在 Power BI 里做敏感数据保护，你是不是也经历过这些：
- 明明设了行级安全，导出到 Excel 就全裸奔了
- 报表发布到 Workspace，同事一复制数据就走漏了
- 想给不同部门看不同字段，只能硬生生做多个报表
这些痛点的根源，在于 Power BI 本身的安全机制只覆盖报表层，一旦数据离开报表，就管不住了。
而 Microsoft Fabric 的出现，把数据保护提升到了新的高度——通过 Purview 信息保护策略，你可以直接在 Fabric 的数据源头上做敏感度标记和权限控制，让数据从源头到消费端全程受控。
今天我们就来拆解 Fabric 中的 Purview 保护策略，看看它到底怎么用，能解决哪些实际问题。
为什么说 Purview 策略是 Fabric 的“安全地基” 🛡️
在 Fabric 中，数据不是孤立的，它可能被用于湖仓、数据集、报表、甚至 AI 模型。如果只在报表层做安全控制，数据一旦被复制或导出，就失去了保护。
Purview 保护策略的核心思路是：给数据本身打上敏感度标签，并附加权限策略。这样，无论数据流转到哪里，标签和策略都会跟随，持续生效。
这就好比给文件盖了“机密”章，不管它被复印、转发还是上传，接收方都能看到标识，并受相应权限约束。
Fabric 中 Purview 策略的三种主要类型 📋
根据官方文档和社区实践，Fabric 里常用的 Purview 策略主要有三种：
- 敏感度标签策略：自动或手动给数据项（如表、列、文件）打上“公开/内部/机密/高度机密”等标签
- 数据丢失防护（DLP）策略：监控并阻止敏感数据被异常传输或导出
- 访问控制策略：基于标签对数据的访问权限进行限制，比如“机密”数据只能由特定安全组访问
这三种策略可以组合使用，形成纵深防御。
实操：如何在 Fabric 中配置 Purview 策略 🔧
配置过程并不复杂，但需要先具备一些前置条件：
- 确保你的组织有 Purview 信息保护许可证（通常包含在 M365 E5 或合规版中）
- 在 Microsoft Purview 门户中创建好敏感度标签，并发布到 Fabric 租户
- 在 Fabric 管理门户中启用“允许将 Purview 标签应用于 Fabric 数据项”
完成这些前置步骤后，你就可以在 Fabric 的 Workspace 中，对数据项（比如 Lakehouse 的表）直接应用敏感度标签了。
具体步骤
- 打开 Fabric 中的 Lakehouse，进入“表”列表
- 右键点击目标表，选择“管理敏感度标签”
- 从下拉列表中选择合适的标签（如“机密”），保存即可
之后，你还可以为这个标签配置权限策略，指定哪些用户或组可以访问、哪些只能查看、哪些禁止访问。
实战场景：让销售数据只对销售总监可见 🎯
假设你有一个包含全国销售数据的表，你希望：
- 销售总监（VP Sales）可以查看所有数据
- 区域经理只能查看自己区域的数据
- 其他员工完全看不到
你可以这样做：
- 在 Purview 中创建“销售机密”标签，并添加访问控制策略：只有“销售领导组”可以读取
- 在 Fabric 中给销售表打上“销售机密”标签
- 在 Fabric 中设置行级安全，按区域过滤数据（这步在 Power BI 中也能做，但 Purview 策略是额外的防线）
这样，即使区域经理导出了数据到 Excel，他看到的也只是自己区域的数据，因为 Purview 策略会在导出时强制生效。
国内用户怎么看？ 🇨🇳
对于国内企业，数据安全合规越来越受重视（比如等保、个保法），Purview 策略可以帮你更好地满足“最小权限”和“数据分类分级”的要求。
不过要注意：
- Purview 信息保护功能依赖于微软 365 合规中心，国内版（由世纪互联运营）的功能可能略有差异，建议先测试验证
- 如果你的数据源在本地或混合云，需要先通过 Fabric 网关打通，再做标签应用
- 策略生效需要一些时间（通常几分钟），测试时要有耐心
总结：保护数据，从源头开始 🔒
Purview 保护策略在 Fabric 中扮演的角色，就像是为你的数据资产上了一道“保险锁”。它不仅能防止敏感数据泄露，还能让你的数据治理更规范。
下次当你再遇到“数据导出就失控”的烦恼时，不妨试试在 Fabric 中给数据打上标签——或许，这正是你告别“裸奔”的开始。
如果你已经在 Fabric 中使用了 Purview 策略，欢迎在评论区分享你的经验或踩坑记录，一起让数据安全之路走得更稳。
