Data Discovery & Classification in Azure Synapse Analytics

Az adatfelderítés és -osztályozás az Azure Synapse Analytics dedikált SQL pooljaiba van beépítve. Lehetőséget ad az érzékeny adatok feltárására, osztályozására, címkézésére és jelentéskészítésére az adatbázisokban.

Az adatfelderítés és -osztályozás nem támogatott a szerver nélküli SQL-készletekben.

A legérzékenyebb adatok közé tartozhatnak üzleti, pénzügyi, egészségügyi vagy személyes adatok. Infrastruktúraként szolgálhat a következőkhöz:

  • Teljesítse az adatvédelem szabványait és a szabályozási megfelelési követelményeket.
  • Támogatják a biztonsági forgatókönyveket, például az érzékeny adatokhoz való hozzáférés figyelését (auditálását).
  • Az adatbázisokhoz való hozzáférés szabályozása és biztonságuk megerősítése, amelyek rendkívül érzékeny adatokat tartalmaznak.

Mi az a Data Discovery & besorolás?

A Data Discovery & Besorolás jelenleg a következő képességeket támogatja:

  • Felderítés és javaslatok: A besorolási motor megvizsgálja az adatbázist, és azonosítja a potenciálisan bizalmas adatokat tartalmazó oszlopokat. Így egyszerűen áttekintheti és alkalmazhatja az ajánlott besorolást az Azure Portalon.

  • Címkézés: Az érzékenységi osztályozási címkéket tartósan alkalmazhatod az oszlopokra az adatbázismotor metaadat-attribútumaival. Ez a metaadatok ezután bizalmassági alapú naplózási forgatókönyvekhez használhatók.

  • Lekérdezési eredményhalmaz bizalmassága: A lekérdezési eredményhalmaz bizalmassága naplózási célból valós időben van kiszámítva.

  • Láthatóság: Az adatbázis-besorolás állapotát az Azure Portal részletes irányítópultján tekintheti meg. Emellett letöltheti a jelentéseket Excel formátumban megfelelőségi és naplózási célokra és egyéb igényekre.

Bizalmas oszlopok felderítése, besorolása és címkézése

Ez a szakasz a következő lépésekre mutat be:

  • Bizalmas adatokat tartalmazó oszlopok felderítése, besorolása és címkézése az adatbázisban.
  • Az adatbázis aktuális besorolási állapotának megtekintése és jelentések exportálása.

A besorolás két metaadat-attribútumot tartalmaz:

  • Címkék: Az oszlopban tárolt adatok bizalmassági szintjének meghatározásához használt fő besorolási attribútumok.
  • Adattípusok: Az oszlopban tárolt adatok típusával kapcsolatos részletesebb információkat nyújtó attribútumok.

Information Protection-szabályzat

Az Azure Synapse Analytics az SQL Information Protection szabályzatot használja az adatok besorolásához.

SQL Information Protection-szabályzat

Az adatfelfedezés és osztályozás az érzékenységi címkék és információtípusok beépített készletét tartalmazza, olyan felderítési logikával, amely natív módon működik az SQL logikai kiszolgálóval. Használja az alapértelmezett házirendfájlban elérhető védelmi címkéket, vagy testre szabja ezt az osztályozást. Határozz meg egy halmazt és rangsorolást kifejezetten a környezetedhez tartozó osztályozási konstrukciókhoz.

A besorolási osztályozás definiálása és testreszabása

Definiáld és testreszabd a besorolási taxonómiádat egy központi helyen az egész Azure szervezeted számára. Használd a Microsoft Defender for Cloud-t a biztonsági szabályzatod részeként. Csak az tudja elvégezni ezt a feladatot, akinek adminisztratív jogosultsága van a szervezet gyökérszintű felügyeleti csoportjában.

A szabályzatkezelés részeként definiálhat egyéni címkéket, rangsorolhatja őket, és hozzárendelheti őket egy kiválasztott információtípushoz. Saját egyéni adattípusokat is hozzáadhat, és sztringmintákkal konfigurálhatja őket. A minták hozzáadódnak a felderítési logikához az ilyen típusú adatok azonosításához az adatbázisokban.

További információkért lásd: A SQL-információvédelem szabályzat testreszabása a Microsoft Defender for Cloud (előzetes verzió) alkalmazásában.

Miután meghatároztad a szervezetre vonatkozó szabályzatot, folytasd az egyes adatbázisok osztályozását a testreszabott szabályzatod használatával.

Adatbázis besorolása SQL Information Protection-szabályzat módban

Note

A következő példa az Azure SQL Database-t használja, de ki kell választanod a megfelelő terméket, amelyen az Adatfelderítés és besorolás funkciót szeretnéd konfigurálni.

  1. Lépjen ide: Azure Portal.

  2. Menjen a(z) Data Discovery & Besorolás ponthoz az Azure SQL Database panelen a(z) Biztonsági cím alatt. Az Áttekintés fül tartalmazza az adatbázis aktuális osztályozási állapotának összefoglalóját. Az összefoglaló részletes listát tartalmaz az összes osztályozott oszlopról, amelyet szűrhetsz, hogy csak bizonyos sémarészeket, információtípusokat és címkéket mutasson. Ha még nem osztályoztál oszlopokat, ugorj a 4. lépésre.

  3. Ha Excel formátumban szeretne letölteni egy jelentést, válassza exportálása lehetőséget a panel felső menüjében.

  4. Az adatok besorolásának megkezdéséhez válassza a Besorolás lapot az Adatfelderítés & Besorolás lapon.

    A besorolási motor megvizsgálja az adatbázist a potenciálisan bizalmas adatokat tartalmazó oszlopokon, és felsorolja az ajánlott oszlopbesorolásokat.

  5. Besorolási javaslatok megtekintése és alkalmazása:

    • Az ajánlott oszlopbesorolások listájának megtekintéséhez válassza a javaslatok panelt a panel alján.

    • Ha egy adott oszlopra vonatkozó javaslatot szeretne elfogadni, jelölje be a megfelelő sor bal oldali oszlopában lévő jelölőnégyzetet. Ha minden javaslatot elfogadottként szeretne megjelölni, jelölje be a bal szélső jelölőnégyzetet a javaslatok táblafejlécében.

    • A kijelölt javaslatok alkalmazásához válassza A kijelölt javaslatok elfogadásalehetőséget.

    Note

    A javaslati motor, amely automatikus adatfelderítést végez, és bizalmas oszlopjavaslatokat biztosít, le van tiltva a Microsoft Purview információvédelem szabályzatmód használata esetén.

  6. Az oszlopokat manuálisan is besorolhatja alternatívaként vagy a javaslatalapú besorolás mellett:

    1. Válassza A besorolás hozzáadása opciót a panel felső menüjében.

    2. A megnyíló környezeti ablakban válassza ki a besorolni kívánt sémát, táblázatot és oszlopot, valamint az információtípust és a bizalmassági címkét.

    3. Válassza a Besorolás hozzáadása lehetőséget a környezeti ablak alján.

  7. A besorolás befejezéséhez és az adatbázisoszlopok új besorolási metaadatokkal való tartós címkézéséhez válassza a Mentés lehetőséget a Besorolás lapon.

Microsoft Purview információvédelem-szabályzat

Note

A Microsoft Information Protection (MIP) mostantól Microsoft Purview információvédelem. Mind a "MIP", mind a "Microsoft Purview információvédelem" ugyanarra a fogalomra utal.

A Microsoft Purview információvédelem-címkék egyszerű és egységes módot biztosítanak a felhasználók számára, hogy érzékeny adatokat osztályozzanak különböző Microsoft-alkalmazásokban. Hozz létre és kezeld az MIP érzékenységi címkéket a Microsoft Purview megfelelőségi portal-ban. Ha tudni szeretné, hogyan hozhat létre és tehet közzé bizalmas MIP-címkéket a Microsoft Purview megfelelőségi portálján, olvassa el Bizalmassági címkék létrehozása és közzétételecímű témakört.

A Microsoft Purview információvédelem-szabályzatra való váltás előfeltételei

  • Az információvédelmi szabályzat beállítása vagy megváltoztatása beállítja az információvédelmi szabályzatot minden bérlő alá tartozó adatbázis számára. Bérlőszintű Security Admin jogosultsággal kell rendelkeznie ahhoz, hogy az information protection szabályzatot SQL Information Protection szabályzatról MIP szabályzatra megváltoztassa, vagy fordítva.

  • Egy felhasználó vagy persona, aki a bérlő egészére kiterjedő Security Admin jogosultsággal rendelkezik, alkalmazhatja a szabályzatot a bérlő gyökérszintű felügyeleti csoportjának szintjén. További információ: Bérlőszintű engedélyek megszerzése saját magának.

  • Az Ön bérlője aktív Microsoft 365-előfizetéssel rendelkezik, és Ön címkéket publikált az aktuális felhasználó számára. További információ: Bizalmassági címkék és szabályzataik létrehozása és konfigurálása.

Adatbázis besorolása Microsoft Purview információvédelem-szabályzat módban

  1. Lépjen ide: Azure Portal.
  2. Navigálj az adatbázisodhoz az Azure-ban.
  3. Menjen az adatbázispanelben a Biztonsági fejléc alatt található Adatfelderítés & osztályozás részhez.
  4. Microsoft Information Protection-szabályzatkiválasztásához válassza az Áttekintés lapot, majd válassza a konfigurálása lehetőséget.
  5. Válassza Microsoft Information Protection-házirend lehetőséget az Information Protection-házirend beállításai között, majd válassza a Mentéslehetőséget.
  6. Ha a Osztályozás fülre mész, vagy kiválasztod a Osztályozás hozzáadását, látod, hogy a Microsoft 365 érzékenységi címkék jelennek meg az érzékenységi címkék legördülő listájában.
  • Az adattípus [n/a] az MIP-házirend módban van, miközben az automatikus adatfelderítési & javaslatok továbbra is le vannak tiltva.
  • Figyelmeztető ikon megjelenhet egy már titkosított oszlop ellen, ha az oszlopot más Information Protection szabályzattal titkosították, mint a jelenleg aktív szabályzat. Például, ha az oszlopot korábban SQL Information Protection szabályzattal ellátott címkével osztályozták, és most Microsoft Information Protection politika módban vagy, akkor figyelmeztető ikont látsz az adott oszlop ellen. A figyelmeztető ikon információs jellegű, és nem jelzi a problémát.

A Microsoft Purview információvédelmi szabályzatai az Azure SQL Database-hez

Important

A Microsoft Purview információvédelem Azure SQL Database-hez készült szabályzatai kivezetésre kerültek. A Microsoft Purview információvédelem (MIP) hozzáférési szabályzatokkal már nem lehet konfigurálni vagy érvényesíteni az érzékeny oszlopokra vonatkozó hozzáférési szabályokat, és a meglévő hozzáférési szabályzatok, amelyeket ezen a képességen keresztül konfiguráltak, már nem érvényesítettek.

Korábban az Azure SQL Database támogatta a hozzáférés-ellenőrzés végrehajtását a Microsoft Purview információvédelem érzékenységi címkékkel jelölt oszlopokon a Purview hozzáférési szabályzatok használatával.

Microsoft Purview védelmi szabályzatok, amelyek érzékenységi címkékkel szabályozzák a hozzáférést, továbbra is elérhetők a Microsoft Fabric-ben. További információért lásd: Védelmi szabályzatok a Microsoft Fabric-ben.

Bizalmas adatokhoz való hozzáférés ellenőrzése

A besorolás fontos eleme az érzékeny adatokhoz való hozzáférés nyomon követése. Azure Synapse Analytics auditing tartalmaz egy, az auditnaplóban data_sensitivity_information nevű mezőt. Ez a mező naplózza az adatok érzékenységi osztályozásait (címkéket), amelyeket egy lekérdezés visszaad.

Ezek a T-SQL tevékenységek érzékenységi információkkal auditálhatók:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Az sys.fn_get_audit_file használatával adatokat kaphat vissza egy Azure Storage-fiókban tárolt auditfájlból.

Permissions

Ezek a beépített szerepkörök beolvashatják az adatbázisok adatbesorolását:

  • Tulajdonos
  • Olvasó
  • Contributor
  • SQL-biztonságkezelő
  • Felhasználói hozzáférés rendszergazdája

Az adatbázis adatosztályozásának elolvasásához az alábbi műveletekre van szükség:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Ezek a beépített szerepkörök módosíthatják az adatbázisok adatbesorolását:

  • Tulajdonos
  • Contributor
  • SQL-biztonságkezelő

Az adatbázis adatosztályozásának módosításához a következő művelet szükséges:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Ismerje meg részletesebben a szerepköralapú engedélyeket az Azure RBACsegítségével.

Note

Az ebben a szakaszban szereplő Azure SQL beépített szerepek egy dedikált SQL poolra (korábban SQL DW) vonatkoznak, de nem elérhetők dedikált SQL poolokra és más SQL erőforrásokra az Azure Synapse munkaterületeken. Az Azure Synapse munkaterületek SQL erőforrásaihoz használd az adatosztályozáshoz szükséges műveleteket, hogy egyedi Azure szerepeket hozz létre a címkézéshez. A Microsoft.Synapse/workspaces/sqlPools szolgáltatói műveleteiről további információt a Microsoft.Synapse-nél talál.

Besorolások kezelése

A besorolások kezeléséhez használhat T-SQL-t, REST API-t vagy PowerShellt.

A T-SQL használata

A T-SQL használatával oszlopbesorolásokat vehet fel vagy távolíthat el, valamint a teljes adatbázis összes besorolását lekérheti.

Note

Amikor a T-SQL-t használod a címkék kezelésére, nincs ellenőrzés arra, hogy a szervezet információvédelmi szabályzatában (a portál ajánlásaiban megjelenő címkék halmaza) léteznek-e az oszlophoz hozzáadott címkék. Érvényesítened kell.

A T-SQL besorolásokhoz való használatával kapcsolatos információkért tekintse meg a következő hivatkozásokat:

PowerShell-parancsmagok használata

Kezeld az osztályozásokat és ajánlásokat Azure SQL Database és Azure SQL Managed Instance PowerShell használatával.

PowerShell-parancsmagok az Azure SQL Database-hez

REST API használata

A REST API használatával programozott módon kezelheti a besorolásokat és javaslatokat. A közzétett REST API a következő műveleteket támogatja:

  • létrehozása vagy frissítése: Létrehozza vagy frissíti a megadott oszlop bizalmassági címkéjét.
  • Törlés: Törli a megadott oszlop érzékenységi címkéjét.
  • Javaslatok letiltása: Letiltja az érzékenységi javaslatokat a megadott oszlopban.
  • Javaslatengedélyezése: Engedélyezi a bizalmassági javaslatokat a megadott oszlopban. (A javaslatok alapértelmezés szerint minden oszlopon engedélyezve vannak.)
  • lekérése: Lekéri a megadott oszlop érzékenységi címkéjét.
  • List Current By Database: Lekéri a megadott adatbázis aktuális bizalmassági címkéinek listáját.
  • A(z)adatbázis által ajánlott bizalmassági címkék listája (). Lekéri a megadott adatbázis ajánlott bizalmassági címkéit.

Besorolási metaadatok lekérése SQL-illesztőprogramokkal

A besorolási metaadatok lekéréséhez az alábbi SQL-illesztőprogramok használhatók:

Gyakori kérdések – Speciális besorolási képességek

Kérdés: Felváltja-e Microsoft Purview az SQL Data Discovery & Classificationt, vagy az SQL Data Discovery & Classification hamarosan megszűnik? Válasz: Továbbra is támogatjuk az SQL Data Discovery & Besorolást, és arra ösztönözzük, hogy olyan Microsoft Purview vezessen be, amely gazdagabb képességekkel rendelkezik a speciális besorolási képességek és az adatszabályozás előmozdításához. Ha úgy döntünk, hogy kivonunk bármilyen szolgáltatást, funkciót, API-t vagy SKU-t, előzetes értesítést kap, beleértve a migrációt vagy átmeneti útvonalat. További információkért tekintse meg a Microsoft életciklus-szabályzatát.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: