Data Discovery & Classification in Azure Synapse Analytics

Odkrywanie danych i Klasyfikacja są wbudowane w dedykowane pule SQL Azure Synapse Analytics. Zapewnia możliwość wykrywania, klasyfikowania, oznaczania i raportowania wrażliwych danych w Twoich bazach danych.

Data Discovery & Classification nie jest obsługiwane dla bezserwerowych pul SQL.

Najbardziej poufne dane mogą obejmować dane biznesowe, finansowe, opieki zdrowotnej lub dane osobowe. Może ona służyć jako infrastruktura dla:

  • Spełniaj standardy ochrony danych oraz wymogi zgodności regulacyjnej.
  • Wspieraj scenariusze bezpieczeństwa, takie jak monitorowanie (audyt) dostępu do wrażliwych danych.
  • Kontroluj dostęp do baz danych zawierających bardzo wrażliwe dane i wzmacniaj ich zabezpieczenia.

Co to jest odnajdywanie i klasyfikacja danych?

Odnajdywanie i klasyfikacja danych obsługuje obecnie następujące możliwości:

  • Odnajdywanie i zalecenia: aparat klasyfikacji skanuje bazę danych i identyfikuje kolumny zawierające potencjalnie poufne dane. Następnie zapewnia łatwy sposób przeglądania i stosowania zalecanej klasyfikacji za pośrednictwem witryny Azure Portal.

  • Etykietowanie: Możesz trwale stosować etykiety klasyfikacji wrażliwości do kolumn, korzystając z atrybutów metadanych w silniku bazy danych. Metadane te mogą być następnie używane w scenariuszach audytów opartych na poufności.

  • Czułość zestawu wyników zapytania: czułość zestawu wyników zapytania jest obliczana w czasie rzeczywistym na potrzeby inspekcji.

  • Widoczność: stan klasyfikacji bazy danych można wyświetlić na szczegółowym pulpicie nawigacyjnym w witrynie Azure Portal. Ponadto możesz pobrać raport w formacie programu Excel, aby użyć go do celów zgodności i inspekcji oraz innych potrzeb.

Odnajdywanie, klasyfikowanie i etykietowanie kolumn poufnych

W tej sekcji opisano kroki dla:

  • Odnajdywanie, klasyfikowanie i etykietowanie kolumn zawierających poufne dane w bazie danych.
  • Wyświetlanie bieżącego stanu klasyfikacji bazy danych i eksportowanie raportów.

Klasyfikacja zawiera dwa atrybuty metadanych:

  • Etykiety: główne atrybuty klasyfikacji używane do definiowania poziomu poufności danych przechowywanych w kolumnie.
  • Typy informacji: atrybuty, które zapewniają bardziej szczegółowe informacje o typie danych przechowywanych w kolumnie.

Polityka ochrony informacji

Azure Synapse Analytics używa zasad SQL Information Protection do klasyfikacji danych.

Zasady usługi SQL Information Protection

Data Discovery & Classification zawiera wbudowany zestaw etykiet wrażliwości i typów informacji z logiką odkrywania, która działa natywnie z serwerem logicznym SQL. Użyj etykiet ochronnych dostępnych w domyślnym pliku polityki lub dostosuj tę taksonomię. Zdefiniuj zestaw i ranking konstrukcji klasyfikacji specyficznie dla twojego środowiska.

Definiowanie i dostosowywanie taksonomii klasyfikacji

Zdefiniuj i dostosuj taksonomię klasyfikacji w jednym centralnym miejscu dla całej organizacji Azure. Używaj Microsoft Defender dla Chmury jako części swojej polityki bezpieczeństwa. Tylko osoba z uprawnieniami administratorskimi w głównej grupie zarządzania organizacji może wykonać to zadanie.

W ramach zarządzania zasadami można zdefiniować etykiety niestandardowe, sklasyfikować je i skojarzyć z wybranym zestawem typów informacji. Możesz również dodać własne niestandardowe typy informacji i skonfigurować je za pomocą wzorców ciągów. Wzorce są dodawane do logiki odnajdywania na potrzeby identyfikowania tego typu danych w bazach danych.

Aby uzyskać więcej informacji, zobacz Dostosowywanie zasad ochrony informacji SQL w Microsoft Defender dla Chmury (wersja zapoznawcza).

Po zdefiniowaniu polityki całej organizacji, kontynuuj klasyfikowanie poszczególnych baz danych, korzystając z własnej spersonalizowanej polityki.

Klasyfikowanie bazy danych w trybie polityki SQL Information Protection

Uwaga

Poniższy przykład korzysta z Azure SQL Database, ale powinieneś wybrać odpowiedni produkt, dla którego chcesz skonfigurować funkcję Data Discovery & Classification.

  1. Przejdź do portalu Azure.

  2. Przejdź do pozycji Odnajdywanie i klasyfikacja danych w obszarze nagłówka Zabezpieczenia w okienku usługi Azure SQL Database. Zakładka Przegląd zawiera podsumowanie aktualnego stanu klasyfikacji bazy danych. Podsumowanie zawiera szczegółową listę wszystkich kolumn klasyfikowanych, które można filtrować, aby pokazać tylko konkretne części schematu, typy informacji i etykiety. Jeśli jeszcze nie sklasyfikowałeś żadnych kolumn, przejdź do kroku 4.

  3. Aby pobrać raport w formacie programu Excel, wybierz pozycję Eksportuj w górnym menu okienka.

  4. Aby rozpocząć klasyfikowanie danych, wybierz kartę Klasyfikacja na stronie Odnajdywanie i klasyfikacja danych.

    Aparat klasyfikacji skanuje bazę danych pod kątem kolumn zawierających potencjalnie poufne dane i udostępnia listę zalecanych klasyfikacji kolumn.

  5. Wyświetlanie i stosowanie zaleceń dotyczących klasyfikacji:

    • Aby wyświetlić listę zalecanych klasyfikacji kolumn, wybierz panel rekomendacji w dolnej części okienka.

    • Aby zaakceptować zalecenie dla określonej kolumny, zaznacz pole wyboru w lewej kolumnie odpowiedniego wiersza. Aby oznaczyć wszystkie zalecenia jako zaakceptowane, zaznacz najbardziej lewe pole wyboru w nagłówku tabeli zaleceń.

    • Aby zastosować wybrane zalecenia, wybierz pozycję Zaakceptuj wybrane rekomendacje.

    Uwaga

    Silnik rekomendacji, który automatycznie odnajduje dane i przedstawia zalecenia dotyczące kolumn poufnych, jest wyłączony, gdy stosowany jest tryb zasady usługi Microsoft Purview Information Protection.

  6. Kolumny można również klasyfikować ręcznie, jako alternatywę lub oprócz klasyfikacji opartej na rekomendacjach:

    1. Wybierz pozycję Dodaj klasyfikację w górnym menu okienka.

    2. W wyświetlonym oknie kontekstowym wybierz schemat, tabelę i kolumnę, którą chcesz sklasyfikować, oraz typ informacji i etykietę poufności.

    3. Wybierz pozycję Dodaj klasyfikację w dolnej części okna kontekstu.

  7. Aby ukończyć klasyfikację i trwale oznaczyć kolumny bazy danych przy użyciu nowych metadanych klasyfikacji, wybierz pozycję Zapisz na stronie Klasyfikacja .

Zasady usługi Microsoft Purview Information Protection

Uwaga

Microsoft Information Protection (MIP) jest teraz Microsoft Purview Information Protection. Zarówno "MIP", jak i "Microsoft Purview Information Protection" odnoszą się do tego samego pojęcia.

Etykiety Microsoft Purview Information Protection zapewniają użytkownikom prosty i jednolity sposób klasyfikacji wrażliwych danych w różnych aplikacjach Microsoft. Twórz i zarządzaj etykietami wrażliwości MIP w portalu zgodności Microsoft Purview. Aby dowiedzieć się, jak tworzyć i publikować etykiety czułości MIP w portalu zgodności Microsoft Purview, zobacz Tworzenie i publikowanie etykiet czułości.

Wymagania wstępne dotyczące przełączania się do zasad usługi Microsoft Purview Information Protection

  • Ustawienie lub zmiana polityki ochrony informacji ustala politykę ochrony informacji dla wszystkich baz danych w dzierżawie. Aby zmienić zasady ochrony informacji z zasad SQL Information Protection policy na zasady MIP policy lub odwrotnie, musisz mieć uprawnienia Security Admin na poziomie całej dzierżawy.

  • Użytkownik lub persona z uprawnieniami Security Admin dla całego dzierżawcy może stosować politykę na poziomie głównej grupy zarządzania dzierżawą. Aby uzyskać więcej informacji, zobacz Nadaj uprawnienia dla całej dzierżawy sobie samemu.

  • Twoja dzierżawa ma aktywną subskrypcję platformy Microsoft 365 i masz opublikowane etykiety dla bieżącego użytkownika. Aby uzyskać więcej informacji, zobacz Tworzenie i konfigurowanie etykiet poufności i ich zasady.

Klasyfikowanie bazy danych w trybie zasad usługi Microsoft Purview Information Protection

  1. Przejdź do portalu Azure.
  2. Przejdź do swojej bazy danych w usłudze Microsoft Azure.
  3. Przejdź do pozycji Odnajdywanie i klasyfikacja danych w obszarze nagłówka Zabezpieczenia w okienku bazy danych.
  4. Aby wybrać zasady usługi Microsoft Information Protection, wybierz kartę Przegląd i wybierz pozycję Konfiguruj.
  5. Wybierz Zasady usługi Microsoft Information Protection w opcjach zasad usługi Information Protection, a następnie wybierz Zapisz.
  6. Jeśli przejdziesz do zakładki Klasyfikacja lub wybierzesz Dodaj klasyfikację, zobaczysz etykiety wrażliwości Microsoft 365 w rozwijanej liście etykiet Wrażliwość.
  • Typ informacji to [n/a] w trybie zasad MIP, a automatyczne wykrywanie danych i zalecenia pozostają wyłączone.
  • Ikona ostrzeżenia może pojawić się przy już sklasyfikowanej kolumnie, jeśli kolumna została sklasyfikowana według innej polityki Information Protection niż aktualnie aktywna polityka. Na przykład jeśli kolumna została wcześniej sklasyfikowana za pomocą etykiety z zasad SQL Information Protection, a teraz jesteś w trybie zasad Microsoft Information Protection, zobaczysz ikonę ostrzegawczą obok tej konkretnej kolumny. Ikona ostrzeżenia ma charakter informacyjny i nie wskazuje na problem.

Zasady Microsoft Purview Information Protection dla Azure SQL Database

Important

Zasady Microsoft Purview Information Protection w usłudze Azure SQL Database zostały wycofane. Nie można już konfigurować ani egzekwować kontroli dostępu dla wrażliwych kolumn za pomocą polityk dostępu Microsoft Purview Information Protection (MIP), a istniejące polityki dostępu skonfigurowane przez tę funkcję nie są już egzekwowane.

Wcześniej Azure SQL Database wspierał egzekwowanie kontroli dostępu do kolumn oznaczonych etykietami wrażliwości Microsoft Purview Information Protection, korzystając z polityk dostępu Purview.

Polityki ochrony Microsoft Purview, które kontrolują dostęp za pomocą etykiet wrażliwości, są nadal dostępne w Microsoft Fabric. Więcej informacji można znaleźć w artykule Polityki ochrony w Microsoft Fabric.

Inspekcja dostępu do poufnych danych

Ważnym aspektem klasyfikacji jest możliwość monitorowania dostępu do wrażliwych danych. Audyt Azure Synapse Analytics zawiera pole w dzienniku audytu o nazwie data_sensitivity_information. To pole rejestruje klasyfikacje wrażliwości (etykiety) danych, które zwraca zapytanie.

Te działania T-SQL są audytowalne za pomocą informacji o wrażliwości:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Użyj sys.fn_get_audit_file , aby zwrócić informacje z pliku inspekcji przechowywanego na koncie usługi Azure Storage.

Permissions

Te wbudowane role mogą odczytywać klasyfikację danych bazy danych:

  • Owner
  • Czytelnik
  • Contributor
  • Menedżer zabezpieczeń SQL
  • Administrator dostępu użytkowników

Aby odczytać klasyfikację danych bazy danych, potrzebne są następujące uprawnienia:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Te wbudowane role mogą modyfikować klasyfikację danych bazy danych:

  • Owner
  • Contributor
  • Menedżer zabezpieczeń SQL

Aby zmodyfikować klasyfikację danych bazy danych, potrzebujesz następującego uprawnienia:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Dowiedz się więcej o uprawnieniach opartych na rolach w usłudze Azure RBAC.

Uwaga

Wbudowane role Azure SQL w tej sekcji dotyczą dedykowanej puli SQL (dawniej SQL DW), ale nie są dostępne dla dedykowanych pul SQL i innych zasobów SQL w przestrzeniach roboczych Azure Synapse. Dla zasobów SQL w przestrzeniach roboczych Azure Synapse użyj dostępnych akcji klasyfikacji danych, aby tworzyć niestandardowe role Azure w razie potrzeby etykietowania. Aby uzyskać więcej informacji na Microsoft.Synapse/workspaces/sqlPools temat operacji dostawcy, zapoznaj się z Microsoft.Synapse.

Zarządzaj klasyfikacjami

Do zarządzania klasyfikacjami można użyć języka T-SQL, interfejsu API REST lub programu PowerShell.

Korzystanie z języka T-SQL

Za pomocą języka T-SQL można dodawać lub usuwać klasyfikacje kolumn oraz pobierać wszystkie klasyfikacje dla całej bazy danych.

Uwaga

Gdy używasz T-SQL do zarządzania etykietami, nie ma weryfikacji, czy etykiety dodawane do kolumny istnieją w polityce ochrony informacji organizacji (zestawie etykiet pojawiających się w rekomendacjach portalu). Musisz to zweryfikować.

Aby uzyskać informacje na temat używania języka T-SQL do klasyfikacji, zobacz następujące odwołania:

Korzystanie z poleceń cmdlet programu PowerShell

Zarządzaj klasyfikacjami i rekomendacjami dla Azure SQL Database oraz Azure SQL Managed Instance za pomocą PowerShell.

Polecenia cmdlet programu PowerShell dla usługi Azure SQL Database

Korzystanie z interfejsu API REST

Interfejs API REST umożliwia programowe zarządzanie klasyfikacjami i zaleceniami. Opublikowany interfejs API REST obsługuje następujące operacje:

Pobieranie metadanych klasyfikacji przy użyciu sterowników SQL

Aby pobrać metadane klasyfikacji, można użyć następujących sterowników SQL:

Często zadawane pytania — zaawansowane możliwości klasyfikacji

Pytanie: Czy Microsoft Purview zastąpi SQL Data Discovery & Classification czy też SQL Data Discovery & Classification wkrótce zostanie wycofane? Odpowiedź: Nadal obsługujemy odnajdywanie i klasyfikację danych SQL i zachęcamy do wdrożenia usługi Microsoft Purview , która ma bogatsze możliwości zaawansowanej klasyfikacji i ładu danych. Jeśli zdecydujemy się wycofać jakąkolwiek usługę, funkcję, API lub SKU, otrzymujesz wcześniejsze powiadomienie, w tym ścieżkę migracji lub przejścia. Aby uzyskać więcej informacji, zobacz zasady cyklu życia firmy Microsoft.

Treści powiązane

  • Ostatnia aktualizacja o