Data Discovery & Classification in Azure Synapse Analytics

Data Discovery & Classification je integrovaná v dedikovaných SQL fondech Azure Synapse Analytics. Poskytuje možnosti pro objevování, klasifikaci, označování a hlášení citlivých dat ve vašich databázích.

Data Discovery & Classification není podporováno pro serverless SQL pooly.

Mezi nejcitlivější data můžou patřit obchodní, finanční, zdravotnické nebo osobní údaje. Může sloužit jako infrastruktura pro:

  • Splňte standardy ochrany osobních údajů a požadavky na dodržování předpisů.
  • Podporujte bezpečnostní scénáře, jako je monitorování (audit) přístupu k citlivým datům.
  • Kontrolovat přístup k databázím obsahujícím vysoce citlivá data a zpřísnit jejich zabezpečení.

Co je zjišťování a klasifikace dat?

Zjišťování a klasifikace dat v současné době podporuje následující možnosti:

  • Zjišťování a doporučení: Klasifikační modul prohledá databázi a identifikuje sloupce, které obsahují potenciálně citlivá data. Poté vám poskytne snadný způsob, jak zkontrolovat a použít doporučenou klasifikaci prostřednictvím webu Azure Portal.

  • Označování: Štítky citlivosti můžete trvale aplikovat na sloupce pomocí atributů metadat v databázovém enginu. Tato metadata se pak dají použít pro scénáře auditování na základě citlivosti.

  • Citlivost sady výsledků dotazu: Citlivost sady výsledků dotazu se počítá v reálném čase pro účely auditování.

  • Viditelnost: Stav klasifikace databáze můžete zobrazit na podrobném řídicím panelu na webu Azure Portal. Můžete si také stáhnout sestavu ve formátu Excelu, která se použije pro účely dodržování předpisů a auditování a další potřeby.

Zjišťování, klasifikace a označování citlivých sloupců

Tato část popisuje kroky pro:

  • Zjišťování, klasifikace a označování sloupců obsahujících citlivá data v databázi
  • Zobrazení aktuálního stavu klasifikace databáze a export sestav

Klasifikace obsahuje dva atributy metadat:

  • Popisky: Hlavní atributy klasifikace, které slouží k definování úrovně citlivosti dat uložených ve sloupci.
  • Typy informací: Atributy, které poskytují podrobnější informace o typu dat uložených ve sloupci.

Zásady služby Information Protection

Azure Synapse Analytics používá SQL Information Protection policy pro klasifikaci dat.

Zásady služby SQL Information Protection

Data Discovery & Classification zahrnuje vestavěnou sadu štítků citlivosti a typů informací s logikou objevování, která funguje nativně s logickým serverem SQL. Použijte popisky ochrany dostupné v souboru výchozích zásad, nebo upravte tuto taxonomii. Definujte sadu a hodnocení klasifikačních konstrukcí speciálně pro vaše prostředí.

Definování a přizpůsobení taxonomie klasifikace

Definujte a přizpůsobte svou klasifikační taxonomii na jednom místě pro celou vaši organizaci Azure. Používejte Microsoft Defender for Cloud jako součást své bezpečnostní politiky. Tento úkol může dokončit pouze někdo s administrátorskými právy v kořenové skupině pro správu organizace.

Jako součást správy zásad můžete definovat vlastní popisky, řadit je a přidružit k vybrané sadě typů informací. Můžete také přidat vlastní typy informací a nakonfigurovat je pomocí vzorů řetězců. Vzory se přidají do logiky zjišťování pro identifikaci tohoto typu dat v databázích.

Další informace najdete v tématu Přizpůsobení zásad ochrany informací SQL v programu Microsoft Defender for Cloud (Preview).

Poté, co definujete celoorganizační politiku, pokračujte v klasifikaci jednotlivých databází pomocí vaší přizpůsobené politiky.

Klasifikace databáze v režimu zásad služby SQL Information Protection

Poznámka:

Následující příklad používá Azure SQL Database, ale měli byste vybrat vhodný produkt, pro který chcete nakonfigurovat Data Discovery & Classification.

  1. Přejděte na portál Azure.

  2. V podokně Azure SQL Database přejděte do části Zjišťování a klasifikace dat pod nadpisem Zabezpečení . Záložka Přehled obsahuje shrnutí aktuálního stavu klasifikace databáze. Shrnutí obsahuje podrobný seznam všech klasifikovaných sloupců, které můžete filtrovat tak, aby zobrazovaly pouze konkrétní části schématu, typy informací a štítky. Pokud jste ještě žádné sloupce neklasifikovali, přeskočte na krok 4.

  3. Pokud chcete stáhnout sestavu ve formátu Excelu, vyberte Exportovat v horní nabídce podokna.

  4. Pokud chcete začít klasifikovat data, vyberte kartu Klasifikace na stránce Zjišťování a klasifikace dat.

    Klasifikační modul prohledává ve vaší databázi sloupce obsahující potenciálně citlivá data a poskytuje seznam doporučených klasifikací sloupců.

  5. Zobrazení a použití doporučení klasifikace:

    • Pokud chcete zobrazit seznam doporučených klasifikací sloupců, vyberte panel doporučení v dolní části podokna.

    • Pokud chcete přijmout doporučení pro konkrétní sloupec, zaškrtněte políčko v levém sloupci příslušného řádku. Pokud chcete označit všechna doporučení jako přijatá, zaškrtněte políčko úplně vlevo v záhlaví tabulky doporučení.

    • Pokud chcete vybraná doporučení použít, vyberte Přijmout vybraná doporučení.

    Poznámka:

    Modul doporučení, který provádí automatické zjišťování dat a poskytuje doporučení citlivých sloupců, je při použití režimu zásad Microsoft Purview Information Protection zakázán.

  6. Sloupce můžete také klasifikovat ručně, jako alternativu nebo kromě klasifikace založené na doporučení:

    1. V horní nabídce podokna vyberte Přidat klasifikaci .

    2. V okně kontextu, které se otevře, vyberte schéma, tabulku a sloupec, které chcete klasifikovat, a typ informací a popisek citlivosti.

    3. Vyberte Přidat klasifikaci v dolní části kontextového okna.

  7. Pokud chcete dokončit klasifikaci a trvale označit sloupce databáze novými metadaty klasifikace, vyberte Uložit na stránce Klasifikace .

Zásady microsoft Purview Information Protection

Poznámka:

Microsoft Information Protection (MIP) je nyní Microsoft Purview Information Protection. Jak "MIP", tak "Microsoft Purview Information Protection" označují stejný pojem.

Microsoft Purview Information Protection štítky poskytují jednoduchý a jednotný způsob, jak mohou uživatelé klasifikovat citlivá data napříč různými aplikacemi Microsoft. Vytvářejte a spravujte štítky citlivosti MIP v portálu dodržování předpisů Microsoft Purview. Informace o tom, jak vytvářet a publikovat štítky citlivosti MIP v portálu pro dodržování předpisů Microsoft Purview, naleznete v tématu Vytváření a publikování štítků citlivosti.

Požadavky na přechod na zásady Microsoft Purview Information Protection

  • Nastavení nebo změna politiky ochrany informací nastavuje politiku ochrany informací pro všechny databáze v tenantovi. Musíte mít oprávnění Security Admin pro celého nájemce, abyste mohli změnit zásady ochrany informací ze SQL Information Protection policy na MIP policy nebo naopak.

  • Uživatel nebo persona s oprávněním Security Admin pro celý tenant může aplikovat tuto politiku na úrovni kořenové skupiny pro správu tenanta. Další informace najdete v tématu Udělení oprávnění pro celého tenanta sami sobě.

  • Váš tenant má aktivní předplatné Microsoft 365 a máte publikované štítky pro aktuálního uživatele. Další informace viz Vytvořte a nakonfigurujte popisky citlivosti a jejich zásady.

Klasifikace databáze v režimu zásad služby Microsoft Purview Information Protection

  1. Přejděte na portál Azure.
  2. Přejděte do své databáze v Azure.
  3. V podokně databáze přejděte do části Zjišťování a klasifikace dat pod nadpisem Zabezpečení .
  4. Pokud chcete vybrat zásady služby Microsoft Information Protection, vyberte kartu Přehled a vyberte Konfigurovat.
  5. V možnostech zásad služby Information Protection vyberte zásadyslužby Microsoft Information Protection a vyberte Uložit.
  6. Pokud přejdete na kartu Klasifikace nebo vyberete možnost Přidat klasifikaci, v rozevíracím seznamu Popisek citlivosti se zobrazí popisky citlivosti Microsoft 365.
  • Typ informací je [n/a] , když jste v režimu zásad MIP a automatické zjišťování dat a doporučení zůstávají zakázaná.
  • U již klasifikovaného sloupce se může zobrazit varovná ikona, pokud byl klasifikován pomocí jiné zásady ochrany informací, než je aktuálně aktivní zásada. Například pokud byl sloupec dříve klasifikován pomocí popisku ze zásad SQL Information Protection a nyní pracujete v režimu zásad Microsoft Information Protection, zobrazí se u tohoto sloupce ikona upozornění. Varovná ikona má pouze informativní charakter a neoznačuje problém.

Zásady ochrany informací Microsoft Purview pro Azure SQL Database

Important

Microsoft Purview Information Protection politiky pro Azure SQL Database jsou vyřazeny. Již nelze konfigurovat ani vynucovat kontrolu přístupu na citlivé sloupce prostřednictvím přístupových politik Microsoft Purview Information Protection (MIP) a stávající přístupové politiky konfigurované touto funkcí již nejsou vynucovány.

Dříve Azure SQL Database podporovala vynucování kontroly přístupu ve sloupcích označených štítky citlivosti Microsoft Purview Information Protection pomocí přístupových politik Purview.

Ochranné politiky Microsoft Purview, které kontrolují přístup pomocí štítků citlivosti, jsou stále dostupné v Microsoft Fabric. Pro více informací viz Politiky ochrany v Microsoft Fabric.

Auditovat přístup k citlivým datům

Důležitým aspektem klasifikace je možnost monitorovat přístup k citlivým datům. Azure Synapse Analytics auditing zahrnuje pole v auditním logu nazvané data_sensitivity_information. Toto pole zaznamenává klasifikace citlivosti (štítky) dat, která dotaz vrací.

Tyto T-SQL aktivity jsou auditovatelné s citlivými informacemi:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Pomocí sys.fn_get_audit_file můžete vracet informace ze souboru auditu uloženého v účtu Azure Storage.

Povolení

Tyto předdefinované role můžou číst klasifikaci dat databáze:

  • Owner
  • Reader
  • Contributor
  • Správce zabezpečení SQL
  • Správce uživatelských přístupů

Pro čtení klasifikace dat v databázi potřebujete tyto kroky:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Tyto předdefinované role můžou upravit klasifikaci dat databáze:

  • Owner
  • Contributor
  • Správce zabezpečení SQL

Pro úpravu klasifikace dat databáze potřebujete tuto akci:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Přečtěte si další informace o oprávněních založených na rolích v Azure RBAC.

Poznámka:

Vestavěné role Azure SQL v této sekci se vztahují na dedikovaný SQL pool (dříve SQL DW), ale nejsou dostupné pro dedikované SQL pooly a další SQL zdroje v rámci pracovních prostorů Azure Synapse. Pro SQL zdroje v pracovních prostorech Azure Synapse použijte dostupné akce pro klasifikaci dat k vytvoření vlastních Azure rolí podle potřeby pro označování. Další informace o operacích poskytovatele najdete v Microsoft.Synapse/workspaces/sqlPools tématu Microsoft.Synapse.

Správa klasifikací

Ke správě klasifikací můžete použít T-SQL, rest API nebo PowerShell.

Použití T-SQL

T-SQL můžete použít k přidání nebo odebrání klasifikací sloupců a k načtení všech klasifikací pro celou databázi.

Poznámka:

Když používáte T-SQL ke správě štítků, neprobíhá žádné ověření, zda štítky, které přidáte do sloupce, existují v zásadách ochrany informací organizace (sadě štítků, které se objevují v doporučeních portálu). Musíte to ověřit.

Informace o použití jazyka T-SQL pro klasifikace najdete v následujících odkazech:

Použití rutin PowerShell

Spravujte klasifikace a doporučení pro Azure SQL Database a Azure SQL Managed Instance pomocí PowerShellu.

Příkazy PowerShellu pro Azure SQL Database

Použití rozhraní REST API

Rozhraní REST API můžete použít ke správě klasifikací a doporučení prostřednictvím kódu programu. Publikované rozhraní REST API podporuje následující operace:

Načtení metadat klasifikací pomocí ovladačů SQL

K načtení metadat klasifikace můžete použít následující ovladače SQL:

Nejčastější dotazy – Pokročilé možnosti klasifikace

Otázka: Nahradí Microsoft Purview SQL Data Discovery & Classification, nebo bude SQL Data Discovery & Classification brzy ukončeno? Odpověď: Stále podporujeme zjišťování a klasifikaci dat SQL a doporučujeme vám přijmout Microsoft Purview , která nabízí bohatší možnosti pro řízení pokročilých klasifikací a zásad správného řízení dat. Pokud se rozhodneme ukončit jakoukoli službu, funkci, API nebo SKU, obdržíte předběžné oznámení včetně migrace nebo postupu přechodu. Další informace najdete v zásadách životního cyklu společnosti Microsoft.

Související obsah

  • Poslední aktualizace v