你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

数据发现与Azure Synapse Analytics中的分类

数据发现与分类集成在 Azure Synapse Analytics 专用的 SQL 池中。 它具备发现、分类、标记和报告数据库中敏感数据的能力。

数据发现与分类不支持无服务器SQL池。

最敏感的数据可能包括业务、财务、医疗保健或个人信息。 它可以充当基础结构，用于：

  • 满足数据隐私标准和监管合规要求。
  • 支持安全场景，如监控（审计）敏感数据访问。
  • 控制对包含高度敏感数据的数据库的访问，并加强其安全性。

什么是数据发现和分类？

数据发现和分类目前支持以下功能：

  • 发现和建议： 分类引擎扫描数据库，并识别包含潜在敏感数据的列。 使用此功能可以通过 Azure 门户轻松地查看和应用建议的分类。

  • 标签： 您可以通过数据库引擎中的元数据属性，对列以持久方式应用敏感度分类标签。 然后，此元数据可用于基于敏感度的审核方案。

  • 查询结果集敏感度： 出于审核目的实时计算查询结果集的敏感度。

  • 可见性： 可以在 Azure 门户的详细仪表板中查看数据库分类状态。 此外，还可下载用于符合性和审核目的以及其他需求的报表（Excel 格式）。

发现、分类和标记敏感列

本部分介绍以下步骤：

  • 发现、分类和标记数据库中包含敏感数据的列。
  • 查看数据库的当前分类状态并导出报表。

分类包含两种元数据属性：

  • 标签：主要分类属性，用于定义列中存储的数据的敏感度级别。
  • 信息类型：提供有关列中存储的数据类型的更详尽信息的属性。

信息保护策略

Azure Synapse Analytics 使用 SQL 信息保护 策略进行数据分类。

SQL 信息保护策略

数据发现与分类包含一组内置的敏感度标签和信息类型，以及可与 SQL 逻辑服务器原生配合工作的发现逻辑。 您可以使用默认政策文件中的保护标签，或自定义此分类法。 为你的环境定义一组分类构造及其排序。

定义和自定义分类

在一个集中空间定义并定制您的分类分类法，覆盖整个 Azure 组织。 将 Microsoft Defender for Cloud 用作安全策略的一部分。 只有拥有组织根管理组管理员权限的人才能完成这项任务。

作为策略管理的一部分，你可定义自定义标签，对其进行分级，并将其与选定的一组信息类型相关联。 还可以添加自己的自定义信息类型，并使用字符串模式对其进行配置。 这些模式已添加到用于识别数据库中的此类型数据的发现逻辑。

有关详细信息，请参阅在 Microsoft Defender for Cloud 中自定义 SQL 信息保护策略（预览版）。

在定义全组织策略后，继续使用自定义策略对单个数据库进行分类。

在 SQL 信息保护策略模式下对数据库进行分类

Note

以下示例使用了 Azure SQL 数据库，但你应选择合适的产品来配置数据发现与分类。分类。

  1. 转到 Azure 门户。

  2. 转到“Azure SQL 数据库”窗格的“安全”标题下的“数据发现和分类”。 概览标签包含数据库当前分类状态的摘要。 摘要包含所有已分类列的详细列表，您可以筛选为仅显示特定的架构部分、信息类型和标签。 如果你还没有分类任何列， 可以跳到第4步。

  3. 要下载 Excel 格式的报表，请选择窗格顶部菜单中的“导出”。

  4. 若要开始对数据进行分类，请选择“数据发现和分类”页面上的“分类”选项卡。

    分类引擎扫描数据库，寻找包含潜在敏感数据的列，并提供建议的列分类列表。

  5. 查看并应用分类建议：

    • 若要查看建议的列分类列表，请选择窗格底部的“建议”面板。

    • 若要接受针对特定列的建议，请选中相关行左侧列中的复选框。 若要将所有建议标记为已接受，请选中建议表标题中最左侧的复选框。

    • 若要应用所选建议，请选择“接受所选建议”。

    Note

    使用“Microsoft Purview 信息保护”策略模式时，执行自动数据发现并提供敏感列建议的建议引擎会被禁用。

  6. 您还可以手动对列进行分类，作为基于建议的分类的替代方案，或与其结合使用：

    1. 选择窗格顶部菜单中的“添加分类”。

    2. 在打开的上下文窗口中，选择要分类的架构、表和列，并选择信息类型和敏感度标签。

    3. 选择上下文窗口底部的“添加分类”。

  7. 若要完成分类并永久使用新分类元数据标记数据库列，请在“分类”页中选择“保存” 。

“Microsoft Purview 信息保护”策略

Note

Microsoft 信息保护（MIP）现更名为 Microsoft Purview 信息保护。 “MIP”和“Microsoft Purview 信息保护”都指同一概念。

Microsoft Purview 信息保护标签为用户在不同Microsoft应用程序间分类敏感数据提供了一种简单且统一的方式。 在Microsoft Purview 合规门户中创建和管理MIP敏感标签。 要了解如何在 Microsoft Purview 合规门户中创建和发布 MIP 敏感度标签，请参阅创建和发布敏感度标签一文。

转换到“Microsoft Purview 信息保护”策略的先决条件

  • 设置或更改信息保护策略会为租户下的所有数据库设定信息保护策略。 你必须拥有租户范围的安全管理员权限，才能将信息保护策略从 SQL 信息保护策略更改为 MIP 策略，或反之。

  • 拥有租户范围 安全管理员 权限的用户或角色可以在租户根管理组层面应用该策略。 有关详细信息，请参阅为自己授予租户范围的权限。

  • 租户具有有效的 Microsoft 365 订阅，并且你为当前用户发布了标签。 有关详细信息，请参阅创建和配置敏感度标签及其策略。

在“Microsoft Purview 信息保护”策略模式下对数据库进行分类

  1. 转到 Azure 门户。
  2. 在Azure中访问你的数据库。
  3. 转到“数据库”窗格的“安全”标题下的“数据发现和分类”。
  4. 若要选择“Microsoft 信息保护策略”，请选择“概述”选项卡，然后选择“配置”。
  5. 在“信息保护策略”选项中选择“Microsoft 信息保护策略”，然后选择“保存”。
  6. 如果你进入分类标签，或选择添加分类，你会看到 Microsoft 365 敏感标签出现在敏感性标签下拉列表中。
  • 在 MIP 策略模式下，信息类型为 [n/a]，并且自动数据发现与建议保持禁用状态。
  • 如果某个已分类的列是使用与当前处于活动状态的策略不同的信息保护策略进行分类的，则该列旁边可能会显示警告图标。 例如，如果该列之前用带有 SQL 信息保护 策略的标签分类，现在你进入了 Microsoft 信息保护 策略模式，你会看到针对该特定列的警告图标。 警告图标是信息性的，并不表示问题。

适用于 Azure SQL 数据库 的 Microsoft Purview 信息保护 策略

Important

适用于 Azure SQL 数据库 的 Microsoft Purview 信息保护 策略已停用。 您不再可以通过 Microsoft Purview 信息保护（MIP）访问策略对敏感列配置或强制访问控制，且通过该功能配置的现有访问策略也不再被强制执行。

此前，Azure SQL 数据库 支持通过使用 Purview 访问策略对标有 Microsoft Purview 信息保护 敏感性标签的列执行访问控制。

Microsoft Purview 通过敏感标签控制访问的保护策略仍然可在 Microsoft Fabric 中使用。 更多信息请参见 Microsoft Fabric 中的保护策略。

审计对敏感数据的访问

分类的一个重要方面是能够监控对敏感数据的访问。 Azure Synapse Analytics 审核在审核日志中包含一个名为 data_sensitivity_information 的字段。 该字段记录查询返回数据的敏感性分类（标签）。

这些 T-SQL 活动可通过敏感性信息进行审计：

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

使用 sys.fn_get_audit_file 从 Azure 存储帐户中存储的审核文件返回信息。

Permissions

以下内置角色可读取数据库的数据分类：

  • Owner
  • 读取器
  • 参与者
  • SQL 安全管理器
  • 用户访问管理员

要读取数据库的数据分类，你需要以下操作：

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

以下内置角色可修改数据库的数据分类：

  • Owner
  • 参与者
  • SQL 安全管理器

要修改数据库的数据分类，你需要此操作权限：

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

在 Azure RBAC 中了解有关基于角色的权限的详细信息。

Note

本节中的 Azure SQL 内置角色适用于专用的 SQL 池（前称 SQL DW），但不适用于 Azure Synapse 工作区内的专用 SQL 池和其他 SQL 资源。 对于 Azure Synapse 工作区中的 SQL 资源，可以使用可用的数据分类动作，根据需要创建自定义 Azure 角色以进行标签。 有关 Microsoft.Synapse/workspaces/sqlPools 提供程序操作的详细信息，请参阅 Microsoft.Synapse。

管理分类

可以使用 T-SQL、REST API 或 PowerShell 来管理分类。

使用 T-SQL

可以使用 T-SQL 添加或删除列分类，以及检索整个数据库的所有分类。

Note

当你使用 T-SQL 管理标签时，没有验证你添加到列中的标签是否存在于组织的信息保护策略（门户推荐中出现的标签集合）。 你需要进行验证。

有关使用 T-SQL 进行分类的信息，请参阅以下参考内容：

使用 PowerShell 命令行程序

使用 PowerShell 管理 Azure SQL 数据库 和 Azure SQL 托管实例 的分类与推荐。

适用于 Azure SQL 数据库的 PowerShell cmdlet

使用 REST API

可以使用 REST API 以编程方式管理分类和建议。 已发布的 REST API 支持以下操作：

使用 SQL 驱动程序检索分类元数据

可使用以下 SQL 驱动程序来检索分类元数据：

常见问题解答 - 高级分类功能

问题：Microsoft Purview 会取代 SQL 数据发现与分类，还是 SQL 数据发现与分类很快会退役？ 答：我们会继续支持 SQL 数据发现和分类，但鼓励你采用功能更丰富的 Microsoft Purview 来改善高级分类功能和数据治理。 如果我们决定停用任何服务、功能、API 或 SKU，您将提前收到包括迁移或过渡路径在内的通知。 有关详细信息，请参阅 Microsoft生命周期策略。

相关内容

  • 上次更新时间为