Découverte de données & Classification dans Azure Synapse Analytics

La découverte et la classification des données sont intégrées aux pools SQL dédiés Azure Synapse Analytics. Il offre des capacités pour découvrir, classer, étiqueter et signaler des données sensibles dans vos bases de données.

La découverte et classification des données n’est pas prise en charge pour les pools SQL serverless.

Vos données les plus sensibles peuvent inclure des informations commerciales, financières, médicales ou personnelles. Elles peuvent servir d’infrastructure pour :

  • Respectez les normes de confidentialité des données et les exigences de conformité réglementaire.
  • Prendre en charge des scénarios de sécurité, tels que la surveillance (audit) de l’accès aux données sensibles.
  • Contrôler l’accès et renforcer la sécurité des bases de données contenant des données hautement sensibles.

Qu’est-ce que la découverte et la classification des données ?

La fonction Découverte et classification des données prend actuellement en charge les fonctionnalités suivantes :

  • Découverte et recommandations : Le moteur de classification analyse votre base de données et identifie les colonnes contenant des données potentiellement sensibles. Il vous offre ensuite un moyen simple d’examiner et d’appliquer la classification recommandée via le portail Azure.

  • Étiquetage : Vous pouvez appliquer de manière persistante des étiquettes de classification de sensibilité aux colonnes en utilisant des attributs de métadonnées dans le moteur de la base de données. Vous pouvez ensuite utiliser ces métadonnées pour des scénarios d’audit basés sur la sensibilité.

  • Sensibilité du jeu de résultats de requête : La sensibilité du jeu de résultats de requête est calculée en temps réel à des fins d’audit.

  • Visibilité : Vous pouvez afficher l’état de classification de la base de données dans un tableau de bord détaillé dans le portail Azure. En outre, vous pouvez télécharger un rapport au format Excel pour l’utiliser à des fins de conformité et d’audit, et d’autres besoins.

Découvrir, classer et étiqueter des colonnes contenant des données sensibles

Cette section décrit les étapes pour :

  • Découvrir, classer et étiqueter les colonnes qui contiennent des données sensibles dans votre base de données.
  • Afficher l’état actuel de la classification de votre base de données et exporter des rapports.

La classification comprend deux attributs de métadonnées :

  • Étiquettes : Les principaux attributs de classification utilisés pour définir le niveau de sensibilité des données stockées dans la colonne.
  • Types d'informations : Attributs qui fournissent des informations plus granulaires sur le type des données stockées dans la colonne.

Stratégie de protection des informations

Azure Synapse Analytics utilise la politique SQL Information Protection pour la classification des données.

Stratégie de protection des informations SQL

La découverte et classification des données inclut un ensemble intégré d’étiquettes de sensibilité et de types d’information, avec une logique de découverte qui fonctionne nativement avec le serveur logique SQL. Utilisez les étiquettes de protection disponibles dans le fichier de politique par défaut, ou personnalisez cette taxonomie. Définissez un ensemble et un classement de constructions de classification spécifiquement adaptées à votre environnement.

Définir et personnaliser votre taxonomie de classification

Définissez et personnalisez votre taxonomie de classification en un seul endroit central pour l’ensemble de votre organisation Azure. Utilisez Microsoft Defender for Cloud, dans le cadre de votre politique de sécurité. Seule une personne disposant de droits administratifs au sein du groupe de gestion racine de l’organisation peut accomplir cette tâche.

Dans le cadre de la gestion des stratégies, vous pouvez définir des étiquettes personnalisées, les classer et les associer à un ensemble de types d’informations. Vous pouvez également ajouter vos propres types d’informations personnalisés et les configurer avec des modèles de chaîne. Les modèles sont ajoutés à la logique de détection pour identifier ce type de données dans vos bases de données.

Pour plus d’informations, consultez Personnaliser la stratégie de protection des informations SQL dans Microsoft Defender pour le cloud (préversion).

Après avoir défini la politique à l’échelle de l’organisation, continuez à classer les bases de données individuelles en utilisant votre politique personnalisée.

Classer la base de données en mode de stratégie SQL Information Protection

Note

L’exemple suivant utilise Azure SQL Database, mais vous devez choisir le produit approprié pour lequel vous souhaitez configurer la découverte et la classification des données.

  1. Accédez au Portail Azure.

  2. Accédez à Découverte et classification des données sous l’en-tête Sécurité du volet Azure SQL Database. L’onglet Aperçu inclut un résumé de l’état actuel de classification de la base de données. Le résumé inclut une liste détaillée de toutes les colonnes classifiées, que vous pouvez filtrer pour ne montrer que des parties spécifiques du schéma, des types d’informations et des étiquettes. Si vous n’avez pas encore classé de colonnes, passez à l’étape 4.

  3. Pour télécharger un rapport au format Excel, sélectionnez Exporter dans le menu supérieur du volet.

  4. Pour commencer à classer vos données, sélectionnez l’onglet Classification de la page Découverte et classification des données.

    Le moteur de classification analyse votre base de données à la recherche de colonnes contenant des données potentiellement sensibles, et il fournit une liste de classifications de colonnes recommandées.

  5. Afficher et appliquer les recommandations de classification :

    • Pour afficher la liste des classifications de colonnes recommandées, sélectionnez le panneau de recommandations en bas du volet.

    • Pour accepter une recommandation associée à une colonne spécifique, sélectionnez la case dans la colonne de gauche de la ligne concernée. Pour marquer toutes les recommandations comme étant acceptées, activez la case à cocher la plus à gauche dans l’en-tête de table de recommandations.

    • Pour appliquer les recommandations sélectionnées, sélectionnez Accepter les recommandations sélectionnées.

    Note

    Le moteur de recommandation, qui effectue la recherche de données automatique et fournit des recommandations de colonne sensibles, est désactivé lorsque le mode Stratégie Protection des données Microsoft Purview est utilisé.

  6. Vous pouvez aussi, en guise d’alternative, classifier manuellement des colonnes ou, en plus de la classification basée sur les recommandations :

    1. Sélectionnez Ajouter une classification dans le menu en haut du volet.

    2. Dans la fenêtre contextuelle qui apparaît, sélectionnez le schéma, la table et la colonne que vous souhaitez classifier, ainsi que l’étiquette de sensibilité et le type d’informations.

    3. Sélectionnez Ajouter une classification en bas de la fenêtre contextuelle.

  7. Pour terminer votre classification et étiqueter de manière permanente les colonnes de base de données avec les nouvelles métadonnées de classification, sélectionnez Enregistrer dans la page Classification.

Stratégie Protection des données Microsoft Purview

Note

Microsoft Information Protection (MIP) est maintenant Protection des données Microsoft Purview. Les termes « MIP » et « Protection des données Microsoft Purview » font tous deux référence au même concept.

Les étiquettes Protection des données Microsoft Purview offrent un moyen simple et uniforme pour les utilisateurs de classer les données sensibles dans différentes applications Microsoft. Créer et gérer les étiquettes de confidentialité MIP dans le portail de conformité Microsoft Purview. Pour savoir comment créer et publier des étiquettes de confidentialité MIP dans le portail de conformité Microsoft Purview, consultez Créer et publier des étiquettes de confidentialité.

Conditions préalables pour passer à Stratégie Protection des données Microsoft Purview

  • La définition ou la modification de la politique de protection de l’information définit la politique de protection de l’information pour toutes les bases de données du tenant. Vous devez disposer de l’autorisation Security Admin à l’échelle du locataire pour modifier la stratégie de protection des informations de SQL Information Protection vers la stratégie MIP, ou inversement.

  • Un utilisateur ou une persona disposant de l’autorisation Administrateur de la sécurité à l’échelle du locataire peut appliquer la politique au niveau du groupe de gestion racine du locataire. Pour plus d’informations, consultez Vous accorder des autorisations pour l’ensemble du locataire.

  • Votre locataire dispose d’un abonnement Microsoft 365 actif et des étiquettes sont publiées pour l’utilisateur actuel. Pour plus d’informations, voir Créer et configurer les étiquettes de confidentialité et leurs stratégies.

Classifier la base de données en mode Stratégie Protection des données Microsoft Purview

  1. Accédez au Portail Azure.
  2. Accédez à votre base de données sur Azure.
  3. Accédez à Découverte et classification des données sous l’en-tête Sécurité du volet de la base de données.
  4. Pour sélectionner Stratégie de Microsoft Information Protection, sélectionnez l’onglet Vue d’ensemble, puis sélectionnez Configurer.
  5. Sélectionnez Stratégie de Microsoft Information Protection dans les options Stratégie de protection des informations, puis sélectionnez Enregistrer.
  6. Si vous allez dans l’onglet Classification ou sélectionnez Ajouter classification, vous voyez apparaître les étiquettes de sensibilité Microsoft 365 dans la liste déroulante des étiquettes de sensibilité.
  • Le type des informations est [n/a] tant que vous êtes en mode Stratégie MIP, et tant que la découverte automatique des données et les recommandations restent désactivées.
  • Une icône d’avertissement peut apparaître sur une colonne déjà classée si celle-ci a été classée selon une politique de Information Protection différente de la politique actuellement active. Par exemple, si la colonne a été classée en utilisant une étiquette avec une politique SQL Information Protection auparavant et que vous êtes maintenant en mode politique Microsoft Information Protection, vous voyez une icône d'avertissement contre cette colonne spécifique. L’icône d’avertissement est informative et n’indique pas de problème.

Protection des données Microsoft Purview Policies for Azure SQL Database

Important

Les politiques Protection des données Microsoft Purview pour Azure SQL Database sont retirées. Vous ne pouvez plus configurer ou imposer le contrôle d’accès sur les colonnes sensibles via les politiques d’accès Protection des données Microsoft Purview (MIP), et les politiques d’accès existantes configurées via cette fonctionnalité ne sont plus appliquées.

Auparavant, Azure SQL Database supportait l’application du contrôle d’accès sur les colonnes étiquetées avec les labels de sensibilité Protection des données Microsoft Purview en utilisant les politiques d’accès Purview.

Les politiques de protection de Microsoft Purview qui contrôlent l’accès via des labels de sensibilité sont toujours disponibles dans Microsoft Fabric. Pour plus d’informations, consultez Politiques de protection dans Microsoft Fabric.

Audit de l’accès aux données sensibles

Un aspect important de la classification est la capacité à surveiller l’accès aux données sensibles. Azure Synapse Analytics auditing inclut un champ dans le journal d’audit appelé data_sensitivity_information. Ce champ enregistre les classifications de sensibilité (étiquettes) des données qu’une requête retourne.

Ces activités T-SQL sont auditables avec des informations de sensibilité :

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Utilisez sys.fn_get_audit_file pour retourner des informations à partir d’un fichier d’audit stocké dans un compte de stockage Azure.

Permissions

Ces rôles intégrés peuvent lire la classification des données d’une base de données :

  • Owner
  • Reader
  • Contributeur
  • Gestionnaire de sécurité SQL
  • Administrateur de l'accès utilisateur

Pour lire la classification des données d’une base de données, vous avez besoin de ces actions :

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Ces rôles intégrés peuvent modifier la classification des données d’une base de données :

  • Owner
  • Contributeur
  • Gestionnaire de sécurité SQL

Pour modifier la classification des données d’une base de données, vous avez besoin de cette autorisation :

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

En savoir plus sur les autorisations en fonction du rôle dans Azure RBAC.

Note

Les rôles intégrés Azure SQL dans cette section s'appliquent à un pool SQL dédié (anciennement SQL DW) mais ne sont pas disponibles pour les pools SQL dédiés et autres ressources SQL dans les espaces de travail Azure Synapse. Pour les ressources SQL dans les espaces de travail Azure Synapse, utilisez les actions disponibles pour la classification des données afin de créer des rôles Azure personnalisés selon les besoins pour l’étiquetage. Pour plus d’informations sur les opérations du fournisseurMicrosoft.Synapse/workspaces/sqlPools, consultez Microsoft.Synapse.

Gérer les classifications

Vous pouvez utiliser T-SQL, une API REST ou PowerShell pour gérer les classifications.

Utiliser T-SQL

Vous pouvez utiliser T-SQL pour ajouter/supprimer des classifications de colonne, ainsi que pour récupérer toutes les classifications pour la base de données entière.

Note

Lorsque vous utilisez T-SQL pour gérer les étiquettes, il n’y a aucune validation que les labels que vous ajoutez à une colonne existent dans la politique de protection de l’information de l’organisation (l’ensemble des étiquettes qui apparaissent dans les recommandations du portail). Il faut valider.

Pour plus d’informations sur l’utilisation de T-SQL pour les classifications, consultez les références suivantes :

Utiliser des applets de commande PowerShell

Gérez les classifications et recommandations pour Azure SQL Database et Azure SQL Managed Instance en utilisant PowerShell.

Cmdlets PowerShell pour Azure SQL Database

Utiliser l’API REST

Vous pouvez utiliser l’API REST pour gérer par programme les classifications et les recommandations. L’API REST publiée prend en charge les opérations suivantes :

Récupérer les métadonnées de classification à l’aide de pilotes SQL

Vous pouvez utiliser les pilotes SQL suivants pour récupérer les métadonnées de classification :

Questions fréquentes (FAQ) - Fonctionnalités de classification avancées

Question : Microsoft Purview remplacera-t-il SQL Data Discovery & Classification ou SQL Data Discovery & Classification sera-t-il bientôt retiré ? Réponse : Nous continuons à prendre en charge la fonctionnalité Découverte et classification des données SQL et vous encourageons à adopter Microsoft Purview, qui offre des fonctionnalités plus riches en termes de classification avancée et de gouvernance des données. Si nous décidons de mettre hors service un service, une fonctionnalité, une API ou un SKU, vous recevrez un avis préalable incluant une migration ou un chemin de transition. Pour plus d’informations, consultez les stratégies de cycle de vie Microsoft.

Contenu connexe

  • Dernière mise à jour :