Microsoft Purview 数据安全和治理 API

Microsoft Purview 数据安全和治理 API 使开发人员能够将 Microsoft Purview 的强大保护功能无缝集成到其应用程序中。 这些 API 对于检索增强生成 (RAG) 应用程序、业务线 (LOB) 应用程序以及处理敏感数据的系统至关重要。 它们提供对 Microsoft Purview 策略评估引擎的编程访问，确保跨一系列应用程序一致地实施数据安全和治理策略。

数据安全性和合规性管理员使用 Microsoft Purview，根据与其组织相关的业务风险暴露和法规来管理、保护和治理数据。 通过利用这些 API，管理员可以了解组织中存储和交换的数据，并可以建立策略来强制实施控制措施，解决租户内用户和应用程序识别的风险。

Microsoft Purview 中的关键策略

收集策略

收集策略是 Microsoft Purview 中的事件收集和筛选工具，可用于监视和分类来自组织信任边界内外的应用和位置的事件。 通过它们，可以筛选将来自不受信任源和受信任源的事件引入 Purview。 引入后，这些数据可由各种Microsoft Purview 信号消耗解决方案（如 Microsoft Purview 活动资源管理器、Microsoft Purview 内部风险管理、Microsoft Purview 电子数据展示和Microsoft Purview 数据生命周期管理）进行分类和使用。

集合策略对于组织至关重要，尤其是那些使用自定义构建的业务线 (LOB) 应用程序或第三方供应商应用程序的组织。 这些环境可能会引入数据可能与组织标准不一致或无意中违反数据边界的风险。 集合策略通过确保正确检测和管理敏感活动来帮助缓解这些风险，使其成为保持符合数据安全和治理要求的关键组件。

详细了解集合策略

数据丢失防护 (DLP) 策略

Microsoft Purview 中的 数据丢失防护 (DLP) 策略使管理员能够控制或限制特定用户或应用程序上下文中敏感数据的移动。 DLP 策略可帮助组织防止意外泄露敏感信息。

例如，当用户尝试将包含此类数据的文件上传到非企业级 AI 应用程序时，像 Joyce 这样的安全管理员可能会配置 DLP 策略，以限制敏感业务数据的使用。 这可确保敏感数据受到保护，与组织数据治理标准保持一致，并保持符合内部安全策略。

应用场景

Microsoft Purview API 可帮助应用程序在整个用户交互的各个阶段管理数据保护和合规性。 这些 API 处理的核心方案包括：

检索用户或租户的保护范围 - 应用程序可以确定在进行任何交互之前应如何处理或保护特定用户数据，从而确保必要的控制措施已到位，以防止数据丢失或泄漏。

将用户内容发送到 Microsoft Purview 进行处理 – 应用程序可以将用户活动或数据发送到 Microsoft Purview，使合规性管理员能够发现敏感交互。 这可确保通过 Microsoft Purview 的合规性功能（例如审核、AI DSPM、电子数据展示、数据生命周期管理、通信合规性和内部风险管理）来管理数据，以满足法规要求。

确定在运行时应允许还是限制用户活动 – 应用程序可以评估在运行时是应允许还是限制用户活动，确保敏感业务内容受到保护，并防止数据丢失或泄漏发生。

Microsoft Purview 策略要求

Microsoft Purview 提供策略强制实施功能，使管理员能够控制整个组织的数据保护。 以下是必须配置的关键策略要求：

集合策略 – 管理员可以配置适用于租户中所有用户或所选用户的收集策略。 如果未为用户或租户设置收集策略， 则计算保护范围 API 可以返回空范围响应。

数据丢失防护 (DLP) 策略 – 管理员可以配置适用于租户中所有用户或所选用户的 DLP 策略。 如果未为用户或租户设置数据丢失防护策略， 则计算保护范围 API 允许应用程序脱机处理内容，并且不会通过进程内容 API 返回 DLP作。

用于数据保护和合规性的 API 流

以下 API 流概述了使用 Microsoft Graph API 管理数据保护和合规性的步骤：

1. 定期调用和缓存 计算保护范围 API 的响应 - 定期调用此 API 以检索用户或租户的保护范围，并存储响应以供进一步处理。

2. 监视位置、执行模式和用户活动的组合 – 根据 来自计算保护范围 API 的 响应，监视关键因素（如用户位置、执行模式和正在进行的活动），以评估合规性。

3. 调用 处理内容 API – 如果满足特定条件，请调用 处理内容 API 以确定对活动的相应作。 如果执行模式设置为 evaluateOffline，则调用此 API 不会暂停用户的交互，但如果模式不是 evaluateOffline，则会阻止用户的交互，直到处理内容。

保护范围

应用程序必须遵守组织内安全和合规性管理员制定的数据保护和治理策略。 这些策略定义了应如何管理数据和用户活动，统称为 保护范围。 应用程序使用 计算保护范围 API 来了解应用于用户交互的保护措施。

保护范围的关键方面包括：

• 集合策略 – 管理员配置适用于所有租户或特定用户的收集策略。 这些策略确定数据的分类并监视用户活动，例如文本/文件上传或下载。 管理员必须定义和管理这些策略，以确保敏感数据在组织中得到适当的分类和保护。

• 数据丢失防护 (DLP) 策略 – 管理员配置 DLP 策略以控制组织中敏感数据的处理方式。 这些策略可确保在各种活动和交互期间保护敏感数据。

• 列出用户或租户的保护范围 - 计算保护范围 API 提供用户或租户的可用保护范围列表。 应用程序使用此信息来确定哪些活动受监视，哪些活动需要将正在进行的活动传递给 processContent API。

• 处理活动和内容 - 处理内容 API 使应用程序能够基于定义的保护范围处理活动和内容。 当活动受到监视时，应用程序会将活动信息传递给 API，该 API 返回强制实施策略所需的作，例如阻止某些作。

标识用户的保护范围

计算保护范围 API 允许应用程序确定用户的保护范围，确保应用适当的Microsoft Purview 策略。 在请求中指定活动类型和位置类型允许应用程序将响应限制为仅包含相关的保护范围。

当用户登录到应用程序时，API 会检索特定于每个用户的保护范围。 为了准确确定这些范围，应用程序必须提供设备和应用程序元数据。 此信息在根据应用程序的上下文做出正确的策略决策、确保符合组织安全性和治理要求方面起着关键作用。

执行模式行为

计算保护范围 API 响应中 字段的行为executionMode定义了应用程序应如何根据保护范围决策处理用户活动。 执行模式可能会影响应用程序与 处理内容 API 的交互方式，以及它是否需要在决定用户活动之前等待结果。

应采用以下执行模式及其行为：

1. evaluateInline：在决定是允许还是阻止用户活动之前，应用程序应等待 处理内容 API 生成结果。 在收到 API 响应之前，不应执行任何作。
2. evaluateOffline：应用程序不应等待 处理内容 API 的裁决，并且可以采取 (作，例如，立即限制访问) ，而无需等待 API 响应。

执行模式	操作	说明
evaluateInline	None	调用方应调用处理内容 API 并等待结果，然后才允许用户活动继续。
evaluateInline	restrictAccess	不预期。 将来可能会存在不干扰用户活动的作 (例如通知用户) 。
evaluateOffline	restrictAccess	调用方应限制用户活动并独立于执行作调用进程内容 API。
evaluateOffline	None	调用方不应限制用户活动，应独立调用进程内容 API。

相关内容

Microsoft Microsoft Graph 中的 Purview 数据安全性和治理