Data Discovery & Classification in Azure Synapse Analytics

Обнаружение данных и Классификация встроены в выделенные SQL-пулы Azure Synapse Analytics. Он предоставляет возможности для обнаружения, классификации, маркировки и формирования отчетов о конфиденциальных данных в ваших базах данных.

Data Discovery and Classification не поддерживается для бессерверных SQL-пулов.

К наиболее конфиденциальным данным относятся деловые, финансовые, медицинские и персональные данные. Она может использоваться в качестве инфраструктуры для следующего:

  • Соответствовать стандартам конфиденциальности данных и требованиям по соблюдению нормативных требований.
  • Поддерживайте сценарии безопасности, такие как мониторинг (аудит) доступа к конфиденциальным данным.
  • Контролировать доступ к базам данных, содержащим высококонфиденциальные данные, и усилить их защиту.

Понятие обнаружения и классификации данных.

Для классификации и обнаружения данных в настоящее время поддерживаются следующие возможности:

  • Обнаружение и рекомендации. Подсистема классификации проверяет базы данных и выявляет столбцы, содержащие потенциально конфиденциальные данные. Затем она позволяет легко просмотреть их и применить рекомендуемую классификацию на портале Azure.

  • Маркировка: Вы можете постоянно применять метки по классификации чувствительности к столбцам, используя атрибуты метаданных в движке базы данных. Затем эти метаданные могут использоваться в сценариях аудита, основанных на конфиденциальности.

  • Конфиденциальность результирующего набора запроса. Конфиденциальность результирующего набора запроса вычисляется в режиме реального времени для аудита.

  • Видимость. Состояние классификации базы данных можно просмотреть на информационной панели портала Azure. Кроме того, можно скачать отчет в формате Excel для использования в целях соблюдения требований и аудита, а также других задач.

Обнаружение, классификация и добавление меток к столбцам конфиденциальных данных

В этом разделе описываются действия для выполнения следующих операций.

  • Обнаружение, классификация и добавление меток к столбцам, содержащим конфиденциальные данные в базе данных.
  • Просмотр текущего состояния классификации базы данных и экспорт отчетов.

Классификация включает в себя два типа атрибутов метаданных:

  • Метки — основные атрибуты классификации, служащие для определения уровня конфиденциальности данных, хранящихся в столбце.
  • Типы сведений — атрибуты, предоставляющие более детальную информацию о типе данных, хранящихся в столбце.

Политика защиты информации

Azure Synapse Analytics использует политику SQL Information Protection для классификации данных.

Политика SQL Information Protection

Data Discovery and Classification включает встроенный набор меток чувствительности и типов информации с логикой обнаружения, которая работает нативно с SQL-логическим сервером. Используйте метки защиты, доступные в стандартном файле политики, или настройте эту таксономию. Определите набор и ранжирование классификационных конструкций специально для вашей среды.

Определение и настройка таксономии классификации

Определите и настройте таксономию классификации в одном центральном месте для всей вашей организации Azure. Используйте Microsoft Defender для облака как часть вашей политики безопасности. Только человек с административными правами в корневой группе управления организации может выполнить эту задачу.

В процессе управления политикой можно определить нестандартные метки, ранжировать их и связать их с выбранным набором типов сведений. Кроме того, можно добавить собственные пользовательские типы сведений и настроить их с помощью строковых шаблонов. Шаблоны добавляются в логику обнаружения для идентификации этого типа данных в базах данных.

Дополнительные сведения см. в статье о Настройке политики защиты информации SQL в Microsoft Defender для облака (предварительная версия).

После того как вы определите политику для всей организации, продолжайте классифицировать отдельные базы данных с помощью вашей настроенной политики.

Классификация баз данных в режиме политики SQL Information Protection

Примечание.

В следующем примере используется База данных SQL Azure, но вам следует выбрать подходящий продукт для настройки Data Discovery & Classification.

  1. Перейдите в раздел порталу Azure.

  2. Перейдите к разделу Обнаружение и классификация данных под заголовком Безопасность на панели "База данных SQL Azure". Вкладка «Обзор» содержит сводку текущего состояния классификации базы данных. В резюме представлен подробный список всех классифицированных столбцов, который можно отфильтровать, показывая только определённые части схемы, типы информации и метки. Если вы ещё не классифицировали ни одну колонку, перейдите к шагу 4.

  3. Чтобы скачать отчет в формате Excel, выберите пункт Экспорт в верхнем меню панели.

  4. Чтобы начать классификацию данных, выберите вкладку Классификация на странице Обнаружение и классификация данных.

    Подсистема классификации ищет в базе данных столбцы с потенциально конфиденциальными данными и предоставляет список рекомендованных классификаций столбцов.

  5. Просмотрите и примените рекомендации по классификации:

    • Чтобы просмотреть список рекомендуемых классификаций столбцов, выберите область рекомендаций в нижней части панели.

    • Чтобы применить рекомендацию для определенного столбца, установите флажок в левом столбце соответствующей строки. Чтобы пометить все рекомендации как принятые, установите крайний левый флажок в заголовке таблицы рекомендаций.

    • Чтобы применить выбранные рекомендации, нажмите кнопку Принять выбранные рекомендации.

    Примечание.

    Подсистема рекомендаций, которая выполняет автоматическое обнаружение данных и предоставляет рекомендации по конфиденциальным столбцам, отключена при использовании режима политики Защита информации Microsoft Purview.

  6. Столбцы можно классифицировать вручную вместо использования рекомендованных классификаций или в дополнение к ним:

    1. В меню, расположенном вверху панели, выберите пункт Добавить классификацию.

    2. В открывшемся контекстном окне выберите схему, таблицу и столбец, которые нужно классифицировать, а затем выберите тип сведений и метку конфиденциальности.

    3. После этого нажмите кнопку Добавить классификацию в нижней части контекстного окна.

  7. Чтобы завершить классификацию и сохранить метки (теги) столбцов базы данных с новыми метаданными классификации, в меню вверху окна выберите команду Сохранить на странице Классификация.

политика Защита информации Microsoft Purview

Примечание.

Microsoft Information Protection (MIP) теперь Защита информации Microsoft Purview. И «MIP», и «Защита информации Microsoft Purview» относятся к одному и тому же понятию.

Метки Защита информации Microsoft Purview предоставляют простой и единый способ для пользователей классифицировать чувствительные данные в различных приложениях Microsoft. Создавайте и управляйте метками конфиденциальности MIP в портале соответствия Microsoft Purview. Сведения о создании и публикации меток конфиденциальности MIP на портале соответствия требованиям Microsoft Purview см. в статье "Создание и публикация меток конфиденциальности".

Предварительные требования для перехода на политику Защита информации Microsoft Purview

  • Установка или изменение политики защиты информации устанавливает политику защиты информации для всех баз данных арендатора. Для изменения политики Information Protection с политики SQL Information Protection на политику MIP или наоборот необходимо иметь разрешение Security Admin на уровне всего арендатора.

  • Пользователь или персона с разрешением Security Admin для всего клиента может применять политику на уровне группы управления корневым клиентом. Дополнительные сведения см. в разделе Предоставление разрешений на уровне арендатора себе.

  • Для вашего клиента настроена активная подписка Microsoft 365, и для текущего пользователя опубликованы метки. Для получения дополнительной информации см. Создание и настройка меток конфиденциальности и их политик.

Классификация базы данных в режиме политики Защита информации Microsoft Purview

  1. Перейдите в раздел порталу Azure.
  2. Перейдите к своей базе данных в Azure.
  3. Перейдите в раздел "Обнаружение данных" и "Классификация " в разделе "Безопасность " в области базы данных.
  4. Чтобы выбрать политику Microsoft Information Protection, откройте вкладку Обзор и выберите Настроить.
  5. В параметрах политики Information Protection выберите Microsoft Information Protection и нажмите Сохранить.
  6. Если зайти на вкладку «Классификация» или выбрать «Добавить классификацию», вы увидите метки чувствительности Microsoft 365 в выпадающем списке «Метки чувствительности».
  • Пока вы находитесь в режиме политики MIP, тип информации — [n/a], а автоматическое обнаружение данных и рекомендации остаются отключенными.
  • Иконка предупреждения могла появиться на уже засекреченном столбце, если столбец был классифицирован с использованием другой политики Information Protection, отличной от действующей политики. Например, если столбец ранее был классифицирован с помощью метки в соответствии с политикой SQL Information Protection, а теперь вы работаете в режиме политики Microsoft Information Protection, рядом с этим столбцом отображается значок предупреждения. Иконка предупреждения информационная и не указывает на проблему.

Политики защиты информации Microsoft Purview для База данных SQL Azure

Important

Политики Защита информации Microsoft Purview для База данных SQL Azure отменены. Вы больше не можете настраивать или обеспечивать контроль доступа к чувствительным столбцам через политики доступа Защита информации Microsoft Purview (MIP), а существующие политики доступа, настроенные через эту возможность, больше не применяются.

Ранее База данных SQL Azure поддерживала контроль доступа к столбцам, помеченным метками чувствительности Защита информации Microsoft Purview, используя политики доступа Purview.

Политики защиты Microsoft Purview, контролирующие доступ через метки чувствительности, всё ещё доступны в Microsoft Fabric. Для получения дополнительной информации см. раздел Политики защиты в Microsoft Fabric.

Мониторинг доступа к конфиденциальным данным

Важным аспектом классификации является возможность отслеживать доступ к конфиденциальным данным. Azure Synapse Analytics auditing включает поле в журнале аудита под названием data_sensitivity_information. Это поле регистрирует классификации чувствительности (метки) данных, которые возвращает запрос.

Эти задачи T-SQL подлежат аудиту с помощью информации о чувствительности:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Используйте sys.fn_get_audit_file, чтобы возвращать сведения из файла аудита, хранящегося в учетной записи службы хранилища Azure.

Permissions

Эти встроенные роли могут считывать классификацию данных в базе данных:

  • Owner
  • Reader
  • Contributor
  • Диспетчер безопасности SQL
  • Администратор доступа пользователей

Чтобы прочитать классификацию данных базы данных, вам потребуются следующие разрешения:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Эти встроенные роли могут изменять классификацию данных в базе данных:

  • Owner
  • Contributor
  • Диспетчер безопасности SQL

Чтобы изменить классификацию данных базы данных, необходимо следующее действие:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Дополнительные сведения о разрешениях на основе ролей см. в документации Azure RBAC.

Примечание.

Встроенные роли Azure SQL в этом разделе применимы к выделенному SQL-пулу (ранее SQL DW), но недоступны для выделенных SQL-пулов и других SQL-ресурсов в рабочих пространствах Azure Synapse. Для ресурсов SQL в рабочих пространствах Azure Synapse используйте доступные действия для классификации данных, чтобы создавать пользовательские роли Azure при необходимости для маркировки. Дополнительные сведения об операциях поставщика Microsoft.Synapse/workspaces/sqlPools см. Microsoft.Synapse.

Управление классификациями

Для управления классификациями можно использовать T-SQL, REST API или PowerShell.

Использование T-SQL

Используйте T-SQL, чтобы добавить или удалить классификацию столбца или извлечь все классификации всей базы данных.

Примечание.

Когда вы используете T-SQL для управления метками, нет никакой проверки, что метки, добавленные в столбец, существуют в политике защиты информации организации (набор меток, которые появляются в рекомендациях портала). Тебе нужно валидировать.

Дополнительные сведения об использовании T-SQL для классификаций см. по следующим ссылкам:

Используйте командлеты PowerShell

Управление классификациями и рекомендациями для База данных SQL Azure и Управляемый экземпляр SQL Azure с помощью PowerShell.

Командлеты PowerShell для базы данных SQL Azure

Использование REST API

Можно использовать REST API для программного управления классификациями и рекомендациями. Опубликованные REST API поддерживают следующие операции:

  • Create Or Update. Создает или обновляет метку конфиденциальности указанного столбца.
  • Delete. Удаляет метку конфиденциальности указанного столбца.
  • Disable Recommendation. Отключает рекомендации по уровням чувствительности для указанного столбца.
  • Enable Recommendation. Включает рекомендации по чувствительности для указанного столбца. (По умолчанию рекомендации включены для всех столбцов.)
  • Get. Получает метку конфиденциальности указанного столбца.
  • List Current By Database. Получает список текущих меток конфиденциальности для конкретной базы данных.
  • List Recommended By Database. Получает список рекомендуемых меток конфиденциальности для конкретной базы данных.

Получение метаданных классификаций с помощью драйверов SQL

Для получения метаданных классификации можно использовать следующие драйверы SQL:

Часто задаваемые вопросы о дополнительных возможностях классификации

Вопрос: Заменит ли Microsoft Purview SQL Data Discovery & Classification или SQL Data Discovery & Classification скоро будет выведен из эксплуатации? Ответ. Мы продолжаем поддерживать обнаружение и классификацию данных SQL и рекомендуем принять Microsoft Purview , который имеет более широкие возможности для обеспечения расширенных возможностей классификации и управления данными. Если мы решим закрыть любой сервис, функцию, API или SKU, вы получите предварительное уведомление, включая миграцию или путь перехода. Дополнительные сведения см. в политиках жизненного цикла Майкрософт.

Связанные материалы

  • Последнее обновление: