Azure Data Share ist ein vollständig verwalteter Cloud-Service von Microsoft, der es Unternehmen ermöglicht, Daten sicher und effizient mit externen Partnern, Lieferanten, internen Abteilungen oder Forschungsmitarbeitern zu teilen. Im Gegensatz zu herkömmlichen Datenfreigabemethoden wie E-Mail-Anhängen, FTP oder physischen Laufwerken bietet Azuré Data Share einen geregelten, überprüfbaren und automatisierten Ansatz für die Übertragung von Daten zwischen Mandanten unter Beibehaltung der Kontrolle des Dateneigentümers. In diesem Artikel untersuchen wir die Architektur, die wichtigsten Funktionen, das Sicherheitsmodell, die gängigen Anwendungsfälle und Best Practices für die Nutzung von Azure Data Share in Produktionsumgebungen.

Azure Data Share: Über den einfachen Dateitransfer hinaus

Im Kern ermöglicht Azure Data Share Organisationen, Datensätze, die im Azure Data Lake Store, Azure Blob Storage, Azure SQL Database, Azure Synapse Analytics und anderen unterstützten Datenspeichern gespeichert sind, gemeinsam zu nutzen. Der Dienst unterstützt sowohl snapshot-basierte als auch in-place-Sharing-Modi. Snapshot-basierte Freigaben kopieren die Daten vom Datenbesitzer-Speicher zum Empfänger-Speicher in regelmäßigen Abständen, während die In-place-Sharing eine direkte schreibgeschützte Verbindung bietet, ohne die zugrunde liegenden Daten zu kopieren. Letzteres ist besonders nützlich, wenn große, häufig aktualisierte Datensätze geteilt werden, bei denen eine Duplizierung ineffizient oder unerwünscht wäre.

Wie sich Azure Data Share von Simple File Sharing unterscheidet

Herkömmliche Filesharing-Methoden setzen Daten Sicherheitsrisiken aus, mangeln an Versionierung und erfordern manuellen Aufwand, um die Empfänger auf dem neuesten Stand zu halten. Azure Data Share behebt diese Probleme durch:

  • Automatisierte Synchronisation: Snapshots können geplant werden (z.B. stündlich, täglich), so dass Empfänger immer die neuesten Daten ohne manuelle Eingriffe haben.
  • Granular Access Control: Data Owner definieren genau, welche Datensätze mit wem geteilt werden, indem sie Azure Active Directory-Identitäten und rollenbasierte Zugriffskontrolle (RBAC) verwenden.
  • Vollständiges Auditing: Jede Freigabeeinladung, Annahme, Snapshot und Widerruf wird im Azure Monitor protokolliert, wodurch Compliance- und Sicherheitsuntersuchungen ermöglicht werden.
  • Kein VPN oder Netzwerk-Peering erforderlich: Die gemeinsame Nutzung erfolgt über das Azure-Backbone-Netzwerk oder das öffentliche Internet mit Verschlüsselungsübertragung und in Ruhe.

Architektur und Schlüsselkomponenten

Azure Data Share dreht sich um zwei primäre Entitäten: data providers (die Eigentümer der Daten) und data consumer (die Empfänger). Der Dienst verwendet Azure Resource Manager (ARM), um Freigabedefinitionen, Einladungen und Snapshot-Trigger zu verwalten. Die Architektur umfasst die folgenden Komponenten:

Seite des Datenanbieters

  • Ressource teilen: Eine Azure-Ressource auf oberster Ebene, die freigegebene Datensätze, Einladungen und Snapshot-Zeitpläne gruppiert.
  • Dataset definitions: Verweise auf die Quelldaten, wie z. B. einen Blob-Container, einen Ordner innerhalb von ADLS Gen2 oder eine SQL-Tabelle.
  • Einladungen: per E-Mail oder direkt an den Azure-Mieter eines Verbrauchers gesendet.
  • Schnappschuss-Zeitpläne: Konfiguriert mit einem Wiederholungsintervall (täglich, wöchentlich usw.) und einer Startzeit. Für die platzinterne Freigabe ist kein Zeitplan erforderlich, da der Datenbesitzer den Zugriff direkt steuert.

Datenverbraucherseite

  • Teilen Sie ein Abonnement: Erstellt, wenn der Verbraucher eine Einladung annimmt. Das Abonnement verknüpft mit dem Anteil des Anbieters und definiert, wo die Daten landen werden (oder wie auf den Datensatz vor Ort zugegriffen wird).
  • Snapshot-Trigger: Wenn der Anbieter einen Zeitplan konfiguriert, initiiert das Abonnement des Verbrauchers automatisch Snapshots. Für die erstmalige Annahme kann ein sofortiger Snapshot ausgelöst werden.
  • Termination: Der Datenanbieter kann den Zugriff jederzeit widerrufen, wodurch alle zukünftigen Snapshots gestoppt werden und der Zugriff für In-Place-Shares sofort abgebrochen wird.

Unterstützte Datenspeicher und Zugriffsmodi

Azure Data Share unterstützt eine wachsende Liste von Azure-Datendiensten, für die es entweder Snapshot-Sharing (Daten kopieren) oder In-Place-Sharing (nur lesender Zugriff ohne Kopie) bietet.

  • Azure Blob Storage (Schnappschuss und vor Ort): Blob Container oder Ordner teilen.
  • Azure Data Lake Storage Gen2 (Schnappschuss und vor Ort): Dateisysteme oder Verzeichnisse teilen.
  • Azure SQL Database und Azure Synapse Analytics (dedizierter SQL-Pool) (nur Snapshot): Tabellen oder Ansichten freigeben.
  • Azure Data Explorer (in-place): Kusto-Datenbanken für Echtzeit-Abfragen teilen.
  • Azure Data Share unterstützt auch die gemeinsame Nutzung von Speicherkonten in verschiedenen Azure-Regionen und sogar über private Endpunkte hinweg über Clouds.

Snapshot-Based Sharing Details

Snapshot-basierte Freigabe ist ideal, wenn der Verbraucher eine Kopie der Daten für seine eigene Verarbeitung, Transformation oder Sicherung benötigt. Der Anbieter konfiguriert einen Snapshot-Zeitplan und Azure Data Share verwendet eine verwaltete Identität zur Authentifizierung gegenüber dem Quellspeicher. Bei SQL-basierten Quellen verwendet der Dienst externe Tabellen- oder verknüpfte Servermechanismen zum Exportieren von Daten. Der Zielspeicher des Verbrauchers muss mit entsprechenden Berechtigungen (z. B. ein Blob-Container mit Schreibzugriff für den Data Share-Dienst-Prinzipal) erstellt werden.

Snapshots sind standardmäßig inkrementell für Blob- und ADLS Gen2-Quellen - nur Änderungen seit der Übertragung des letzten Snapshots, wodurch die Datenübertragungskosten und -zeit reduziert werden. Für SQL-Quellen werden vollständige Tabellen-Snapshots genommen, es sei denn, die Tabelle wird durch eine Datumszeitspalte partitioniert, in diesem Fall werden inkrementelle Snapshots über ein snapshot-Ordner-Muster unterstützt.

Details zur platzinternen gemeinsamen Nutzung

In-Place-Sharing (auch „Azure Data Share In-Place-Snapshots genannt) ermöglicht es dem Verbraucher, die Daten direkt im Speicher des Anbieters mithilfe von Lesezugriff abzufragen. Der Verbraucher erhält keine Kopie, sondern nutzt stattdessen einen Azure Data Share-verbundenen Dienst, um auf die Daten zuzugreifen, als wären sie lokal. Dies ist besonders nützlich für Analyseszenarien, in denen die Datenfrische kritisch und die Duplizierung unerschwinglich ist. Der Anbieter behält die volle Kontrolle - wenn er die Freigabe sofort widerruft, wird der Zugriff des Verbrauchers sofort entfernt.

Sicherheits- und Compliance-Bedenken

Datensicherheit ist ein Hauptanliegen, wenn sensible Informationen mit externen Parteien geteilt werden. Azure Data Share umfasst mehrere Sicherheitsebenen:

Authentifizierung und Autorisierung

  • Azure Active Directory (AD) Integration: Sowohl Anbieter als auch Verbraucher authentifizieren sich über Azure AD. Einladungen werden an bestimmte Azure AD-Benutzer oder Gruppen gesendet, nicht nur an E-Mail-Adressen. Der Verbraucher muss bei demselben oder einem anderen Azure AD-Mandanten angemeldet sein, um akzeptiert zu werden.
  • Role-Based Access Control (RBAC): Der Anbieter nutzt RBAC, um dem Data Share Service prinzipiellen Zugriff auf die Quelldaten zu gewähren. Der Verbraucher muss über entsprechende Berechtigungen in seinem eigenen Zielspeicher verfügen, um Snapshots zu schreiben.
  • Verwaltete Identitäten: Die Azure Data Share-Ressource verwendet eine systemzugeordnete verwaltete Identität, um auf die Quelle und Zielspeicher zuzugreifen.

Datenverschlüsselung

  • Alle Daten werden mit TLS 1.2+ verschlüsselt übertragen.
  • Daten im Ruhezustand werden mithilfe von Azure Storage Service Encryption oder SQL Transparent Data Encryption (TDE) verschlüsselt. Beim Teilen über Snapshot bleiben Daten gemäß ihren eigenen Verschlüsselungsrichtlinien im Speicher des Verbrauchers verschlüsselt.

Netzisolierung

Für Organisationen, die Daten benötigen, um niemals das öffentliche Internet zu durchqueren, unterstützt Azure Data Share Azure Private Endpoints.Anbieter und Verbraucher können private Endpoints für ihre Speicherkonten und SQL-Server konfigurieren, und der Data Share-Dienst wird den Datenverkehr über das Microsoft-Backbone-Netzwerk über private IPs leiten. Dies ist entscheidend für die Einhaltung von Vorschriften wie DSGVO, HIPAA oder Finanzdienstleistungsstandards.

Audit und Monitoring

  • Azure Monitor erfasst Protokolle für die Erstellung von Teilen, den Einladungsstatus, Snapshot-Erfolge/-Ausfälle und Berechtigungsänderungen.
  • Azure Activity Log verfolgt administrative Vorgänge wie das Erstellen oder Löschen einer Aktie.
  • Data Share Diagnoseeinstellungen können Protokolle an Log Analytics für erweiterte Abfrage und Warnung senden.

Schritt-für-Schritt-Workflow: Von der Bereitstellung zum Verbrauch

Um die praktische Nutzung von Azure Data Share zu demonstrieren, sollten Sie ein Szenario in Betracht ziehen, in dem ein Analyseunternehmen tägliche Verkaufsdaten mit einem Einzelhandelspartner teilen muss.

  1. Bereitstellen der Share Resource: Der Datenanbieter erstellt eine Azure Data Share Ressource in seinem Abonnement, wählt eine Region aus und konfiguriert die verwaltete Identität.
  2. Add Datasets: In der Freigabe fügt der Anbieter die Quelle hinzu – beispielsweise einen Azure Blob Storage Container mit CSV-Dateien. Der Anbieter gewährt der von Data Share verwalteten Identität die Storage Blob Data Reader Rolle auf diesem Container.
  3. Set Snapshot Schedule: Der Anbieter wählt täglich um 10 Uhr UTC einen Snapshot und wählt das inkrementelle Kopieren, um die übertragenen Daten zu minimieren.
  4. Einladung senden: Der Anbieter gibt die Azure AD-Benutzer-E-Mail des Empfängers ein oder sendet die Einladung an den Azure AD-Mieter des Verbrauchers.
  5. Consumer Accepts: Der Verbraucher meldet sich im Azure-Portal an, navigiert zum Data Share-Dienst und nimmt die Einladung an. Er gibt ein Zielspeicherkonto an (z. B. einen Blob-Container in seinem eigenen Abonnement) und gewährt die von Data Share verwaltete Identität Storage Blob Data Contributor auf dem Ziel.
  6. Erster Snapshot: Der Provider kann einen sofortigen vollständigen Snapshot auslösen oder der erste geplante Snapshot läuft zur angegebenen Zeit.
  7. Laufende Verwaltung: Der Anbieter überwacht den Snapshot-Zustand über das Share-Dashboard. Wenn die Beziehung endet, widerrufen sie den Share, wodurch das Abonnement des Verbrauchers gelöscht und zukünftige Snapshots verhindert werden.

Erweiterte Features und Best Practices

Über die Grundlagen hinaus bietet Azure Data Share Funktionen, die es für komplexe Unternehmensszenarien geeignet machen.

Inkrementelle Datenfreigabe mit Ordnerpartitionen

Für Blob- und ADLS Gen2-Quellen funktionieren inkrementelle Snapshots am besten, wenn die Quelldaten einem Ordnerpartitionsmuster folgen (z. B. ). Der Dienst erkennt neue oder modifizierte Dateien und kopiert nur diese. Anbieter sollten ihre Daten so organisieren, dass Umbenennungen oder Überschreiben von Dateien vermieden werden, da die inkrementelle Erkennung auf Dateizeitstempeln und -pfaden beruht.

Sharing mit Cross-Tenant-Szenarien

Azure Data Share ist für die inhaberübergreifende gemeinsame Nutzung konzipiert – es funktioniert über verschiedene Azure AD-Mandanten hinweg, was typisch ist, wenn man mit externen Organisationen zusammenarbeitet. Der Verbraucher muss sich nicht im selben Mandanten wie der Anbieter befinden. Beide Parteien müssen jedoch über entsprechende Azure-Abonnements und Berechtigungen verfügen. Für die inhaberübergreifende gemeinsame Nutzung am Ort verwendet der Verbraucher einen speziellen verknüpften Dienst, der sich über Azure AD des Anbieters authentifiziert.

Datenfreigabe mit Azure Synapse und Power BI

Gemeinsame Daten können leicht in Analyse- und Berichtsworkflows verwendet werden. Ein Verbraucher, der Snapshots in Blob Storage erhält, kann diesen Speicher mit Azure Synapse Analytics für serverlose SQL-Abfragen oder mit Power BI über den "Azure Blob Storage"-Anschluss verbinden. Für platzinterne Freigaben von Azure Data Explorer-Datenbanken kann der Verbraucher die Daten direkt aus seinem eigenen Azure Data Explorer-Cluster mit der Data Share abfragen Funktion.

Kostenoptimierung

  • Minimiere die Snapshot-Frequenz: Wählen Sie das längste akzeptable Intervall, um die Datenübertragungskosten zu reduzieren.
  • Verwende inkrementelle Snapshots, wenn möglich; sie übertragen nur Änderungen.
  • Verwertung von In-Place-Sharing] für große, statische Datensätze, um Speicherduplizierungskosten zu vermeiden.
  • Set up alerts on snapshot failures to avoid old data.

Compliance und Retention

Organisationen mit strengen Richtlinien zur Datenaufbewahrung können Azure Data Share in Verbindung mit Azure Policy verwenden, um Tagging-, Verschlüsselungs- und Standortbeschränkungen durchzusetzen. Beispielsweise kann eine Richtlinie verlangen, dass alle freigegebenen Daten in einer bestimmten Region gespeichert werden müssen, um die Gesetze zur Datenhoheit einzuhalten. Darüber hinaus sollten Datenbesitzer aktive Freigaben regelmäßig überprüfen und Waisen entfernen, wenn die Zusammenarbeit endet.

Gemeinsame Anwendungsfälle

1. Partnerdatenaustausch zur Optimierung der Lieferkette

Ein Händler teilt täglich Lagerbestände und Verkaufsprognosen mit Lieferanten. Über Azure Data Share erhält der Lieferant einen Snapshot in seinen eigenen Azure-Speicher, integriert ihn in sein Bedarfsplanungssystem und passt automatisch Produktionspläne an. Der Einzelhändler kann den Zugriff widerrufen, wenn die Partnerschaft endet.

2. Forschungskooperation zwischen Institutionen

Universitäten und Forschungslabors teilen große genomische oder Klimadatensätze. Mit der gemeinsamen Nutzung vor Ort können mehrere Institutionen Abfragen gegen ein zentrales Repository ausführen, ohne Terabyte an Daten zu duplizieren. Der Zugriff jedes Forschers wird über Azure AD gesteuert und kann zeitlich auf die Projektdauer begrenzt werden.

3. Berichterstattung an externe Rechnungsprüfer

Ein Finanzdienstleistungsunternehmen teilt Quartalsprotokolle und Bilanzen sicher mit den Auditoren. Der Snapshot-Zeitplan stellt sicher, dass Auditoren immer über die neuesten Daten verfügen, und der Audit-Trail zeigt, wer wann auf was zugegriffen hat – entscheidend für die Einhaltung der Vorschriften.

4. Multi-Tenant-SaaS-Plattformen

Ein SaaS-Anbieter verwendet Azure Data Share, um jedem Kunden kuratierte Datensätze zu liefern. Jeder Kunde erhält seinen eigenen Snapshot in einem dedizierten Speichercontainer, und der Anbieter kann alle Shares zentral mit automatisierter Abrechnungsintegration über Azure-Nutzungsprotokolle verwalten.

Einschränkungen und Überlegungen

Azure Data Share ist zwar leistungsstark, hat jedoch Einschränkungen:

  • Datengrößenobergrenzen: Snapshot-Größen sind durch den Durchsatz des Quell- und Zielspeichers begrenzt. Für sehr große Datensätze (mehrere TB) werden inkrementelle Snapshots empfohlen. Microsoft empfiehlt die Verwendung von ADLS Gen2 für eine optimale Leistung.
  • SQL-Quellbeschränkungen: Für Azure SQL Database und Synapse unterstützt Snapshot-basiertes Sharing keine Tabellen ohne Primärschlüssel oder mit komplexen Datentypen wie XML.
  • Regionalverfügbarkeit: Nicht alle Azure-Regionen unterstützen Azure Data Share.
  • Kein Echtzeit-Streaming: Azure Data Share ist batchorientiert. Für die Echtzeit-Datenfreigabe sollten Azure Event Hubs mit einem Datenfreigabemuster oder Azure Data Factory kontinuierliche Replikation in Betracht gezogen werden.

Preismodell

Die Preise für Azure Data Share basieren auf der Datenübertragung von der Quelle des Anbieters zum Data Share Service zuzüglich monatlicher Gebühren für Snapshot-basierte Shares.

  • Snapshot-basiertes Teilen: $0,25 pro Datensatz und Monat (für den ersten Datensatz) plus Datenübertragungskosten (Standard-Azure-Ausgangsraten für regionenübergreifende Übertragungen).
  • In-Place-Sharing: $0,25 pro Datensatz pro Monat plus $0,005 pro GB Daten, die vom Verbraucher gescannt wurden.

Die Datenübertragung zwischen Azure-Diensten innerhalb derselben Region ist kostenlos, wodurch die interne gemeinsame Nutzung kostengünstig ist.

Vergleich mit Alternativen

Für Leser, die Datenfreigabeoptionen bewerten, finden Sie hier einen kurzen Vergleich mit anderen Microsoft-Diensten:

  • Azure Data Factory: In erster Linie ein Orchestrierungs- und Transformationstool; kann für den Datenaustausch verwendet werden, es fehlt jedoch die zweckgerichtete Governance, Einladungen und Auditierung von Data Share. Data Factory ist besser für komplexe ETL-Jobs geeignet.
  • Azure Event Hubs / Service Bus: Ideal für Echtzeit-Event-Streaming, nicht für die gemeinsame Nutzung von Massen-Batch-Daten.
  • Azure Storage Shared Access Signatures (SAS): Eine einfachere Möglichkeit, temporären Zugriff auf Speichercontainer zu gewähren, jedoch ohne eingebaute Automatisierung, inkrementelle Updates oder Integration mit Azure AD-Zustimmung. SAS-Token können per E-Mail geteilt werden – anfällig für Sicherheitsrisiken und fehlende Rechenschaftspflicht.

Schlussfolgerung

Azure Data Share schließt eine kritische Lücke im modernen Daten-Ökosystem: eine First-Party-, sichere und automatisierte Methode zum Teilen von Daten über organisatorische Grenzen hinweg. Seine Unterstützung für Snapshot- und In-Place-Modi, die tiefe Integration mit Azure-Sicherheits- und Compliance-Services und der einfache Workflow machen es zu einer attraktiven Wahl für Unternehmen, die eine geregelte Datenzusammenarbeit benötigen. Durch die Einhaltung der hier beschriebenen Best Practices - insbesondere in Bezug auf inkrementelle Snapshots, private Endpunkte und sorgfältige Quelldatenorganisation - können Organisationen den Wert ihrer Datenfreigabeinitiativen maximieren und gleichzeitig die volle Kontrolle über sensible Informationen behalten.