Data Discovery & Klassifikation in Azure Synapse Analytics

Datenentdeckung & Klassifikation ist in die dedizierten SQL-Pools von Azure Synapse Analytics integriert. Es bietet Funktionen zur Entdeckung, Klassifizierung, Beschriftung und Meldung sensibler Daten in Ihren Datenbanken.

Data Discovery & Classification wird für serverlose SQL-Pools nicht unterstützt.

Zu den vertraulichsten Daten gehören Geschäfts-, Finanz-, Gesundheits- und personenbezogene Informationen. Sie kann für Folgendes als Infrastruktur gelten:

  • Erfüllen Sie Datenschutzstandards und regulatorische Compliance-Anforderungen.
  • Unterstützen Sie Sicherheitsszenarien, wie das Überwachen (Prüfen) des Zugriffs auf sensible Daten.
  • Kontrollieren Sie den Zugang zu Datenbanken und härten Sie die Sicherheit von Datenbanken, die hochsensible Daten enthalten.

Was ist die Datenermittlung und -klassifizierung?

Die Datenermittlung und -klassifizierung unterstützt derzeit die folgenden Funktionen:

  • Ermittlung und Empfehlungen: Das Klassifizierungsmodul scannt Ihre Datenbank und identifiziert Spalten, die unter Umständen vertrauliche Daten enthalten. Es bietet dann eine einfache Möglichkeit, die Ergebnisse zu überprüfen und die empfohlenen Klassifizierungen über das Azure-Portal anzuwenden.

  • Labeling: Sie können Sensitivitätsklassifikationslabels dauerhaft auf Spalten anwenden, indem Sie Metadatenattribute in der Datenbank-Engine verwenden. Diese Metadaten können dann für Auditierungsszenarien auf Basis der Sensitivität verwendet werden.

  • Vertraulichkeit von Abfrageergebnissen: Die Vertraulichkeit von Abfrageergebnissen wird zu Überwachungszwecken in Echtzeit berechnet.

  • Transparenz: Der Klassifizierungsstatus der Datenbank kann in einem detaillierten Dashboard im Azure-Portal angezeigt werden. Darüber hinaus können Sie einen Bericht (im Excel-Format) herunterladen, der für Compliance- und Überwachungszwecke und andere Anforderungen verwendet werden kann.

Entdecken, Klassifizieren und Kennzeichnen von vertraulichen Spalten

In diesem Abschnitt werden die Schritte für folgende Maßnahmen beschrieben:

  • Ermitteln, Klassifizieren und Bezeichnen von Spalten mit vertraulichen Daten in Ihrer Datenbank
  • Anzeigen des aktuellen Klassifizierungsstatus Ihrer Datenbank und Exportieren von Berichten

Die Klassifizierung umfasst zwei Metadatenattribute:

  • Bezeichnungen: Die wichtigsten Klassifizierungsattribute zum Definieren der Vertraulichkeitsstufe der in der Spalte gespeicherten Daten.
  • Informationstypen: Attribute mit detaillierteren Informationen zum Typ der in der Spalte gespeicherten Daten.

Information Protection-Richtlinie

Azure Synapse Analytics verwendet SQL Information Protection Policy für Datenklassifizierung.

SQL Information Protection-Richtlinie

Data Discovery & Classification umfasst einen integrierten Satz von Sensitivitätslabels und Informationstypen mit Discovery-Logik, die nativ mit dem SQL-logischen Server arbeitet. Verwenden Sie die Schutzetiketten in der Standardrichtliniendatei oder passen Sie diese Taxonomie an. Definieren Sie eine Menge und Rangfolge von Klassifikationskonstrukten, die speziell für Ihre Umgebung gelten.

Definieren und Anpassen der Klassifizierungstaxonomie

Definieren und passen Sie Ihre Klassifikationstaxonomie an einem zentralen Ort für Ihre gesamte Azure-Organisation an. Nutzen Sie Microsoft Defender for Cloud als Teil Ihrer Sicherheitspolitik. Nur jemand mit administrativen Rechten in der Root-Management-Gruppe der Organisation kann diese Aufgabe erfüllen.

Im Rahmen der Richtlinienverwaltung können Sie benutzerdefinierte Bezeichnungen definieren, deren Rangfolge festlegen und sie einer ausgewählten Gruppe von Informationstypen zuordnen. Sie können auch eigene benutzerdefinierte Informationstypen hinzufügen und diese mit Zeichenfolgenmustern konfigurieren. Die Muster werden der Ermittlungslogik hinzugefügt, um diese Datentypen in Ihren Datenbanken zu identifizieren.

Weitere Informationen finden Sie unter Anpassen der SQL Information Protection-Richtlinie in Microsoft Defender für Cloud (Vorschau).

Nachdem Sie die unternehmensweite Richtlinie definiert haben, fahren Sie fort, einzelne Datenbanken mit Ihrer individuellen Richtlinie zu klassifizieren.

Klassifizieren der Datenbank im SQL Information Protection-Richtlinienmodus

Hinweis

Das folgende Beispiel verwendet Azure SQL-Datenbank, aber du solltest das passende Produkt auswählen, für das du Data Discovery & Classification konfigurieren möchtest.

  1. Gehen Sie zu Azure-Portal.

  2. Navigieren Sie im Bereich von Azure SQL-Datenbank unter der Überschrift Sicherheit zu Datenermittlung und -klassifizierung. Der Reiter Übersicht enthält eine Zusammenfassung des aktuellen Klassifikationszustands der Datenbank. Die Zusammenfassung enthält eine detaillierte Liste aller klassifizierten Spalten, die Sie filtern können, um nur spezifische Schemateile, Informationstypen und Beschriftungen anzuzeigen. Wenn du noch keine Spalten klassifiziert hast, spring zu Schritt 4.

  3. Um einen Bericht im Excel-Format herunterzuladen, wählen Sie oben im Fenster im Menü die Option Exportieren aus.

  4. Um mit der Klassifizierung Ihrer Daten zu beginnen, wählen Sie die Registerkarte Klassifizierung auf der Seite Datenermittlung und -klassifizierung aus.

    Die Klassifizierungs-Engine scannt Ihre Datenbank nach Spalten, die potenziell vertrauliche Daten enthalten, und erstellt eine Liste der empfohlenen Spaltenklassifizierungen.

  5. Anzeigen und Anwenden von Klassifizierungsempfehlungen:

    • Um die Liste der empfohlenen Spaltenklassifizierungen anzuzeigen, wählen Sie unten im Bereich den Empfehlungsbereich aus.

    • Zum Akzeptieren einer Empfehlung für eine bestimmte Spalte aktivieren Sie das Kontrollkästchen in der linken Spalte der entsprechenden Zeile. Sie können auch alle Empfehlungen als akzeptiert markieren, indem Sie das Kontrollkästchen ganz links im Tabellenkopf der Empfehlungen aktivieren.

    • Wählen Sie zum Anwenden der ausgewählten Empfehlungen die Option Ausgewählte Empfehlungen annehmen aus.

    Hinweis

    Die Empfehlungs-Engine, die die automatische Datenerkennung durchführt und Empfehlungen für vertrauliche Spalten bereitstellt, wird deaktiviert, wenn der Richtlinienmodus für Microsoft Purview Information Protection verwendet wird.

  6. Alternativ oder zusätzlich zur empfehlungsbasierten Klassifizierung können Sie Spalten auch manuell klassifizieren:

    1. Wählen Sie im oberen Menü des Bereichs Klassifizierung hinzufügen aus.

    2. Wählen Sie im daraufhin geöffneten Kontextfenster das Schema, die Tabelle und dann die Spalte, die Sie klassifizieren möchten, sowie den Informationstyp und die Vertraulichkeitsbezeichnung aus.

    3. Wählen Sie dann am unteren Rand des Kontextfensters die Option Klassifizierung hinzufügen aus.

  7. Wählen Sie auf der Seite Klassifizierung die Option Speichern aus, um Ihre Klassifizierung abzuschließen und die Datenbankspalten dauerhaft mit den neuen Klassifizierungsmetadaten (Tags) zu bezeichnen.

Microsoft Purview Information Protection-Richtlinie

Hinweis

Microsoft Information Protection (MIP) ist jetzt Microsoft Purview Information Protection. Sowohl "MIP" als auch "Microsoft Purview Information Protection" beziehen sich auf dasselbe Konzept.

Microsoft Purview Information Protection-Etiketten bieten eine einfache und einheitliche Möglichkeit für Nutzer, sensible Daten in verschiedenen Microsoft-Anwendungen zu klassifizieren. Erstellen und verwalten Sie MIP-Sensitivitätslabels im Microsoft Purview Compliance Portal. Informationen zum Erstellen und Veröffentlichen von MIP-Vertraulichkeitsbezeichnungen im Microsoft Purview-Complianceportal finden Sie unter Erstellen und Veröffentlichen von Vertraulichkeitsbezeichnungen.

Voraussetzungen für den Wechsel zur Microsoft Purview Information Protection-Richtlinie

  • Das Festlegen oder Ändern der Informationsschutzrichtlinie legt die Informationsschutzrichtlinie für alle Datenbanken unter dem Mandanten fest. Sie benötigen die mandantenweite Berechtigung Security Admin, um die Information Protection-Richtlinie von SQL Information Protection Policy auf MIP Policy zu ändern oder umgekehrt.

  • Ein Benutzer oder eine Persona mit tenant-weiter Sicherheitsadministrator-Berechtigung kann die Richtlinie auf Ebene der Root-Management-Gruppe des Tenants anwenden. Weitere Informationen finden Sie unter Erteilen von mandantenweiten Berechtigungen an sich selbst.

  • Ihr Mandant verfügt über ein aktives Microsoft 365-Abonnement, und Sie haben Bezeichnungen für den aktuellen Benutzer veröffentlicht. Weitere Informationen finden Sie unter Erstellen und Konfigurieren von Sensitivitätslabels und deren Richtlinien.

Klassifizieren der Datenbank im Richtlinienmodus für Microsoft Purview Information Protection

  1. Gehen Sie zu Azure-Portal.
  2. Navigiere in Azure zu deiner Datenbank.
  3. Navigieren Sie im Bereich „Datenbank“ unter der Überschrift Sicherheit zu Datenermittlung und -klassifizierung.
  4. Um die Microsoft Information Protection-Richtlinie auszuwählen, wählen Sie die Registerkarte Übersicht und dann Konfigurieren aus.
  5. Wählen Sie Microsoft Information Protection-Richtlinie in den Information Protection-Richtlinienoptionen aus, und wählen Sie Speichern aus.
  6. Wenn Sie zum Tab Klassifikation gehen oder Hinzufügen Klassifizierung auswählen, erscheinen Microsoft 365 Sensitivitätslabels in der Dropdown-Liste für Sensitivitätsetiketten.
  • Im MIP-Richtlinienmodus ist der Informationstyp [n/a], und die automatische Datenermittlung und die Empfehlungen bleiben deaktiviert.
  • Ein Warnsymbol könnte neben einer bereits klassifizierten Spalte angezeigt werden, wenn die Spalte mithilfe einer anderen Informationsschutzrichtlinie als der derzeit aktiven Richtlinie klassifiziert wurde. Wenn zum Beispiel die Spalte früher mit einem Label mit SQL Information Protection Policy klassifiziert wurde und Sie sich jetzt im Microsoft Information Protection Policy-Modus befinden, sehen Sie ein Warnsymbol hinter dieser Spalte. Das Warnsymbol ist informativ und zeigt kein Problem an.

Microsoft Purview Information Protection-Richtlinien für Azure SQL-Datenbank

Important

Die Microsoft Purview Information Protection-Richtlinien für Azure SQL-Datenbank sind eingestellt. Sie können keine Zugriffskontrolle mehr für sensible Spalten über Microsoft Purview Information Protection (MIP) Zugriffsrichtlinien konfigurieren oder durchsetzen, und bestehende Zugriffsrichtlinien, die über diese Funktion konfiguriert sind, werden nicht mehr durchgesetzt.

Zuvor unterstützte Azure SQL-Datenbank die Durchsetzung von Zugriffskontrollen auf Spalten, die mit Microsoft Purview Information Protection-Sensitivitätsetiketten beschriftet waren, mittels Purview-Zugriffsrichtlinien.

Microsoft Purview-Schutzrichtlinien, die den Zugriff über Sensitivitätsetiketten steuern, sind weiterhin in Microsoft Fabric verfügbar. Weitere Informationen finden Sie unter Schutzrichtlinien in Microsoft Fabric.

Überwachen des Zugriffs auf vertrauliche Daten

Ein wichtiger Aspekt der Klassifizierung ist die Fähigkeit, den Zugriff auf sensible Daten zu überwachen. Azure Synapse Analytics Auditing enthält ein Feld im Auditlog namens data_sensitivity_information. Dieses Feld protokolliert die Sensitivitätsklassifikationen (Labels) der Daten, die eine Abfrage zurückgibt.

Diese T-SQL-Aktivitäten sind mit Sensitivitätsinformationen prüfbar:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Verwenden Sie sys.fn_get_audit_file, um Informationen aus einer Überwachungsdatei zurückzugeben, die in einem Azure Storage-Konto gespeichert ist.

Erlaubnisse

Diese integrierten Rollen können die Datenklassifizierung einer Datenbank lesen:

  • Owner
  • Reader
  • Mitwirkender
  • SQL-Sicherheitsmanager
  • Benutzerzugriffsadministrator

Um die Datenklassifikation einer Datenbank zu lesen, benötigen Sie folgende Maßnahmen:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Diese integrierten Rollen können die Datenklassifizierung einer Datenbank ändern:

  • Owner
  • Mitwirkender
  • SQL-Sicherheitsmanager

Um die Datenklassifikation einer Datenbank zu ändern, benötigen Sie diese Aktion:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Hier erfahren Sie mehr über rollenbasierte Berechtigungen unter Azure RBAC.

Hinweis

Die in diesem Abschnitt eingebauten Azure SQL-Rollen gelten für einen dedizierten SQL-Pool (früher SQL DW), sind jedoch nicht für dedizierte SQL-Pools und andere SQL-Ressourcen innerhalb von Azure Synapse-Arbeitsbereichen verfügbar. Für SQL-Ressourcen in Azure Synapse-Arbeitsbereichen verwenden Sie die verfügbaren Aktionen für die Datenklassifikation, um benutzerdefinierte Azure-Rollen nach Bedarf für die Beschriftung zu erstellen. Weitere Informationen zu den Operationen des Microsoft.Synapse/workspaces/sqlPools-Anbieters finden Sie unter Microsoft.Synapse.

Verwalten von Klassifizierungen

Sie können zum Verwalten von Klassifizierungen T-SQL, eine REST-API oder PowerShell verwenden.

Verwenden von T-SQL

Mit T-SQL können Sie Spaltenklassifizierungen hinzufügen oder entfernen sowie alle Klassifizierungen für die gesamte Datenbank abrufen.

Hinweis

Wenn Sie T-SQL zur Verwaltung von Labels verwenden, gibt es keine Validierung dafür, dass die Labels, die Sie einer Spalte hinzufügen, in der Informationsschutzrichtlinie der Organisation existieren (die Menge der Labels, die in den Portal-Empfehlungen erscheinen). Du musst validieren.

Weitere Informationen zur Verwendung von T-SQL für Klassifizierungen finden Sie in den folgenden Ressourcen:

Verwenden von PowerShell-Cmdlets

Verwalten Sie Klassifikationen und Empfehlungen für Azure SQL-Datenbank und Azure SQL Managed Instance mithilfe von PowerShell.

PowerShell-Cmdlets für Azure SQL-Datenbank

Verwenden der REST-API

Sie können die REST-API verwenden, um Klassifizierungen und Empfehlungen programmgesteuert zu verwalten. Die veröffentlichte REST-API unterstützt die folgenden Vorgänge:

Abrufen von Klassifizierungsmetadaten mit SQL-Treibern

Sie können die folgenden SQL-Treiber verwenden, um Klassifizierungsmetadaten abzurufen:

FAQ: Erweiterte Klassifizierungsfunktionen

Frage: Wird Microsoft Purview SQL Data Discovery & Classification ersetzen oder wird SQL Data Discovery & Classification bald eingestellt? Antwort: Wir unterstützen weiterhin die SQL-Datenermittlung und -klassifizierung und empfehlen die Verwendung des Diensts Microsoft Purview, der umfassendere Funktionen für die erweiterte Klassifizierung und Data Governance bietet. Wenn wir uns entscheiden, einen Service, eine Funktion, API oder eine SKU einzustellen, erhalten Sie eine Vorabbenachrichtigung, einschließlich eines Migrations- oder Übergangspfades. Weitere Informationen finden Sie in den Microsoft Lifecycle-Richtlinien.

Verwandte Inhalte

  • Zuletzt aktualisiert um