Data Discovery & Klassificering i Azure Synapse Analytics

Dataupptäckt & Klassificering är inbäddade i Azure Synapse Analytics dedikerade SQL-pooler. Den erbjuder möjligheter att upptäcka, klassificera, märka och rapportera känslig data i dina databaser.

Data Discovery & Classification stöds inte för serverlösa SQL-pooler.

Dina känsligaste data kan vara affärsinformation, ekonomi, sjukvård eller personlig information. Den kan fungera som infrastruktur för:

  • Uppfyll dataskyddsstandarder och krav på regelefterlevnad.
  • Stöd för säkerhetsscenarier, såsom övervakning (granskning) av åtkomst till känsliga data.
  • Kontrollera åtkomst till och förstärk säkerheten i databaser som innehåller mycket känslig data.

Vad är dataidentifiering och -klassificering?

Dataidentifiering och -klassificering stöder för närvarande följande funktioner:

  • Identifiering och rekommendationer: Klassificeringsmotorn söker igenom databasen och identifierar kolumner som innehåller potentiellt känsliga data. Det ger dig sedan ett enkelt sätt att granska och tillämpa rekommenderad klassificering via Azure-portalen.

  • Märkning: Du kan tillämpa känslighetsklassificeringsetiketter beständigt på kolumner genom att använda metadataattribut i databasmotorn. Dessa metadata kan sedan användas för känslighetsbaserade granskningsscenarier.

  • Frågeresultatuppsättningskänslighet: Känsligheten för en frågeresultatuppsättning beräknas i realtid i granskningssyfte.

  • Synlighet: Du kan visa databasklassificeringstillståndet i en detaljerad instrumentpanel i Azure-portalen. Du kan också ladda ned en rapport i Excel-format som ska användas för efterlevnads- och granskningsändamål och andra behov.

Identifiera, klassificera och märka känsliga kolumner

I det här avsnittet beskrivs stegen för:

  • Identifiera, klassificera och märka kolumner som innehåller känsliga data i databasen.
  • Visa databasens aktuella klassificeringstillstånd och exportera rapporter.

Klassificeringen innehåller två metadataattribut:

  • Etiketter: De viktigaste klassificeringsattributen som används för att definiera känslighetsnivån för de data som lagras i kolumnen.
  • Informationstyper: Attribut som ger mer detaljerad information om vilken typ av data som lagras i kolumnen.

InformationSskyddsprincip

Azure Synapse Analytics använder SQL Information Protection policy för dataklassificering.

SQL Information Protection-princip

Data Discovery & Classification inkluderar en inbyggd uppsättning känslighetsetiketter och informationstyper med upptäcktslogik som fungerar inbyggt med den logiska SQL-servern. Använd skyddsetiketterna som finns i standardpolicyfilen, eller anpassa denna taxonomi. Definiera en uppsättning och rangordning av klassificeringselement specifikt för din miljö.

Definiera och anpassa klassificeringstaxonomi

Definiera och anpassa din klassificeringstaksonomi på ett centralt ställe för hela din Azure-organisation. Använd Microsoft Defender för molnet som en del av din säkerhetspolicy. Endast någon med administrativa rättigheter i organisationens rothanteringsgrupp kan utföra denna uppgift.

Som en del av principhanteringen kan du definiera anpassade etiketter, rangordna dem och associera dem med en vald uppsättning informationstyper. Du kan också lägga till egna anpassade informationstyper och konfigurera dem med strängmönster. Mönstren läggs till i identifieringslogik för att identifiera den här typen av data i dina databaser.

Mer information finns i Anpassa SQL-informationsskyddsprincipen i Microsoft Defender för molnet (förhandsversion).

Efter att du har definierat den organisationsövergripande policyn, fortsätt att klassificera enskilda databaser med din anpassade policy.

Klassificera databasen i principläge för SQL Information Protection

Note

Följande exempel använder Azure SQL Database, men du bör välja rätt produkt som du vill använda för att konfigurera Data Discovery & Classification.

  1. Gå till Azure-portal.

  2. Gå till Dataidentifiering och klassificering under rubriken Säkerhet i fönstret Azure SQL Database. Fliken Översikt innehåller en sammanfattning av databasens aktuella klassificeringsstatus. Sammanfattningen innehåller en detaljerad lista över alla klassificerade kolumner, som du kan filtrera för att visa endast specifika schemadelar, informationstyper och etiketter. Om du inte har klassificerat några kolumner än, hoppa till steg 4.

  3. Om du vill ladda ned en rapport i Excel-format väljer du Exportera på den översta menyn i fönstret.

  4. Börja klassificera dina data genom att välja fliken Klassificering på sidan Dataidentifiering och klassificering .

    Klassificeringsmotorn söker igenom databasen efter kolumner som innehåller potentiellt känsliga data och innehåller en lista över rekommenderade kolumnklassificeringar.

  5. Visa och tillämpa klassificeringsrekommendationer:

    • Om du vill visa listan över rekommenderade kolumnklassificeringar väljer du panelen rekommendationer längst ned i fönstret.

    • Om du vill acceptera en rekommendation för en specifik kolumn markerar du kryssrutan i den vänstra kolumnen på den relevanta raden. Markera alla rekommendationer som godkända genom att markera kryssrutan längst till vänster i tabellrubriken för rekommendationerna.

    • Om du vill tillämpa de valda rekommendationerna väljer du Acceptera valda rekommendationer.

    Note

    Rekommendationsmotorn, som gör automatisk dataidentifiering och ger rekommendationer för känsliga kolumner, inaktiveras när Principläget för Microsoft Purview Information Protection används.

  6. Du kan också klassificera kolumner manuellt, som ett alternativ eller utöver den rekommendationsbaserade klassificeringen:

    1. Välj Lägg till klassificering på den översta menyn i fönstret.

    2. I kontextfönstret som öppnas väljer du det schema, den tabell och kolumn som du vill klassificera samt informationstypen och känslighetsetiketten.

    3. Välj Lägg till klassificering längst ned i kontextfönstret.

  7. Om du vill slutföra din klassificering och beständigt märka (tagga) databaskolumnerna med de nya klassificeringsmetadata väljer du Spara på sidan Klassificering .

Microsoft Purview Information Protection-policy

Note

Microsoft Information Protection (MIP) är nu Microsoft Purview Information Protection. Både "MIP" och "Microsoft Purview Information Protection" syftar på samma koncept.

Microsoft Purview Information Protection-etiketter ger ett enkelt och enhetligt sätt för användare att klassificera känslig data över olika Microsoft-applikationer. Skapa och hantera känslighetsetiketter för MIP i efterlevnadsportal i Microsoft Purview. Information om hur du skapar och publicerar känsliga MIP-etiketter i Microsoft Purview-efterlevnadsportalen finns i Skapa och publicera känslighetsetiketter.

Krav för att växla till Microsoft Purview Information Protection-princip

  • När du anger eller ändrar informationsskyddspolicyn tillämpas informationsskyddspolicyn på alla databaser under klienten. Du måste ha tenant-wide Security Admin-behörighet för att ändra information protection-policyn från SQL Information Protection-policy till MIP-policy, eller tvärtom.

  • En användare eller persona med tenant-omfattande Security Admin-behörighet kan tillämpa policyn på nivån för hanteringsgruppen Tenant Root. För mer information, se Bevilja klientomfattande behörigheter till dig själv.

  • Din klientorganisation har en aktiv Microsoft 365-prenumeration och du har etiketter publicerade för den aktuella användaren. Mer information finns i Skapa och konfigurera känslighetsetiketter och dessas policyer.

Klassificera databasen i Principläge för Microsoft Purview Information Protection

  1. Gå till Azure-portal.
  2. Navigera till din databas i Azure.
  3. Gå till Dataidentifiering och klassificering under rubriken Säkerhet i databasfönstret.
  4. Välj Microsoft Information Protection-princip genom att välja fliken Översikt och sedan Konfigurera.
  5. Välj Microsoft Information Protection-princip i alternativen för informationsskyddsprinciper och välj Spara.
  6. Om du går till fliken Klassificering, eller väljer Lägg till klassificering, ser du att Microsoft 365 känslighetsetiketter visas i rullgardinsmenyn för känslighetsetiketter.
  • Informationstypen är [n/a] när du är i MIP-principläge och automatiska dataidentifiering och rekommendationer förblir inaktiverade.
  • En varningsikon kan visas mot en redan klassificerad kolumn om kolumnen är klassificerad genom att använda en annan Information Protection-policy än den nuvarande aktiva policyn. Till exempel, om kolumnen klassificerades med en etikett med SQL Information Protection policy tidigare och du nu är i Microsoft Information Protection policyläge, ser du en varningsikon vid just den kolumnen. Varningsikonen är informativ och indikerar inget problem.

Microsoft Purview Information Protection-policys för Azure SQL Database

Important

Principer för Microsoft Purview Information Protection för Azure SQL Database har dragits tillbaka. Du kan inte längre konfigurera eller upprätthålla åtkomstkontroll på känsliga kolumner via Microsoft Purview Information Protection (MIP) åtkomstpolicyer, och befintliga åtkomstpolicys konfigurerade via denna funktion tillämpas inte längre.

Tidigare stödde Azure SQL Database att upprätthålla åtkomstkontroll på kolumner märkta med Microsoft Purview Information Protection-känslighetsetiketter genom att använda Purviews åtkomstpolicyer.

Microsoft Purview-skyddspolicyer som styr åtkomst via känslighetsetiketter finns fortfarande tillgängliga i Microsoft Fabric. För mer information, se Skyddspolicys i Microsoft Fabric.

Granska åtkomst till känsliga data

En viktig aspekt av klassificering är möjligheten att övervaka åtkomst till känslig data. Azure Synapse Analytics auditing inkluderar ett fält i revisionsloggen som heter data_sensitivity_information. Detta fält loggar känslighetsklassificeringarna (etiketterna) för den data som en fråga returnerar.

Dessa T-SQL-aktiviteter kan granskas med känslighetsinformation:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Använd sys.fn_get_audit_file för att returnera information från en granskningsfil som lagras på ett Azure Storage-konto.

Permissions

Dessa inbyggda roller kan läsa dataklassificeringen för en databas:

  • Ägare
  • Reader
  • Contributor
  • SQL-säkerhetshanteraren
  • Administratör för användaråtkomst

För att läsa dataklassificeringen för en databas behöver du följande åtgärder:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Dessa inbyggda roller kan ändra dataklassificeringen för en databas:

  • Ägare
  • Contributor
  • SQL-säkerhetshanteraren

För att ändra dataklassificeringen i en databas behöver du denna åtgärd:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Läs mer om rollbaserade behörigheter i Azure RBAC.

Note

De inbyggda rollerna i Azure SQL i detta avsnitt gäller för en dedikerad SQL-pool (tidigare SQL DW) men är inte tillgängliga för dedikerade SQL-pooler och andra SQL-resurser inom Azure Synapse-arbetsytor. För SQL-resurser i Azure Synapse-arbetsytor, använd de tillgängliga åtgärderna för dataklassificering för att skapa anpassade Azure-roller vid behov för märkning. Mer information om provideråtgärder finns i Microsoft.Synapse/workspaces/sqlPoolsMicrosoft.Synapse.

Hantera klassificeringar

Du kan använda T-SQL, ett REST-API eller PowerShell för att hantera klassificeringar.

Använda T-SQL

Du kan använda T-SQL för att lägga till eller ta bort kolumnklassificeringar och hämta alla klassificeringar för hela databasen.

Note

När du använder T-SQL för att hantera etiketter finns det ingen validering av att etiketter du lägger till i en kolumn finns i organisationens informationsskyddspolicy (uppsättningen etiketter som visas i portalens rekommendationer). Du behöver validera.

Information om hur du använder T-SQL för klassificeringar finns i följande referenser:

Använda PowerShell-cmdletar

Hantera klassificeringar och rekommendationer för Azure SQL Database och Azure SQL Managed Instance genom att använda PowerShell.

PowerShell-cmdletar för Azure SQL Database

Använda REST-API:et

Du kan använda REST-API:et för att programmatiskt hantera klassificeringar och rekommendationer. Det publicerade REST-API:et stöder följande åtgärder:

Hämta metadata för klassificeringar med SQL-drivrutiner

Du kan använda följande SQL-drivrutiner för att hämta klassificeringsmetadata:

Vanliga frågor och svar – Avancerade klassificeringsfunktioner

Fråga: Kommer Microsoft Purview att ersätta SQL Data Discovery & Klassificering eller kommer SQL Data Discovery & Klassificering snart att avvecklas? Svar: Vi fortsätter att stödja SQL Data Discovery &Classification och uppmuntrar dig att använda Microsoft Purview som har bättre funktioner för att driva avancerade klassificeringsfunktioner och datastyrning. Om vi beslutar att avveckla någon tjänst, funktion, API eller SKU får du förhandsbesked inklusive migrering eller övergångsväg. Mer information finns i Microsofts livscykelprinciper.

Relaterat innehåll

  • Uppdaterades senast