資料探索與分類

適用於：Azure SQL 資料庫Azure SQL 受控執行個體Azure Synapse Analytics

資料探索與分類內建於 Azure SQL 資料庫、Azure SQL 受控執行個體和 Azure Synapse Analytics 中。 其提供在資料庫中探索、分類、標記及報告敏感性資料的基本功能。

您最具敏感性的資料可能包括商務、財務、醫療保健或個人資訊。 它可以作為以下的基礎結構：

  • 有助於符合資料隱私權標準和法規合規性需求。
  • 各種安全性案例，例如監視 (稽核) 對敏感性資料的存取。
  • 對包含高度敏感性資料的資料庫進行存取控制並強化安全性。

如需 SQL Server 內部部署的相關資訊，請參閱 SQL 資料探索與分類。

注意

使用 Microsoft Purview 資訊保護 原則（預覽版）的標籤型存取保護已淘汰，且不再提供。 欲了解更多資訊，請參閱 Microsoft Purview 資訊保護 對 Azure SQL Database 的政策。

什麼是資料探索與分類？

資料探索與分類目前支援下列功能：

  • 探索與建議：分類引擎會掃描您的資料庫，並識別包含潛在敏感性資料的資料行。 然後，其會提供簡單的方式，讓您透過 Azure 入口網站來檢閱和套用建議的分類。

  • 標記：您可以持續地將敏感度分類標籤套用到資料行，方法是使用已新增至 SQL Server 資料庫引擎的新中繼資料屬性。 此中繼資料之後可用於以敏感度為基礎的稽核情境。

  • 查詢結果集敏感度：基於稽核目的，系統會即時計算查詢結果集的敏感度。

  • 可見性：您可以在 Azure 入口網站的詳細儀表板中檢視資料庫分類狀態。 此外，您也可以下載 Excel 格式的報告，以用於合規性和稽核用途，以及其他需求。

針對機密資料行進行探索、分類與設定標籤

本節描述下列動作的步驟：

  • 探索、分類和標記您資料庫中包含敏感資料的資料行。
  • 檢視資料庫目前的分類狀態並匯出報告。

分類包含兩個中繼資料屬性：

  • 標籤：主分類屬性，用來定義資料行中所儲存資料的敏感度等級。
  • 資訊類型：其為屬性，可提供有關資料行中所儲存資料類型的更細微資訊。

資訊保護原則

Azure SQL 在資料分類中同時提供 SQL 資訊保護原則與 Microsoft 資訊保護原則，您可以根據您的需求選擇這兩個原則的其中一個。

資訊保護原則類型的螢幕擷取畫面。

SQL 資訊保護原則

資料探索與分類隨附一組內建的敏感度標籤與資訊類型，其探索邏輯是 SQL 邏輯伺服器的原生邏輯。 您可以繼續使用預設原則檔案中可用的保護標籤，也可以自訂此分類法。 您可以專為您的環境定義一組分類結構及其排序。

定義及自訂您的類別分類法

您可以針對整個 Azure 組織，在一個中央位置定義和自訂分類法。 該位置位於 適用於雲端的 Microsoft Defender 中，屬於您安全性原則的一部分。 只有具備組織根管理群組系統管理權限的人可以執行此工作。

作為原則管理的一部分，您可以定義自訂標籤、對其進行排名，並將其與一組選取的資訊類型建立關聯。 您也可以新增自己的自訂資訊類型，並使用字串模式進行設定。 這些模式會新增至探索邏輯，以在您的資料庫中識別此類型的資料。

如需詳細資訊，請參閱在適用於雲端的 Microsoft Defender 中自訂 SQL 資訊保護原則 (預覽) 。

在定義了整個組織的原則之後，您可以使用自訂的原則繼續分類個別的資料庫。

在 SQL 資訊保護原則模式中分類資料庫

注意

下列範例使用 Azure SQL 資料庫，但您應該選取要設定資料探索與分類的適當產品。

  1. 前往 Azure 入口網站。

  2. 在 Azure SQL 資料庫窗格中，移至安全性標題下的 資料探索與分類。 [概觀] 索引標籤包含資料庫目前分類狀態的摘要。 摘要包含所有已分類資料行的詳細清單，您也可以篩選這些資料行，只顯示特定的結構描述部分、資訊類型及標籤。 如果您尚未分類任何資料行，請跳至步驟 4。

    概覽標籤的截圖，標示為資料發現與分類。

  3. 若要下載 Excel 格式的報告，請在窗格的上方功能表中選取 [匯出]。

  4. 若要開始分類您的資料，請選取 [資料探索與分類] 頁面上的 [分類] 索引標籤。

    分類引擎會掃描您資料庫中是否有資料行包含潛在敏感度資料，並提供建議的資料行分類清單。

  5. 檢視並套用分類建議：

    • 若要檢視建議的資料行分類清單，請選取窗格底部的建議面板。

    • 若要接受特定資料行的建議，請選取相關資料列左側欄中的核取方塊。 若要將所有建議標示為 [已接受]，請選取建議表格標頭中最左邊的核取方塊。

    • 若要套用選取的建議，請選取 [接受選取的建議]。

    分類建議截圖。

    注意

    使用 Microsoft Purview 資訊保護原則模式時，會停用執行自動資料探索並提供敏感性資料行建議的建議引擎。

  6. 您也可以手動分類資料行，作為建議式分類的替代方案，或搭配使用：

    1. 選取窗格頂端功能表中的 新增分類。

    2. 在開啟的內容視窗中，選取您想要分類的結構描述、資料表和資料行，以及資訊類型和敏感度標籤。

    3. 選取情境視窗底部的 新增分類。

    截圖顯示如何手動新增分類。

  7. 若要完成您的分類，並使用新的分類中繼資料持續標示 (標記) 資料庫資料行，請選取 [分類] 頁面中的 [儲存]。

Microsoft Purview 資訊保護原則

注意

Microsoft 資訊保護 (MIP) 已重新命名為 Microsoft Purview 資訊保護。 "MIP" 和「Microsoft Purview 資訊保護」這兩個詞彙在本文件中經常互換使用，但指的是相同的概念。

Microsoft Purview 資訊保護標籤提供簡單且統一的方式，讓使用者在不同的 Microsoft 應用程式中統一分類敏感性資料。 您可以在 Microsoft Purview 合規性入口網站建立及管理 MIP 敏感度標籤。 若要了解如何在 Microsoft Purview 合規性入口網站內建立及發佈 MIP 敏感度標籤，請參閱＜建立及發佈敏感度標籤＞。

切換至 Microsoft Purview 資訊保護原則的先決條件

  • 在 Azure SQL 資料庫中設定/變更資訊保護原則會為租用戶下的所有資料庫設定個別的資訊保護原則。 使用者或角色必須具有全租用戶安全性管理員權限，才能將資訊保護原則從 SQL 資訊保護原則變更為 MIP 原則，反之亦然。

  • 使用者或角色具有全租用戶的安全性管理員權限，可在租用戶根管理群組層級套用原則。 如需詳細資訊，請參閱授與全租用戶權限給自己。

    Azure 入口網站租戶層級安全管理員權限請求的截圖。

  • 您的租用戶擁有有效的 Microsoft 365 訂閱，而且您已為目前使用者發佈標籤。 如需詳細資訊，請參閱建立及設定敏感度標籤及其原則。

在 Microsoft Purview 資訊保護原則模式中分類資料庫

  1. 前往 Azure 入口網站。

  2. 巡覽至 Azure SQL 資料庫中的資料庫

  3. 前往資料庫窗格中 安全性 標題下的 資料探索與分類。

  4. 若要選取 [Microsoft 資訊保護 policy] \(Microsoft 資訊保護原則\)，請選取 [概觀] 索引標籤，然後選取 [設定]。

  5. 在 [資訊保護原則] 選項中選取 [Microsoft 資訊保護 policy] \(Microsoft 資訊保護原則\)，然後選取 [儲存]。

    選取 Azure SQL Database 的 [Microsoft 資訊保護原則] 螢幕擷取畫面。

  6. 如果你進入分類標籤，或選擇新增分類，你會看到 Microsoft 365 敏感度標籤出現在敏感度標籤下拉選單。

    敏感度標籤下拉選單的截圖。

    [分類] 索引標籤中 [敏感度標籤] 螢幕擷取畫面。

  • 在 MIP 原則模式中，資訊類型為 [n/a]，且自動資料探索與建議保持停用狀態。

  • 如果已分類欄位是因使用與目前生效政策不同的 資訊保護 政策而分類，則警告圖示可能會出現在該欄位上。 例如，如果該欄位之前是用帶有 SQL 資訊保護 政策的標籤分類，現在你進入Microsoft 資訊保護政策模式，你會看到針對該欄位的警告圖示。 警告圖示是資訊性的，並不代表有問題。

    分類資料行中因不同資訊保護原則而顯示的警告螢幕擷取畫面。

適用於 Azure SQL Database 的 Microsoft Purview 資訊保護 原則

重要

適用於 Azure SQL Database 的 Microsoft Purview 資訊保護 原則已淘汰。 您已無法透過 Microsoft Purview 資訊保護（MIP）存取政策對敏感欄位設定或強制存取控制，且透過此功能設定的現有存取政策也不再被強制執行。

過去，Azure SQL Database 支援透過使用 Purview 存取政策，強制執行以 Microsoft Purview 資訊保護 敏感性標籤標記的欄位存取控制。

Microsoft Purview 透過敏感標籤控制存取的保護政策，仍可在 Microsoft Fabric 中使用。 欲了解更多資訊，請參閱 Microsoft Fabric 中的保護政策。

稽核對敏感資料的存取

分類的重要層面是讓您能夠監視敏感性資料的存取。 Azure SQL 稽核在稽核記錄中包含一個名為 data_sensitivity_information 的欄位。 此欄位記錄查詢回傳資料的敏感度分類（標籤）。 以下為範例：

範例審計日誌查詢結果集的截圖。

這些 T-SQL 活動可透過敏感性資訊進行稽核：

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

使用 sys.fn_get_audit_file，從 Azure 儲存體帳戶中儲存的稽核檔案傳回資訊。

權限

這些內建角色可以讀取資料庫的資料分類：

  • 擁有者
  • 閱讀器
  • 貢獻者
  • SQL 安全性管理員
  • 使用者存取管理員

以下是讀取資料庫資料分類的必要動作：

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

這些內建角色可以修改資料庫的資料分類：

  • 擁有者
  • 貢獻者
  • SQL 安全性管理員

這是修改資料庫資料分類的必要動作：

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

深入了解 Azure RBAC 中的角色型權限。

注意

本節的 Azure SQL 內建角色適用於專用的 SQL 池（前稱 SQL DW），但不適用於 Azure Synapse 工作空間中的專用 SQL 池及其他 SQL 資源。 對於 Azure Synapse 工作空間中的 SQL 資源，請利用可用的資料分類動作，根據需要建立自訂的 Azure 角色來標註。 如需 Microsoft.Synapse/workspaces/sqlPools 提供者作業的詳細資訊，請參閱 Microsoft.Synapse。

管理分類

您可以使用 T SQL、REST API 或 PowerShell 來管理分類。

使用 T-SQL

您可以使用 T-SQL 來新增或移除資料行分類，以及擷取整個資料庫的所有分類。

注意

當您使用 T-SQL 管理標籤時，系統不會驗證您新增到資料行的標籤是否存在於組織資訊保護原則 (顯示於入口網站建議中的那組標籤)。 因此，這項驗證需由您執行。

如需使用 T-SQL 進行分類的相關資訊，請參閱下列參考：

使用 PowerShell Cmdlet

使用 PowerShell 來管理 Azure SQL 資料庫和 Azure SQL 受控執行個體的分類和建議。

適用於 Azure SQL 資料庫的 PowerShell Cmdlet

適用於 Azure SQL 受控執行個體的 PowerShell Cmdlet

使用 REST API

您可以使用 REST API，以程式設計方式管理分類和建議。 已發佈的 REST API 支援下列作業：

使用 SQL 驅動程式擷取分類中繼資料

您可以使用下列 SQL 驅動程式來擷取分類中繼資料：

常見問題集 - 進階分類功能

問：Microsoft Purview 是否會取代 SQL 資料探索與分類，或者 SQL 資料探索與分類是否即將被淘汰？ 答：我們會繼續支援 SQL 資料探索與分類，但也建議您採用 Microsoft Purview，因為其功能更加豐富，可讓您執行進階的分類功能和資料控管。 如果我們決定淘汰任何服務、功能、API 或 SKU，您會事先收到通知，包含移轉或轉換路徑。 欲了解更多資訊，請參閱 Microsoft 生命週期政策。

相關內容

  • Last updated on