Nivel 6 · A quién se aplica la seguridad a nivel de fila

Escribir la regla es la mitad del trabajo. La otra mitad es poner a las personas correctas en el rol y saber a quién no puede restringir el rol en absoluto.

Dónde estás trabajando

Este es un cuestionario. La pertenencia a roles y las pruebas viven en Power BI Desktop y en el servicio; las rutas están abajo para que puedas hacerlo en el trabajo.

A quién filtra la RLS

La seguridad a nivel de fila se aplica a las personas que solo leen: Viewers del área de trabajo, lectores de la aplicación y personas con las que se compartió un informe o modelo semántico para verlo. No se aplica a los Admins, Members ni Contributors del área de trabajo. Ellos pueden editar el modelo semántico (y por tanto podrían editar o quitar la regla), así que Power BI les muestra todas las filas.

Por eso la configuración habitual mantiene separados dos grupos: las personas que crean el informe reciben un rol de área de trabajo; las personas cuyos datos deben restringirse reciben la aplicación, o el rol Viewer, y nada más.

Añadir personas a un rol

Los roles y sus reglas se crean en Desktop (Modelado → Administrar roles; Modeling → Manage roles) y viajan con el modelo al publicar. Las personas se añaden en el servicio: abre el área de trabajo, pasa el cursor sobre el modelo semántico, selecciona Más opciones (…) → Seguridad (More options → Security). La página Seguridad de nivel de fila (Row-Level Security) lista los roles; elige uno, escribe personas, grupos de seguridad o listas de distribución en Miembros (Members), Agregar (Add) y luego Guardar (Save). El número entre paréntesis junto a un rol es cuántos miembros tiene. Necesitas ser Contributor o superior para gestionar esta página.

Un lector que no pertenece a ningún rol de un modelo que tiene roles no ve ningún dato, y uno que está en dos roles ve las filas que permita cualquiera de los dos (los roles se combinan con OR).

Probar antes de que alguien se queje

• En Desktop: Modelado → Ver como, marca uno o más roles y, para reglas dinámicas, marca Otro usuario (Other user) y escribe un correo. El informe se redibuja como lo vería esa persona hasta que selecciones Detener la visualización (Stop viewing).
• En el servicio: en la página Seguridad, elige Más opciones (…) junto a un rol y Probar como rol (Test as role). En la parte superior puedes cambiar a Ahora viendo como (Now viewing as) otra persona para comprobar una regla dinámica con su correo.

Prueba con al menos una persona de cada rol, una persona sin ningún rol y una persona cuyo territorio acaba de cambiar.

Errores comunes

• Probar como tú mismo. Como autor eres Admin o Member, así que lo ves todo.
• Lectores restringidos con derechos de edición. Un Contributor ve todas las filas, diga lo que diga la regla.
• Asignar en Desktop. Desktop no tiene lugar para los miembros; eso ocurre en el servicio.
• Olvidar a las nuevas incorporaciones. Añade un grupo de seguridad al rol, no individuos, para que TI lo mantenga al día.