資料發現與Azure Synapse Analytics 中的分類

資料發現與分類功能內建於 Azure Synapse Analytics 專用的 SQL 池中。 它提供發現、分類、標註及報告資料庫敏感資料的功能。

資料發現與分類不支援無伺服器 SQL 池。

您最具敏感性的資料可能包括商務、財務、醫療保健或個人資訊。 它可以作為下列的基礎結構：

  • 符合資料隱私標準及法規合規要求。
  • 支援安全情境，例如監控（稽核）敏感資料存取。
  • 控制對包含高度敏感資料之資料庫的存取，並強化其安全性。

什麼是資料探索與分類？

資料探索與分類目前支援下列功能：

  • 探索與建議：分類引擎會掃描您的資料庫，並識別包含潛在敏感性資料的資料行。 然後，其會提供簡單的方式，讓您透過 Azure 入口網站來檢閱和套用建議的分類。

  • 標註： 你可以在資料庫引擎中使用元資料屬性，持續對欄位套用敏感度分類標籤。 此中繼資料之後可用於以敏感度為基礎的稽核情境。

  • 查詢結果集敏感度：基於稽核目的，系統會即時計算查詢結果集的敏感度。

  • 可見性：您可以在 Azure 入口網站的詳細儀表板中檢視資料庫分類狀態。 此外，您也可以下載 Excel 格式的報告，以用於合規性和稽核用途，以及其他需求。

針對機密資料行進行探索、分類與設定標籤

本節描述下列動作的步驟：

  • 探索、分類和標記您資料庫中包含敏感資料的資料行。
  • 檢視資料庫目前的分類狀態並匯出報告。

分類包含兩個元資料屬性：

  • 標籤：主分類屬性，用來定義資料行中所儲存資料的敏感度等級。
  • 資訊類型：其為屬性，可提供有關資料行中所儲存資料類型的更細微資訊。

資訊保護原則

Azure Synapse Analytics 使用 SQL 資訊保護 政策進行資料分類。

SQL 資訊保護原則

資料探索與分類包含一組內建的敏感度標籤與資訊類型，並具備可原生搭配 SQL 邏輯伺服器運作的探索邏輯。 請使用預設政策檔案中的保護標籤，或自訂此分類法。 為你的環境定義一組分類構造，並加以排序。

定義及自訂您的類別分類法

在整個 Azure 組織的一個集中空間中定義並客製化你的分類法。 使用 適用於雲端的 Microsoft Defender，作為安全性原則的一部分。 只有擁有組織根管理群組管理員權限的人才能完成此任務。

作為原則管理的一部分，您可以定義自訂標籤、對其進行排名，並將其與一組選取的資訊類型建立關聯。 您也可以新增自己的自訂資訊類型，並使用字串模式進行設定。 這些模式會新增至探索邏輯，以在您的資料庫中識別此類型的資料。

如需詳細資訊，請參閱在適用於雲端的 Microsoft Defender 中自訂 SQL 資訊保護原則 (預覽) 。

在定義全組織政策後，繼續使用自訂政策對個別資料庫進行分類。

在 SQL 資訊保護原則模式中分類資料庫

注意

以下範例使用 Azure SQL Database，但你應該選擇適合你想設定資料發現與分類的產品。分類。

  1. 前往 Azure 入口網站。

  2. 在 Azure SQL 資料庫窗格中，移至安全性標題下的 資料探索與分類。 概覽標籤包含資料庫目前分類狀態的摘要。 摘要包含所有已分類欄位的詳細清單，您可以篩選出只顯示特定的架構部分、資訊類型和標籤。 如果你還沒分類任何欄位， 可以跳到第四步。

  3. 若要下載 Excel 格式的報告，請在窗格的上方功能表中選取 [匯出]。

  4. 若要開始分類您的資料，請選取 [資料探索與分類] 頁面上的 [分類] 索引標籤。

    分類引擎會掃描您資料庫中是否有資料行包含潛在敏感度資料，並提供建議的資料行分類清單。

  5. 檢視並套用分類建議：

    • 若要檢視建議的資料行分類清單，請選取窗格底部的建議面板。

    • 若要接受特定資料行的建議，請選取相關資料列左側欄中的核取方塊。 若要將所有建議標示為 [已接受]，請選取建議表格標頭中最左邊的核取方塊。

    • 若要套用選取的建議，請選取 [接受選取的建議]。

    注意

    使用 Microsoft Purview 資訊保護原則模式時，會停用執行自動資料探索並提供敏感性資料行建議的建議引擎。

  6. 您也可以手動分類資料行，作為建議式分類的替代方案，或搭配使用：

    1. 選取窗格頂端功能表中的 新增分類。

    2. 在開啟的內容視窗中，選取您想要分類的結構描述、資料表和資料行，以及資訊類型和敏感度標籤。

    3. 選取情境視窗底部的 新增分類。

  7. 若要完成您的分類，並使用新的分類中繼資料持續標示 (標記) 資料庫資料行，請選取 [分類] 頁面中的 [儲存]。

Microsoft Purview 資訊保護原則

注意

Microsoft 資訊保護（MIP）現已更名為 Microsoft Purview 資訊保護。 「MIP」與「Microsoft Purview 資訊保護」皆指同一概念。

Microsoft Purview 資訊保護 標籤為使用者提供了一種簡單且統一的方式，讓使用者能在不同 Microsoft 應用程式間分類敏感資料。 在Microsoft Purview 合規性入口網站中建立並管理 MIP 敏感性標籤。 若要了解如何在 Microsoft Purview 合規性入口網站內建立及發佈 MIP 敏感度標籤，請參閱＜建立及發佈敏感度標籤＞。

切換至 Microsoft Purview 資訊保護原則的先決條件

  • 設定或變更資訊保護政策，會設定租戶下所有資料庫的資訊保護政策。 您必須擁有租戶範圍的 Security Admin 權限，才能將資訊保護政策從 SQL 資訊保護 政策改為 MIP 政策，或反之亦然。

  • 擁有租戶範圍 Security Admin 權限的使用者或個人角色，可以在租戶根管理群組層級套用該政策。 如需詳細資訊，請參閱授與全租用戶權限給自己。

  • 您的租用戶擁有有效的 Microsoft 365 訂閱，而且您已為目前使用者發佈標籤。 如需詳細資訊，請參閱建立及設定敏感度標籤及其原則。

在 Microsoft Purview 資訊保護原則模式中分類資料庫

  1. 前往 Azure 入口網站。
  2. 在 Azure 中導覽你的資料庫。
  3. 前往資料庫窗格中 安全性 標題下的 資料探索與分類。
  4. 若要選取 [Microsoft 資訊保護 policy] \(Microsoft 資訊保護原則\)，請選取 [概觀] 索引標籤，然後選取 [設定]。
  5. 在 [資訊保護原則] 選項中選取 [Microsoft 資訊保護 policy] \(Microsoft 資訊保護原則\)，然後選取 [儲存]。
  6. 如果你進入分類標籤，或選擇新增分類，你會看到 Microsoft 365 敏感度標籤出現在敏感度標籤下拉選單。
  • 在 MIP 原則模式中，資訊類型為 [n/a]，且自動資料探索與建議保持停用狀態。
  • 如果已分類欄位是因使用與目前生效政策不同的 資訊保護 政策而分類，則警告圖示可能會出現在該欄位上。 例如，如果該欄位之前是用帶有 SQL 資訊保護 政策的標籤分類，現在你進入Microsoft 資訊保護政策模式，你會看到針對該欄位的警告圖示。 警告圖示是資訊性的，並不代表有問題。

適用於 Azure SQL Database 的 Microsoft Purview 資訊保護 原則

Important

適用於 Azure SQL Database 的 Microsoft Purview 資訊保護 原則已淘汰。 您已無法透過 Microsoft Purview 資訊保護（MIP）存取政策對敏感欄位設定或強制存取控制，且透過此功能設定的現有存取政策也不再被強制執行。

過去，Azure SQL Database 支援透過使用 Purview 存取政策，強制執行以 Microsoft Purview 資訊保護 敏感性標籤標記的欄位存取控制。

Microsoft Purview 透過敏感標籤控制存取的保護政策，仍可在 Microsoft Fabric 中使用。 欲了解更多資訊，請參閱 Microsoft Fabric 中的保護政策。

稽核對敏感資料的存取

分類的一個重要面向是監控敏感資料存取的能力。 Azure Synapse Analytics 的稽核在稽核日誌中包含一個稱為 data_sensitivity_information 的欄位。 此欄位記錄查詢回傳資料的敏感度分類（標籤）。

這些 T-SQL 活動可透過敏感性資訊進行稽核：

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

使用 sys.fn_get_audit_file，從 Azure 儲存體帳戶中儲存的稽核檔案傳回資訊。

Permissions

這些內建角色可以讀取資料庫的資料分類：

  • Owner
  • Reader
  • Contributor
  • SQL 安全性管理員
  • 使用者存取系統管理員

若要讀取資料庫的資料分類，你需要以下動作：

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

這些內建角色可以修改資料庫的資料分類：

  • Owner
  • Contributor
  • SQL 安全性管理員

要修改資料庫的資料分類，你需要此權限：

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

深入了解 Azure RBAC 中的角色型權限。

注意

本節的 Azure SQL 內建角色適用於專用的 SQL 池（前稱 SQL DW），但不適用於 Azure Synapse 工作空間中的專用 SQL 池及其他 SQL 資源。 對於 Azure Synapse 工作空間中的 SQL 資源，請利用可用的資料分類動作，根據需要建立自訂的 Azure 角色來標註。 如需 Microsoft.Synapse/workspaces/sqlPools 提供者作業的詳細資訊，請參閱 Microsoft.Synapse。

管理分類

您可以使用 T SQL、REST API 或 PowerShell 來管理分類。

使用 T-SQL

您可以使用 T-SQL 來新增或移除資料行分類，以及擷取整個資料庫的所有分類。

注意

當你使用 T-SQL 管理標籤時，不會驗證你加到資料行的標籤是否存在於組織的資訊保護原則中（即入口網站建議中出現的標籤集合）。 你需要驗證。

如需使用 T-SQL 進行分類的相關資訊，請參閱下列參考：

使用 PowerShell Cmdlet

使用 PowerShell 管理 Azure SQL Database 與 Azure SQL 受控執行個體 的分類與建議。

適用於 Azure SQL 資料庫的 PowerShell Cmdlet

使用 REST API

您可以使用 REST API，以程式設計方式管理分類和建議。 已發佈的 REST API 支援下列作業：

使用 SQL 驅動程式擷取分類中繼資料

您可以使用下列 SQL 驅動程式來擷取分類中繼資料：

常見問題集 - 進階分類功能

問題：Microsoft Purview 會取代 SQL 資料發現與分類嗎？還是 SQL 資料發現與分類會很快退役？ 答：我們會繼續支援 SQL 資料探索與分類，但也建議您採用 Microsoft Purview，因為其功能更加豐富，可讓您執行進階的分類功能和資料控管。 若我們決定淘汰任何服務、功能、API 或 SKU，您將提前收到通知，包括遷移或過渡路徑。 欲了解更多資訊，請參閱 Microsoft 生命週期政策。

相關內容

  • 上次更新時間：