Azure Synapse Analytics의 데이터 검색 및 분류

데이터 검색 및 분류는 Azure Synapse Analytics 전용 SQL 풀에 내장되어 있습니다. 데이터베이스 내 민감한 데이터를 발견, 분류, 라벨링, 보고하는 기능을 제공합니다.

서버 없는 SQL 풀에서는 데이터 검색/발견 및 분류가 지원되지 않습니다.

가장 중요한 데이터에는 비즈니스, 금융, 의료 또는 개인 정보가 포함될 수 있습니다. 다음에 대한 인프라 역할을 할 수 있습니다.

  • 데이터 프라이버시 기준과 규제 준수 요건을 충족하세요.
  • 민감한 데이터 접근을 모니터링(감사)하는 보안 시나리오를 지원합니다.
  • 매우 민감한 데이터를 포함하는 데이터베이스에 대한 접근을 통제하고 보안을 강화합니다.

데이터 검색 및 분류란?

데이터 검색 및 분류는 현재 다음 기능을 지원합니다.

  • 검색 및 권장 사항: 분류 엔진은 데이터베이스를 검사하여 잠재적으로 중요한 데이터가 포함된 열을 확인합니다. 그런 다음, Azure Portal을 통해 권장되는 분류를 검토하고 적용하는 쉬운 방법을 제공합니다.

  • 라벨링: 데이터베이스 엔진의 메타데이터 속성을 사용하여 열에 민감성 분류 라벨을 지속적으로 적용할 수 있습니다. 그런 다음, 이 메타데이터는 민감도 기반 감사 시나리오에 사용될 수 있습니다.

  • 쿼리 결과 집합 민감도: 쿼리 결과 집합의 민감도는 감사 목적으로 실시간 계산됩니다.

  • 가시성: 데이터베이스 분류 상태는 Azure Portal의 세부 대시보드에서 볼 수 있습니다. 또한 호환성 및 감사 목적 및 기타 요구 사항에 사용할 수 있도록 보고서를 Excel 형식으로 다운로드할 수 있습니다.

중요한 열 검색, 분류 및 레이블 지정

이 섹션에서는 다음에 대한 단계를 설명합니다.

  • 데이터베이스의 중요한 데이터를 포함하는 열을 검색, 분류 및 레이블 지정
  • 데이터베이스의 현재 분류 상태 보기 및 보고서 내보내기

분류에는 두 개의 메타데이터 특성이 포함됩니다.

  • 레이블: 열에 저장된 데이터의 민감도 수준을 정의하는 데 사용되는 주 분류 특성입니다.
  • 정보 유형: 열에 저장된 데이터 형식에 대한 보다 세부적인 정보를 제공하는 특성입니다.

Information Protection 정책

Azure Synapse Analytics는 데이터 분류를 위해 SQL Information Protection 정책을 사용합니다.

SQL Information Protection 정책

데이터 검색/탐지 및 분류는 SQL 논리 서버와 네이티브로 작동하는 탐색 논리를 갖춘 내장된 민감도 레이블 및 정보 유형 세트를 포함합니다. 기본 정책 파일에 있는 보호 라벨을 사용하거나 이 분류체계를 맞춤 설정하세요. 환경에 맞는 분류 구조의 집합과 순위를 정의하세요.

분류 체계 정의 및 사용자 지정

전체 Azure 조직을 위한 분류 체계를 한 곳에서 정의하고 맞춤화할 수 있습니다. 보안 정책의 일부로 클라우드용 Microsoft Defender를 사용하세요. 이 작업은 조직의 루트 관리 그룹에 대한 관리자 권한을 가진 사람만이 수행할 수 있습니다.

정책 관리의 일환으로, 사용자 지정 레이블을 정의하고, 순위를 지정하고, 선택한 정보 유형 세트와 연결할 수 있습니다. 사용자 고유의 사용자 지정 정보 유형을 추가하고 문자열 패턴을 사용하여 구성할 수도 있습니다. 패턴은 데이터베이스에서 이러한 유형의 데이터를 식별하기 위한 검색 논리에 추가됩니다.

자세한 내용은 클라우드용 Microsoft Defender에서 SQL 정보 보호 정책 사용자 지정(미리 보기)을 참조하세요.

조직 전체 정책을 정의한 후에는 맞춤형 정책을 사용해 개별 데이터베이스를 계속 분류하세요.

SQL Information Protection 정책 모드에서 데이터베이스 분류

참고

다음 예시는 Azure SQL Database를 사용하지만, 데이터 검색 및 분류를 구성할 적절한 제품을 선택해야 합니다.

  1. Azure Portal로 이동합니다.

  2. Azure SQL Database 창의 보안 제목 아래에 있는 데이터 검색 및 분류로 이동합니다. 개요 탭에는 데이터베이스의 현재 분류 상태에 대한 요약이 포함되어 있습니다. 요약에는 모든 분류된 열의 상세 목록이 포함되어 있으며, 목록을 필터링하여 특정 스키마 부분, 정보 유형 및 레이블만 표시할 수 있습니다. 아직 열을 분류하지 않았다면 4단계로 건너뛰세요.

  3. 보고서를 Excel 형식으로 다운로드하려면 창의 위쪽 메뉴에서 내보내기를 선택합니다.

  4. 데이터 분류를 시작하려면 데이터 검색 및 분류 페이지에서 분류 탭을 선택합니다.

    분류 엔진은 잠재적으로 중요한 데이터를 포함하는 열에서 데이터베이스를 검사하고 권장된 열 분류 목록을 제공합니다.

  5. 분류 권장 사항 보기 및 적용:

    • 권장된 열 분류 목록을 보려면 창의 맨 아래에서 권장 사항 패널을 선택합니다.

    • 특정 열에 대한 권장 사항을 허용하려면 관련 행의 왼쪽 열에서 확인란을 선택합니다. 모든 권장 사항을 허용됨으로 표시하려면 권장 사항 테이블 헤더에서 가장 왼쪽에 있는 확인란을 선택합니다.

    • 선택한 권장 사항을 적용하려면 선택한 권장 사항 허용을 선택합니다.

    참고

    자동 데이터 검색을 수행하고 중요한 열 권장 사항을 제공하는 권장 사항 엔진은 Microsoft Purview Information Protection 정책 모드를 사용할 때는 사용하지 않도록 설정됩니다.

  6. 열을 분류하는 데 있어서, 추천에 기반한 분류뿐만 아니라 대안으로 또는 추가적으로 수동 분류를 할 수도 있습니다.

    1. 창의 위쪽 메뉴에서 분류 추가를 선택합니다.

    2. 열려 있는 컨텍스트 창에서 분류하려는 스키마, 테이블 및 열을 선택하고 정보 유형 및 민감도 레이블을 선택합니다.

    3. 컨텍스트 창의 아래쪽에서 분류 추가를 선택합니다.

  7. 분류를 완료하고 데이터베이스 열에 새 분류 메타데이터로 영구 레이블(태그)을 지정하려면 분류 페이지에서 저장을 선택합니다.

Microsoft Purview Information Protection 정책

참고

Microsoft Information Protection(MIP)는 이제 Microsoft Purview Information Protection입니다. "MIP"와 "Microsoft Purview Information Protection" 모두 동일한 개념을 가리킵니다.

Microsoft Purview Information Protection 라벨은 사용자가 다양한 Microsoft 애플리케이션 간에 민감한 데이터를 분류할 수 있는 간단하고 일관된 방법을 제공합니다. Microsoft Purview 규정 준수 포털에서 MIP 민감도 라벨을 생성하고 관리하세요. Microsoft Purview 규정 준수 센터에서 MIP 민감도 레이블을 만들고 게시하는 방법을 알아보려면 민감도 레이블 만들기 및 게시 문서를 참조하세요.

Microsoft Purview Information Protection 정책으로 전환하기 위한 필수 구성 요소

  • 정보 보호 정책을 설정하거나 변경하면 테넌트 하의 모든 데이터베이스에 대한 정보 보호 정책이 설정됩니다. information protection 정책을 SQL Information Protection 정책에서 MIP 정책으로, 또는 그 반대로 변경하려면 테넌트 전체 보안 관리자 권한이 필요합니다.

  • 테넌트 전체 보안 관리자 권한을 가진 사용자나 페르소나는 테넌트 루트 관리 그룹 수준에서 정책을 적용할 수 있습니다. 자세한 내용은 자신에게 테넌트 전체 사용 권한 부여를 참조하세요.

  • 테넌트에 활성 Microsoft 365 구독이 있으며 현재 사용자에 대한 레이블이 게시되어 있습니다. 자세한 내용은 민감도 레이블 및 해당 정책 만들기 및 구성을 참조하세요.

Microsoft Purview Information Protection 정책 모드에서 데이터베이스 분류

  1. Azure Portal로 이동합니다.
  2. Azure에서 데이터베이스로 이동하세요.
  3. 데이터베이스 창의 보안이라는 제목 아래에 있는 데이터 검색 및 분류로 이동합니다.
  4. Microsoft Information Protection 정책을 선택하려면 개요 탭을 선택하고 구성을 선택합니다.
  5. Information Protection 정책 옵션에서 Microsoft Information Protection 정책을 선택하고 저장을 선택합니다.
  6. 분류 탭으로 가거나 분류 추가를 선택하면 Microsoft 365 민감도 라벨이 민감성 라벨 드롭다운 목록에 나타납니다.
  • 정보 유형은 MIP 정책 모드에 있는 동안 [n/a]이며, 자동 데이터 검색 및 권장 사항은 비활성화된 상태로 유지됩니다.
  • 이미 분류된 열이 현재 활성 상태인 정책이 아닌 다른 Information Protection 정책을 사용하여 분류된 경우, 해당 열 옆에 경고 아이콘이 나타날 수 있습니다. 예를 들어, 이전에 SQL Information Protection 정책이 포함된 라벨로 분류된 열이 Microsoft Information Protection 정책 모드에 들어가면, 해당 열에 대한 경고 아이콘이 나타납니다. 경고 아이콘은 정보 제공용이며 문제를 알리는 것은 아닙니다.

Azure SQL Database용 Microsoft Purview 정보 보호 정책

Important

Azure SQL Database용 Microsoft Purview Information Protection 정책은 지원이 종료되었습니다. Microsoft Purview Information Protection(MIP) 접근 정책을 통해 민감한 열에 대해 더 이상 설정 또는 강제할 수 없으며, 이 기능을 통해 설정된 기존 접근 정책도 더 이상 강제되지 않습니다.

이전에는 Azure SQL Database가 Purview 접근 정책을 사용하여 Microsoft Purview Information Protection 민감도 라벨이 붙은 열에 대한 접근 통제 강제를 지원했습니다.

민감도 라벨을 통해 접근을 제어하는 Microsoft Purview 보호 정책은 여전히 Microsoft Fabric에서 이용 가능합니다. 자세한 내용은 Microsoft Fabric의 보호 정책을 참조하세요.

민감한 데이터에 대한 액세스 감사

분류의 중요한 측면 중 하나는 민감한 데이터에 대한 접근을 모니터링할 수 있는 능력입니다. Azure Synapse Analytics 감사에는 감사 로그에 data_sensitivity_information라는 필드가 있습니다. 이 필드는 쿼리가 반환하는 데이터의 민감도 분류(라벨)를 기록합니다.

이러한 T-SQL 활동들은 민감도 정보로 감사 가능합니다:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

sys.fn_get_audit_file을 사용하여 Azure Storage 계정에 저장된 감사 파일에서 정보를 반환합니다.

Permissions

이러한 기본 제공 역할은 데이터베이스의 데이터 분류를 읽을 수 있습니다.

  • Owner
  • Reader
  • Contributor
  • SQL 보안 관리자
  • 사용자 액세스 관리자

데이터베이스의 데이터 분류를 읽으려면 다음과 같은 동작들이 필요합니다:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

이러한 기본 제공 역할은 데이터베이스의 데이터 분류를 수정할 수 있습니다.

  • Owner
  • Contributor
  • SQL 보안 관리자

데이터베이스의 데이터 분류를 수정하려면 다음 작업이 필요합니다:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Azure RBAC의 역할 기반 권한에 대해 자세히 알아보세요.

참고

이 섹션에 내재된 Azure SQL 내장 역할은 전용 SQL 풀(이전 명칭: SQL DW)에 적용되지만, Azure Synapse 작업 공간 내 전용 SQL 풀 및 기타 SQL 리소스에는 적용되지 않습니다. Azure Synapse 작업 공간에서 SQL 리소스를 사용할 때, 데이터 분류를 위한 사용 가능한 액션을 사용하여 라벨링을 위해 필요에 따라 맞춤 Azure 역할을 생성하세요. Microsoft.Synapse/workspaces/sqlPools 공급자 작업에 대한 자세한 내용은 Microsoft.Synapse를 참조하세요.

분류 관리

T-SQL, REST API 또는 PowerShell을 사용하여 분류를 관리할 수 있습니다.

T-SQL 사용

T-SQL을 사용하여 열 분류를 추가 또는 제거하고 전체 데이터베이스에 대한 모든 분류를 검색할 수 있습니다.

참고

T-SQL을 사용해 라벨을 관리할 때, 열에 추가한 라벨이 조직의 정보 보호 정책(포털 추천에 나타나는 라벨 집합)에 존재하는지 확인하는 유효성 검사가 없습니다. 검증해야 합니다.

분류에 T-SQL을 사용하는 방법에 대한 자세한 내용은 다음 참조를 참조하세요.

PowerShell cmdlet 사용

PowerShell을 사용하여 Azure SQL Database 및 Azure SQL Managed Instance에 대한 분류 및 권장 사항을 관리하세요.

Azure SQL Database용 PowerShell cmdlet

REST API 사용

REST API를 사용하여 분류 및 권장 사항을 프로그래밍 방식으로 관리할 수 있습니다. 게시된 REST API는 다음과 같은 작업을 지원합니다.

SQL 드라이버를 사용하여 분류 메타데이터 검색

다음 SQL 드라이버를 사용하여 분류 메타데이터를 검색할 수 있습니다.

FAQ - 고급 분류 기능

질문: Microsoft Purview가 SQL 데이터 검색 및 분류를 대체할까요, 아니면 SQL 데이터 검색 및 분류가 곧 종료되나요? 답변: SQL 데이터 검색 및 분류는 계속 지원됩니다. 고급 분류 기능 및 데이터 거버넌스를 구동할 수 있는 더 다양한 기능을 갖춘 Microsoft Purview를 채택할 것을 권장합니다. 서비스, 기능, API, SKU를 종료하기로 결정할 경우, 마이그레이션 또는 전환 경로와 함께 사전 통지를 받게 됩니다. 자세한 내용은 Microsoft 수명 주기 정책을 참조하세요.

관련 콘텐츠

  • 에 마지막으로 업데이트됨