データ発見&Azure Synapse Analyticsにおける分類

データ発見&分類はAzure Synapse Analytics専用SQLプールに組み込まれています。 データベース内の機密データの発見、分類、ラベル付け、報告機能を提供します。

サーバーレスSQLプールではデータディスカバリー&分類はサポートされていません。

最も機密性の高いデータには、ビジネス、財務、医療、個人情報などが含まれる場合があります。 次のような場合にインフラストラクチャとして使用できます。

  • データプライバシー基準および規制遵守要件を満たしましょう。
  • 機密データへのアクセス監視(監査)などのセキュリティシナリオをサポートしましょう。
  • 高度に機密性の高いデータを含むデータベースへのアクセスを制御し、セキュリティを強化します。

データの検出と分類とは

現在、データの検出と分類は以下の機能をサポートしています。

  • 検出と推奨事項: 分類エンジンは、データベースをスキャンして、機密データが含まれる可能性のある列を識別します。 その後、Azure portal を使って、推奨される分類を確認して適用するための簡単な方法を提供します。

  • ラベル付け: データベースエンジンのメタデータ属性を使用することで、センシティブ分類ラベルをカラムに永続的に適用できます。 このメタデータは、機密度に基づく監査のシナリオに利用できます。

  • クエリ結果セットの機密度: 監査のため、クエリ結果セットの機密度がリアルタイムで計算されます。

  • 可視性: データベースの分類状態は、Azure portal の詳細ダッシュボードで見ることができます。 また、コンプライアンスと監査の目的や他のニーズのために使用される Excel 形式のレポートをダウンロードできます。

機密性の高い列の検出、分類、ラベル付け

このセクションでは、次の手順について説明します。

  • データベース内の機密データを含む列の検出、分類、ラベル付け。
  • データベースの現在の分類状態の表示と、レポートのエクスポート。

分類には、次の 2 つのメタデータ属性が含まれます。

  • ラベル:列に格納されるデータの機密レベルを定義するために使用される、主な分類属性。
  • 情報の種類:列に格納されているデータの型に関するより詳細な情報を提供する属性。

Information Protection ポリシー

Azure Synapse Analyticsはデータ分類にSQL Information Protectionポリシーを使用しています。

SQL Information Protection ポリシー

データディスカバリー&分類は、SQL論理サーバーでネイティブに動作するディスカバリーロジックを備えた組み込みのセンシティブラベルと情報型のセットを含みます。 デフォルトのポリシーファイルにある保護ラベルを使用するか、この分類法をカスタマイズしてください。 一連の分類コンストラクトとその優先度をご利用の環境に合わせて定義します。

分類法を定義してカスタマイズする

Azure組織全体の分類体系を一つの中央集約点で定義・カスタマイズできます。 セキュリティポリシーの一部としてMicrosoft Defender for Cloudを使用してください。 この作業は、組織のルート管理グループに管理者権限を持つ者だけが実行できます。

ポリシー管理の一環として、カスタム ラベルを定義し、優先度を設定し、そのラベルを、選択した一連の情報の種類に関連付けることができます。 独自のカスタム情報の種類を追加し、文字列パターンで構成することもできます。 パターンは、データベース内のこの種類のデータを識別するための検出ロジックに追加されます。

詳細については、Microsoft Defender for Cloud 上での SQL 情報保護ポリシーのカスタマイズ (プレビュー) に関する記事を参照してください。

組織全体のポリシーを定義した後は、カスタマイズしたポリシーを使って個別データベースの分類を続けてください。

SQL Information Protection ポリシー モードでデータベースを分類する

Note

以下の例はAzure SQL Databaseを使用していますが、データディスカバリー&分類を設定するために適切な製品を選択してください。分類。

  1. Azure ポータル に移動します。

  2. [Azure SQL Database] ペインの [セキュリティ] 見出しの下の [データの検出と分類] に移動します。 概要タブには、データベースの現在の分類状態の概要が含まれています。 要約にはすべての分類された列の詳細リストが含まれており、特定のスキーマ部分、情報タイプ、ラベルのみを表示するようにフィルターをかけることができます。 まだ列を分類していなければ、 ステップ4に飛ばしてください。

  3. Excel 形式でレポートをダウンロードするには、ペイン上部のメニューの [エクスポート] を選択します。

  4. データの分類を開始するには、[データの検出と分類] ページの [分類] タブを選択します。

    分類エンジンによって、機密データが含まれる可能性のある列についてデータベースがスキャンされ、推奨される列の分類のリストが提供されます。

  5. 分類の推奨事項を表示して適用します。

    • 推奨される列の分類のリストを表示するには、ペインの下部にある推奨事項パネルを選択します。

    • 特定の列の推奨事項を受け入れるには、関連する行の左側の列のチェック ボックスをオンにします。 推奨事項テーブル ヘッダーの左端のチェック ボックスをオンにして、すべての推奨事項を受け入れ済みとしてマークすることもできます。

    • 選択した推奨事項を適用するには、 [選択した推奨事項を受け入れます] を選択します。

    Note

    自動データ検出を実行し、機密性の高い列の推奨事項を提供するレコメンデーション エンジンは、Microsoft Purview Information Protection ポリシー モードが使用されている場合は無効になります。

  6. 代わりに、列を手動で分類することもできます。さらに、推奨事項ベースの分類について、次の操作を実行することもできます。

    1. ペインの上部のメニューで [分類の追加] を選択します。

    2. 表示されたコンテキスト ウィンドウで、分類するスキーマ、テーブル、列と、情報の種類および機密ラベルを選択します。

    3. コンテキスト ウィンドウの下部にある [分類の追加] をクリックします。

  7. 分類を完了し、新しい分類メタデータでデータベース列に永続的にラベル (タグ) を付けるには、 [分類] ページで [保存] を選択します。

Microsoft Purview Information Protection ポリシー

Note

Microsoft Information Protection(MIP)は現在、Microsoft Purview Information Protectionになりました。 「MIP」と「Microsoft Purview Information Protection」はどちらも同じ概念を指します。

Microsoft Purview Information Protectionラベルは、ユーザーが異なるMicrosoftアプリケーション間で機密データを分類するためのシンプルかつ統一的な方法を提供します。 Microsoft Purview コンプライアンス ポータルでMIP感度ラベルを作成・管理します。 Microsoft Purview コンプライアンス ポータルで MIP の秘密度ラベルを作成して公開する方法については、「秘密度ラベルを作成して発行する」に関する記事を参照してください。

Microsoft Purview 情報保護 ポリシーに切り替える前提条件

  • 情報保護ポリシーを設定または変更すると、テナント下のすべてのデータベースに情報保護ポリシーが設定されます。 information protectionポリシーをSQL Information ProtectionポリシーからMIPポリシーに、またはその逆に変更するには、テナント全体のSecurity Admin権限が必要です。

  • テナント全体の セキュリティ管理者 権限を持つユーザーやペルソナは、テナントルート管理グループレベルでポリシーを適用できます。 詳細については、「テナント全体のアクセス許可を自分に付与する」を参照してください。

  • テナントにはアクティブな Microsoft 365 サブスクリプションがあり、現在のユーザーに対して発行されたラベルがあります。 詳細については、「機密ラベルとそのポリシーを作成して構成する」を参照してください。

Microsoft Purview Information Protection ポリシー モードでデータベースを分類する

  1. Azure ポータル に移動します。
  2. Azure 内のデータベースにアクセスしてください。
  3. データベース ウィンドウの [セキュリティ] ヘッダーで、[データの検出と分類] に移動します。
  4. [Microsoft Information Protection policy] (Microsoft Information Protection ポリシー) を選択するには、[概要] タブを選択し、[構成] を選択します。
  5. [Information Protection ポリシー] オプションの [Microsoft Information Protection policy] (Microsoft Information Protection ポリシー) を選択し、[保存] を選択します。
  6. 分類タブに行くか、「分類を追加」を選択すると、Microsoft 365のセンシティビュースラベルがSensitivityラベルのドロップダウンリストに表示されます。
  • 情報の種類は、MIP ポリシー モードでは [n/a] で、自動データ検出検出と提案は無効のままとなります。
  • 列が現在アクティブなポリシーとは異なる Information Protection ポリシーを使用して分類されている場合、既に分類済みのその列の横に警告アイコンが表示されることがあります。 たとえば、その列が以前に SQL Information Protection ポリシーのラベルを使用して分類されており、現在は Microsoft Information Protection ポリシー モードになっている場合は、その特定の列に警告アイコンが表示されます。 警告アイコンは情報提供であり、問題を示すものではありません。

Azure SQL Database 向けの Microsoft Purview Information Protection ポリシー

Important

Microsoft Purview Information Protection のAzure SQL Database Policy は廃止されました。 Microsoft Purview Information Protection(MIP)アクセスポリシーを通じて、機密カラムのアクセス制御を設定または強制することはできなくなり、この機能で設定された既存のアクセスポリシーももはや強制されません。

以前は、Azure SQL DatabaseはPurviewアクセスポリシーを使用して、Microsoft Purview Information Protectionのセンシティーラベルが付いた列に対するアクセス制御の強制をサポートしていました。

秘密度ラベルを通じてアクセスを制御する Microsoft Purview の保護ポリシーは、Microsoft Fabric でも引き続き利用できます。 詳細については、Microsoft Fabricの保護ポリシーをご覧ください。

機密データへのアクセスを監査する

分類の重要な側面の一つは、機密データへのアクセスを監視する能力です。 Azure Synapse Analytics監査には、監査ログに「data_sensitivity_information」というフィールドが含まれています。 このフィールドは、クエリが返すデータの感度分類(ラベル)を記録します。

これらのT-SQLアクティビティは、感度情報で監査可能です:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

sys.fn_get_audit_file を使用して、Azure Storage アカウントに格納されている監査ファイルから情報を返します。

Permissions

次の組み込みロールでは、データベースのデータ分類を読み取ることができます。

  • Owner
  • Reader
  • 投稿者
  • SQLセキュリティマネージャー
  • ユーザーアクセス管理者

データベースのデータ分類を読み取るには、以下の操作が必要です:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

次の組み込みロールでは、データベースのデータ分類を変更できます。

  • Owner
  • 投稿者
  • SQLセキュリティマネージャー

データベースのデータ分類を変更するには、次の操作が必要です:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

ロールベースのアクセス許可の詳細については、Azure RBAC に関する記事を参照してください。

Note

このセクションのAzure SQL組み込みロールは専用SQLプール(旧SQL DW)に適用されますが、Azure Synapseワークスペース内の専用SQLプールやその他のSQLリソースには対応できません。 Azure Synapse workspacesのSQLリソースについては、データ分類用の利用可能なアクションを使って、ラベル付けのためにカスタムAzureロールを作成できます。 Microsoft.Synapse/workspaces/sqlPools プロバイダーの操作について詳しくは、「Microsoft.Synapse」をご覧ください。

分類の管理

分類の管理には、T-SQL、REST API、または PowerShell を使用できます。

T-SQL を使用する

T-SQL を使って、列の分類を追加または削除したり、データベース全体のすべての分類を取得したりできます。

Note

T-SQLを使ってラベルを管理する場合、組織の情報保護ポリシー(ポータル推奨に表示されるラベルのセット)に、カラムに追加したラベルが存在するかどうかの検証はありません。 検証が必要です。

T-SQL を使用した分類の詳細については、次のリファレンスを参照してください。

PowerShell コマンドレットの使用

PowerShellを使ってAzure SQL DatabaseおよびAzure SQL Managed Instanceの分類と推奨を管理できます。

Azure SQL Database 用の PowerShell コマンドレット

REST API を使用する

REST API を使用して、分類および推奨事項をプログラムで管理できます。 公開された REST API では、次の操作がサポートされます。

SQL ドライバーを使用して分類メタデータを取得する

次の SQL ドライバーを使用して、分類メタデータを取得できます。

FAQ - 高度な分類機能

質問: Microsoft Purview は SQL データ ディスカバリー & 分類に代わるのでしょうか、それとも SQL データ ディスカバリー & 分類はまもなく廃止されるのでしょうか? 回答: SQL データの検出と分類は引き続きサポートされます。高度な分類機能とデータ ガバナンスを促進するための、機能をより豊富に備えた Microsoft Purview を導入することをお勧めします。 サービス、機能、API、または SKU の廃止が決定された場合は、移行または切り替えパスを含む事前通知が送信されます。 詳細については、 Microsoft ライフサイクル ポリシーを参照してください。

関連するコンテンツ

  • 最終更新: