Row-Level Security (RLS)

Row-Level Security (RLS) giới hạn mỗi người dùng chỉ thấy phần dữ liệu được phép — cùng một báo cáo, nhưng nhân viên vùng A chỉ thấy dữ liệu vùng A.

Cách RLS hoạt động

Tạo role trên semantic model (Desktop).
Gán DAX filter cho bảng trong role đó.
Gán người dùng vào role trên Service.

Static RLS (cố định)

-- Role "Vùng Miền Bắc": chỉ thấy dữ liệu miền Bắc
[Region] = "Miền Bắc"

Mỗi vùng một role — đơn giản nhưng nhiều vùng thì nhiều role.

Dynamic RLS (động)

-- Một role áp cho tất cả, lọc theo email người đăng nhập
[UserEmail] = USERPRINCIPALNAME()

USERPRINCIPALNAME() trả về email người đang xem.
Cần bảng ánh xạ người dùng ↔ phạm vi dữ liệu trong model.
Một role phục vụ mọi người — dễ bảo trì hơn nhiều static.

Lưu ý quan trọng

RLS áp ở semantic model → áp cho mọi report dùng model đó.
Test role ngay trong Desktop (“View as role”) trước khi publish.
Người ở vai trò Admin/Member/Contributor của workspace bỏ qua RLS khi xem trong workspace — RLS áp cho Viewer và người dùng app.