cáo tài chính quý chỉ dành cho ban quản lý cấp cao trong các kỳ đánh giá. RLS theo khách hàng cho phép nhân viên bán hàng chỉ xem thông tin của khách hàng mà họ quản lý, tăng cường bảo mật dữ liệu khách hàng. Hơn nữa, RLS có thể được áp dụng để kiểm soát quyền truy cập vào dữ liệu nhạy cảm như hồ sơ tuân thủ, đảm bảo chỉ những người dùng được ủy quyền trong các vai trò tuân thủ mới có thể xem thông tin đó.
Sự khác biệt giữa bảo mật cấp hàng tĩnh và động
Bảo mật cấp hàng tĩnh:
Bảo mật hàng tĩnh là khi các quy tắc truy cập được xác định trước và không thay đổi dựa trên ngữ cảnh hoặc dữ liệu của người dùng. Trong phương pháp này, các bộ lọc bảo mật được quản trị viên thiết lập thủ công và duy trì không đổi cho đến khi được sửa đổi rõ ràng.
Cách thức hoạt động:
Vai trò được xác định trước: Người quản trị tạo các vai trò cụ thể với các bộ lọc cố định.
Chỉ định thủ công: Người dùng được chỉ định các vai trò này dựa trên nhu cầu truy cập được xác định trước của họ.
Truy cập dữ liệu cố định: Khả năng hiển thị dữ liệu được thiết lập và không thay đổi theo động.
Ưu điểm:
Thiết lập và quản lý đơn giản.
Kiểm soát truy cập rõ ràng và có thể dự đoán được.
Nhược điểm:
Thiếu tính linh hoạt cho người dùng có nhu cầu thay đổi dữ liệu.
Yêu cầu cập nhật thủ công cho bất kỳ thay đổi nào về yêu cầu truy cập.
Bảo mật cấp độ hàng động:
Bảo mật Cấp hàng Động điều chỉnh các quy tắc truy cập dữ liệu dựa trên ngữ cảnh hoặc thuộc tính của người dùng truy cập dữ liệu. Phương pháp này sử dụng các kỹ thuật tiên tiến hơn để lọc dữ liệu tức thời, giúp các biện pháp kiểm soát truy cập phản hồi nhanh chóng với danh tính người dùng và các điều kiện động khác.
Cách thức hoạt động:
Bối cảnh người dùng: Bộ lọc truy cập dựa trên các thuộc tính của người dùng như tên người dùng, vai trò hoặc hệ thống phân cấp tổ chức.
Lọc động: Quyền truy cập dữ liệu được xác định khi chạy, với các bộ lọc được áp dụng động dựa trên ngữ cảnh của người dùng.
Phân công tự động: Quyền truy cập của người dùng được tự động điều chỉnh dựa trên các thuộc tính và vai trò hiện tại của họ.
Ví dụ: Một nhân viên bán hàng đăng nhập vào Power BI và chỉ xem dữ liệu của những khách hàng họ quản lý. Khi họ chuyển sang một khách hàng hoặc khu vực mới, chế độ xem dữ liệu của họ sẽ tự động cập nhật để phản ánh bối cảnh mới.
Ưu điểm:
Rất linh hoạt và thích ứng với nhu cầu thay đổi của người dùng.
Giảm chi phí quản lý bằng cách tự động hóa kiểm soát truy cập.
Nhược điểm:
Thiết lập và quản lý phức tạp hơn.
Yêu cầu dữ liệu thuộc tính người dùng chính xác và cập nhật.
Bài viết này chủ yếu tập trung vào RLS tĩnh.
RLS hoạt động như thế nào trong Power BI?
RLS hoạt động bằng cách áp dụng các bộ lọc cho dữ liệu dựa trên các vai trò bảo mật được xác định trong Power BI. Khi người dùng tương tác với báo cáo Power BI, dữ liệu sẽ được lọc động để chỉ hiển thị các hàng liên quan dựa trên quyền của người dùng.
Làm thế nào để triển khai RLS tĩnh trong Power BI Desktop?
Các bước để cấu hình bảo mật cấp hàng
Việc triển khai RLS trong Power BI Desktop bao gồm việc xác định vai trò bảo mật, tạo biểu thức DAX để lọc dữ liệu và áp dụng chúng vào các tập dữ liệu liên quan. Power BI Desktop cung cấp giao diện thân thiện với người dùng để thiết lập và quản lý RLS hiệu quả.
bước 1 – mở màn hình Vai trò từ tab mô hình hóa
bước 2 – thêm vai trò bằng cách nhấn nút 'mới' ở phía bên trái của hộp thoại
Trong ví dụ trên, tôi đã thêm vai trò "Bán hàng" và bộ lọc vào thực thể StaffGroups. Trong ngăn dữ liệu bộ lọc, tôi đã thêm một hàng và bộ lọc vào cột "nhóm" với giá trị "Bán hàng". Báo cáo này hiển thị hiệu suất của nhân viên, và đối với bất kỳ ai có vai trò "Bán hàng", tôi chỉ muốn hiển thị hiệu suất của nhân viên bán hàng.
Kiểm tra RLS trong Power BI Desktop
Trước khi triển khai RLS trong môi trường sản xuất, việc kiểm tra kỹ lưỡng các vai trò bảo mật và bộ lọc trong Power BI Desktop là rất cần thiết. Việc kiểm tra giúp xác định và giải quyết mọi sự cố liên quan đến lọc dữ liệu và quyền truy cập. Kiểm tra vai trò trong Power BI khá dễ dàng và có thể thực hiện chỉ bằng hai cú nhấp chuột.
Quay lại tab Mô hình hóa , nhấp vào nút xem dưới dạng trên ruy-băng. Một hộp thoại sẽ xuất hiện và bạn có thể chọn vai trò đã tạo từ đó. Sau khi nhấn "Ok", báo cáo của bạn sẽ được lọc để chỉ chứa dữ liệu được chỉ định trong vai trò cấp hàng của bạn!
Theo mặc định, lọc bảo mật cấp hàng sử dụng bộ lọc một chiều, bất kể mối quan hệ được đặt thành một chiều hay hai chiều. Bạn có thể bật thủ công lọc chéo hai chiều với bảo mật cấp hàng bằng cách chọn mối quan hệ và đánh dấu vào ô " Áp dụng bộ lọc bảo mật theo cả hai chiều" . Lưu ý rằng nếu một bảng tham gia vào nhiều mối quan hệ hai chiều, bạn chỉ có thể chọn tùy chọn này cho một trong các mối quan hệ đó.
Bây giờ bạn đã tạo và kiểm tra các vai trò của mình, đã đến lúc gán người dùng cho vai trò đó. Rất tiếc, bạn không thể gán người dùng cho một vai trò trong Power BI Desktop.
Chỉ định người dùng vào vai trò của bạn trong dịch vụ Power BI
Tải báo cáo của bạn lên dịch vụ Power BI và điều hướng đến không gian làm việc có báo cáo.
Bước 1 – Trên mô hình ngữ nghĩa của báo cáo → chọn dấu ba chấm dọc ( … ) ( Thêm tùy chọn ) → Chọn Bảo mật .
Bước 2 – Chỉ định người dùng cho vai trò của bạn
Chỉ cần thêm người dùng là xong. Bất cứ khi nào người dùng mở báo cáo, báo cáo sẽ lọc tất cả dữ liệu dựa trên cấu hình bạn đã thiết lập trong vai trò.
Xin lưu ý: Khi người dùng báo cáo được chỉ định nhiều vai trò, bộ lọc RLS sẽ có tính cộng gộp.
Thiết lập và chỉnh sửa RLS từ Power BI Service trực tiếp trong Workspace
Bạn cũng có thể cấu hình vai trò RLS trực tiếp từ dịch vụ Power BI mà không cần phải thông qua ứng dụng khách PBI. Trước tiên, bạn phải bật tùy chọn "Người dùng có thể chỉnh sửa mô hình dữ liệu trong dịch vụ Power BI (bản xem trước)".
Bước 1 – mở cấu hình không gian làm việc
Bước 2 – bật chức năng chỉnh sửa mô hình dữ liệu từ dịch vụ PBI
Bước 3 – mở mô hình ngữ nghĩa của báo cáo mà bạn muốn thay đổi cấu hình RLS củ
Bước 4 – Nhấn nút 'Mở mô hình dữ liệu' ở dải băng trên cùng
Bước 5 – nhấn nút quản lý vai trò
Implementing Row-Level Security (RLS) in Power BI
Bảo mật hàng loạt là gì?
Bảo mật cấp hàng (RLS) là một công cụ tiện dụng giúp nhà phát triển và quản trị viên kiểm soát dữ liệu nào mỗi người dùng có thể xem trong báo cáo hoặc tập dữ liệu Power BI. Hãy hình dung nó như một cách để thiết lập các quy tắc về việc ai được xem gì, dựa trên từng hàng dữ liệu. Nếu bảo mật cấp đối tượng là ẩn toàn bộ cột hoặc bảng, thì RLS là việc cụ thể hóa từng hàng.
Cách thức hoạt động như sau: nhà phát triển thiết lập một số hướng dẫn trong Power BI, tạo các quy tắc xác định dữ liệu nào sẽ hiển thị cho nhiều vai trò khác nhau hoặc thậm chí cho từng người dùng.
Tại sao bạn nên quan tâm đến RLS? Nó rất quan trọng để giữ an toàn cho dữ liệu của bạn. Với RLS, bạn có thể đảm bảo rằng mọi người trong tổ chức chỉ nhìn thấy thông tin họ cần và không có gì khác. Điều này đồng nghĩa với việc dữ liệu nhạy cảm, chẳng hạn như bảng lương hoặc số liệu bán hàng, sẽ được bảo vệ. Nếu không có RLS, bạn có nguy cơ để lộ thông tin mật cho những người không được phép truy cập.
Các trường hợp sử dụng bảo mật cấp hàng trong thực tế
RLS dựa trên Ngành nghề Kinh doanh: Loại RLS này hoàn hảo cho các công ty muốn cấp cho người dùng quyền truy cập vào dữ liệu cụ thể của một ngành nghề kinh doanh, sản phẩm, dịch vụ hoặc phòng ban cụ thể. Ví dụ: một công ty có nhiều ngành hàng có thể đảm bảo rằng đội ngũ bán hàng của Sản phẩm A chỉ nhìn thấy dữ liệu liên quan đến Sản phẩm A, trong khi đội ngũ Sản phẩm B chỉ nhìn thấy dữ liệu liên quan của họ. Điều này giúp đơn giản hóa việc truy cập dữ liệu và đảm bảo người dùng tập trung vào thông tin ảnh hưởng trực tiếp đến công việc của họ.
RLS dựa trên vị trí: Các công ty có thể sử dụng RLS này để hạn chế quyền truy cập dữ liệu dựa trên khu vực địa lý. Ví dụ: một quản lý khu vực ở Châu Âu sẽ chỉ có quyền truy cập vào dữ liệu liên quan đến hoạt động tại Châu Âu, trong khi một quản lý ở Châu Á sẽ thấy dữ liệu liên quan đến khu vực của họ. Kịch bản này cũng áp dụng cho các chuỗi bán lẻ, nơi các quản lý cửa hàng chỉ có thể truy cập dữ liệu cho các cửa hàng cụ thể của họ, hoặc các công ty logistics hạn chế dữ liệu cho các trung tâm khu vực.
RLS dựa trên nhân viên: Kịch bản này giới hạn quyền truy cập dữ liệu dựa trên vai trò và trách nhiệm công việc. Ví dụ: quản lý nhân sự chỉ có thể truy cập dữ liệu nhân viên trong phòng ban của mình, trong khi quản lý tài chính có thể xem báo cáo tài chính của nhóm mình nhưng không phải của toàn bộ công ty. Ngoài ra, quản lý dự án có thể bị hạn chế chỉ xem dữ liệu liên quan đến các dự án mà họ giám sát, tránh việc tiếp xúc không cần thiết với các chi tiết dự án không liên quan.
Các kịch bản RLS khác: Ngoài những trường hợp sử dụng phổ biến này, RLS có thể được cấu hình cho nhiều kịch bản khác. Ví dụ: RLS theo thời gian có thể giới hạn quyền truy cập dữ liệu trong các khoảng thời gian cụ thể, chẳng hạn như báo cáo tài chính quý chỉ dành cho ban quản lý cấp cao trong các kỳ đánh giá. RLS theo khách hàng cho phép nhân viên bán hàng chỉ xem thông tin của khách hàng mà họ quản lý, tăng cường bảo mật dữ liệu khách hàng. Hơn nữa, RLS có thể được áp dụng để kiểm soát quyền truy cập vào dữ liệu nhạy cảm như hồ sơ tuân thủ, đảm bảo chỉ những người dùng được ủy quyền trong các vai trò tuân thủ mới có thể xem thông tin đó.
Sự khác biệt giữa bảo mật cấp hàng tĩnh và động
Bảo mật cấp hàng tĩnh:
Bảo mật hàng tĩnh là khi các quy tắc truy cập được xác định trước và không thay đổi dựa trên ngữ cảnh hoặc dữ liệu của người dùng. Trong phương pháp này, các bộ lọc bảo mật được quản trị viên thiết lập thủ công và duy trì không đổi cho đến khi được sửa đổi rõ ràng.
Cách thức hoạt động:
Vai trò được xác định trước: Người quản trị tạo các vai trò cụ thể với các bộ lọc cố định.
Chỉ định thủ công: Người dùng được chỉ định các vai trò này dựa trên nhu cầu truy cập được xác định trước của họ.
Truy cập dữ liệu cố định: Khả năng hiển thị dữ liệu được thiết lập và không thay đổi theo động.
Ưu điểm:
Thiết lập và quản lý đơn giản.
Kiểm soát truy cập rõ ràng và có thể dự đoán được.
Nhược điểm:
Thiếu tính linh hoạt cho người dùng có nhu cầu thay đổi dữ liệu.
Yêu cầu cập nhật thủ công cho bất kỳ thay đổi nào về yêu cầu truy cập.
Bảo mật cấp độ hàng động:
Bảo mật Cấp hàng Động điều chỉnh các quy tắc truy cập dữ liệu dựa trên ngữ cảnh hoặc thuộc tính của người dùng truy cập dữ liệu. Phương pháp này sử dụng các kỹ thuật tiên tiến hơn để lọc dữ liệu tức thời, giúp các biện pháp kiểm soát truy cập phản hồi nhanh chóng với danh tính người dùng và các điều kiện động khác.
Cách thức hoạt động:
Bối cảnh người dùng: Bộ lọc truy cập dựa trên các thuộc tính của người dùng như tên người dùng, vai trò hoặc hệ thống phân cấp tổ chức.
Lọc động: Quyền truy cập dữ liệu được xác định khi chạy, với các bộ lọc được áp dụng động dựa trên ngữ cảnh của người dùng.
Phân công tự động: Quyền truy cập của người dùng được tự động điều chỉnh dựa trên các thuộc tính và vai trò hiện tại của họ.
Ví dụ: Một nhân viên bán hàng đăng nhập vào Power BI và chỉ xem dữ liệu của những khách hàng họ quản lý. Khi họ chuyển sang một khách hàng hoặc khu vực mới, chế độ xem dữ liệu của họ sẽ tự động cập nhật để phản ánh bối cảnh mới.
Ưu điểm:
Rất linh hoạt và thích ứng với nhu cầu thay đổi của người dùng.
Giảm chi phí quản lý bằng cách tự động hóa kiểm soát truy cập.
Nhược điểm:
Thiết lập và quản lý phức tạp hơn.
Yêu cầu dữ liệu thuộc tính người dùng chính xác và cập nhật.
Bài viết này chủ yếu tập trung vào RLS tĩnh.
RLS hoạt động như thế nào trong Power BI?
RLS hoạt động bằng cách áp dụng các bộ lọc cho dữ liệu dựa trên các vai trò bảo mật được xác định trong Power BI. Khi người dùng tương tác với báo cáo Power BI, dữ liệu sẽ được lọc động để chỉ hiển thị các hàng liên quan dựa trên quyền của người dùng.
Làm thế nào để triển khai RLS tĩnh trong Power BI Desktop?
Các bước để cấu hình bảo mật cấp hàng
Việc triển khai RLS trong Power BI Desktop bao gồm việc xác định vai trò bảo mật, tạo biểu thức DAX để lọc dữ liệu và áp dụng chúng vào các tập dữ liệu liên quan. Power BI Desktop cung cấp giao diện thân thiện với người dùng để thiết lập và quản lý RLS hiệu quả.
bước 1 – mở màn hình Vai trò từ tab mô hình hóa
bước 2 – thêm vai trò bằng cách nhấn nút 'mới' ở phía bên trái của hộp thoại
Trong ví dụ trên, tôi đã thêm vai trò "Bán hàng" và bộ lọc vào thực thể StaffGroups. Trong ngăn dữ liệu bộ lọc, tôi đã thêm một hàng và bộ lọc vào cột "nhóm" với giá trị "Bán hàng". Báo cáo này hiển thị hiệu suất của nhân viên, và đối với bất kỳ ai có vai trò "Bán hàng", tôi chỉ muốn hiển thị hiệu suất của nhân viên bán hàng.
Kiểm tra RLS trong Power BI Desktop
Trước khi triển khai RLS trong môi trường sản xuất, việc kiểm tra kỹ lưỡng các vai trò bảo mật và bộ lọc trong Power BI Desktop là rất cần thiết. Việc kiểm tra giúp xác định và giải quyết mọi sự cố liên quan đến lọc dữ liệu và quyền truy cập. Kiểm tra vai trò trong Power BI khá dễ dàng và có thể thực hiện chỉ bằng hai cú nhấp chuột.
Quay lại tab Mô hình hóa , nhấp vào nút xem dưới dạng trên ruy-băng. Một hộp thoại sẽ xuất hiện và bạn có thể chọn vai trò đã tạo từ đó. Sau khi nhấn "Ok", báo cáo của bạn sẽ được lọc để chỉ chứa dữ liệu được chỉ định trong vai trò cấp hàng của bạn!
Theo mặc định, lọc bảo mật cấp hàng sử dụng bộ lọc một chiều, bất kể mối quan hệ được đặt thành một chiều hay hai chiều. Bạn có thể bật thủ công lọc chéo hai chiều với bảo mật cấp hàng bằng cách chọn mối quan hệ và đánh dấu vào ô " Áp dụng bộ lọc bảo mật theo cả hai chiều" . Lưu ý rằng nếu một bảng tham gia vào nhiều mối quan hệ hai chiều, bạn chỉ có thể chọn tùy chọn này cho một trong các mối quan hệ đó.
Bây giờ bạn đã tạo và kiểm tra các vai trò của mình, đã đến lúc gán người dùng cho vai trò đó. Rất tiếc, bạn không thể gán người dùng cho một vai trò trong Power BI Desktop.
Chỉ định người dùng vào vai trò của bạn trong dịch vụ Power BI
Tải báo cáo của bạn lên dịch vụ Power BI và điều hướng đến không gian làm việc có báo cáo.
Bước 1 – Trên mô hình ngữ nghĩa của báo cáo → chọn dấu ba chấm dọc ( … ) ( Thêm tùy chọn ) → Chọn Bảo mật .
Bước 2 – Chỉ định người dùng cho vai trò của bạn
Chỉ cần thêm người dùng là xong. Bất cứ khi nào người dùng mở báo cáo, báo cáo sẽ lọc tất cả dữ liệu dựa trên cấu hình bạn đã thiết lập trong vai trò.
Xin lưu ý: Khi người dùng báo cáo được chỉ định nhiều vai trò, bộ lọc RLS sẽ có tính cộng gộp.
Thiết lập và chỉnh sửa RLS từ Power BI Service trực tiếp trong Workspace
Bạn cũng có thể cấu hình vai trò RLS trực tiếp từ dịch vụ Power BI mà không cần phải thông qua ứng dụng khách PBI. Trước tiên, bạn phải bật tùy chọn "Người dùng có thể chỉnh sửa mô hình dữ liệu trong dịch vụ Power BI (bản xem trước)".
Bước 1 – mở cấu hình không gian làm việc
Bước 2 – bật chức năng chỉnh sửa mô hình dữ liệu từ dịch vụ PBI
Bước 3 – mở mô hình ngữ nghĩa của báo cáo mà bạn muốn thay đổi cấu hình RLS củ
Bước 4 – Nhấn nút 'Mở mô hình dữ liệu' ở dải băng trên cùng
Bước 5 – nhấn nút quản lý vai trò
