Database Autonomy Service (DAS) identifie les données sensibles dans les bases de données de divers secteurs, tels que la finance, l'énergie et l'automobile. Utilisez des modèles d'identification intégrés pour détecter les données sensibles dans vos instances, ou créez des modèles personnalisés à partir de ceux-ci.
Bases de données et régions prises en charge
Bases de données | Régions |
| Chine (Hangzhou), Chine (Shanghai), Chine (Qingdao), Chine (Pékin), Chine (Zhangjiakou), Chine (Hohhot), Chine (Shenzhen), Chine (Chengdu) et Chine (Hong Kong) |
PolarDB for PostgreSQL (Compatible avec Oracle) | Chine (Hangzhou) et Malaisie (Kuala Lumpur) |
Modèles et templates
Template d'identification
Un template d'identification classe et évalue les données sensibles selon les normes sectorielles, ce qui vous aide à vérifier la conformité aux exigences de sécurité et réglementaires.
Modèles d'identification et fonctionnalités d'identification
|
Concept |
Description |
|
Modèle d'identification |
Un modèle d'identification se compose d'une ou plusieurs fonctionnalités d'identification. Il détermine le résultat final de l'identification et est configurable. DAS fournit des modèles d'identification intégrés pour les données sensibles typiques et prend en charge les modèles d'identification personnalisés. |
|
Fonctionnalité d'identification |
Une fonctionnalité d'identification détecte les données sensibles en se basant sur le contenu, les métadonnées ou des dictionnaires. Elle utilise des règles combinant des expressions régulières et des opérateurs tels que « contient » et « ne contient pas » pour définir les caractéristiques des données. Liez plusieurs règles avec des opérateurs ET/OU pour une détection plus flexible. DAS fournit des fonctionnalités d'identification intégrées pour les types courants de données sensibles et prend en charge les fonctionnalités d'identification personnalisées. |
Classification des templates et règles des tâches
Une tâche d'identification analyse les données d'une base de données connectée pour découvrir les données sensibles, génère un rapport d'analyse et applique une classification et une évaluation aux résultats.
Une tâche d'identification nécessite un template d'identification activé. Il existe trois types de templates d'identification activés : principal, actif et polyvalent.
Lorsque vous ajoutez une tâche d'identification personnalisée, sélectionnez un seul template principal et jusqu'à deux templates actifs.
|
Type de template |
Description |
|
Template intégré |
Sélectionnez un template intégré en fonction de votre scénario métier. DAS propose des templates pour des secteurs tels que la finance, la sécurité cloud interne, l'énergie, l'Internet des véhicules (IoV) et le secteur Internet général. |
|
Template personnalisé |
Si les templates intégrés ne répondent pas à vos besoins, créez jusqu'à dix templates personnalisés en configurant des fonctionnalités d'identification et des modèles d'identification. |
Rôle du template | Description |
Template principal | Ce template est utilisé par défaut pour les tâches système. Le template principal par défaut est le template de classification et d'évaluation pour le secteur Internet. Un template principal ne peut pas être désactivé. Vous ne pouvez avoir qu'un seul template principal. Définissez un template actif comme template principal. Les résultats d'identification dans la console DAS sont basés sur le template principal. |
Template actif | Activez des templates intégrés ou personnalisés en tant que templates actifs. Activez jusqu'à deux templates actifs. |
Template polyvalent | Un template basé sur la spécification de sécurité des informations personnelles Ce template est le paramètre par défaut uniquement pour les tâches d'identification qui utilisent des templates intégrés. |
Niveaux de sensibilité
L'identification des données sensibles DAS prend en charge jusqu'à 10 niveaux de sensibilité, de S1 à S10. Un chiffre plus élevé indique un niveau de sensibilité plus élevé.
Dans un template intégré, vous ne pouvez ni ajouter ni supprimer de niveaux de sensibilité. Modifiez uniquement la description.
Dans un template personnalisé, ajoutez, modifiez et supprimez des niveaux de sensibilité.
Templates et modèles d'identification
Gestion des templates
Templates d'identification intégrés
Connectez-vous à la console DAS.
-
Dans le volet de navigation de gauche, sélectionnez .
Par défaut, vous vous trouvez dans l'onglet template management > Template Configuration. La zone Enabled identification templates affiche les templates activés sous forme de cartes. Le template principal est identifié par l'étiquette Primary. Les opérations disponibles incluent Set as Primary, View et Disable. La zone Template Library répertorie tous les templates de classification et d'évaluation intégrés ainsi que leurs statuts. Utilisez le commutateur pour activer ou désactiver un template, et effectuez des opérations telles que Create Template, View et Copy.
Dans la liste des templates en bas de la page Template Configuration de l'onglet template management, repérez les templates d'identification dont le Type est built-in.
Dans la colonne Status, cliquez sur le commutateur
ou 
pour activer ou désactiver le template.-
Cliquez sur le commutateur Primary ou Deactivate d'un enabled identification template pour le définir comme template principal ou le désactiver.
RemarqueSi vous ne configurez pas de template d'identification, le template principal par défaut est le Classification and Grading Template for the Internet Industry.
Templates d'identification personnalisés
Créer
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page template management > Template Configuration, cliquez sur Create Template.
Sur la page Create Template, configurez les Basic Information (nom du template et description du template), puis cliquez sur Next.
-
Dans la section Configure Template Node, cliquez sur Create Category. Dans la boîte de dialogue qui s'affiche, saisissez une Category pour les données sensibles et cliquez sur OK.
-
Cliquez sur l'icône de gestion
à droite de la catégorie ajoutée, puis cliquez sur Add Sibling Category ou Add Subcategory pour ajouter une catégorie homologue ou une sous-catégorie.Ce menu comprend également les options Add Model et Delete.
RemarqueRépétez cette étape pour ajouter plusieurs catégories.
-
Répétez les étapes suivantes pour ajouter un modèle d'identification sous la catégorie de données sensibles.
Cliquez sur l'icône de gestion
à droite de la catégorie ajoutée et cliquez sur Add Model.-
Dans la boîte de dialogue Add Model, cochez la case du modèle d'identification cible, définissez son statut sur activé
, puis cliquez sur OK.ImportantUn modèle d'identification n'est effectif dans les tâches qu'après son activation dans le template.
Utilisez les listes déroulantes All models, All data labels et All sources, ou la zone de recherche par nom de modèle, pour trouver un modèle d'identification spécifique.
-
Copier
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page template management > Template Configuration, repérez le template d'identification intégré ou personnalisé que vous souhaitez copier et cliquez sur Copy dans la colonne Operation.
-
Dans la boîte de dialogue, modifiez le Template Name et les Remarks, puis cliquez sur Confirm.
RemarqueCliquez sur Edit dans la colonne Actions pour le nouveau template afin de modifier son nom, ses catégories de modèles et ses modèles d'identification.
Gestion des modèles
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
Cliquez sur l'onglet Identification Model, puis sur Add Model.
-
Dans le panneau Add Model, configurez les paramètres du modèle, puis cliquez sur OK.
Type
Paramètre
Description
Basic Information
Model name
Le nom du modèle. Le nom doit être unique.
Model Description
La description du modèle.
Tag
Sélectionnez une étiquette de données pour le modèle. Valeurs valides : sensitive personal information, Personal Information et General Information.
Data Category
Dans la liste déroulante, associez le nouveau modèle à un template d'identification, à une catégorie de données sensibles et à un niveau de risque.
Vous ne pouvez associer le modèle qu'à des templates d'identification personnalisés.
Model Rule
Identification Features
Dans la liste déroulante, sélectionnez les fonctionnalités d'identification pour le modèle.
Sélectionnez des fonctionnalités d'identification intégrées et personnalisées.
Si vous sélectionnez plusieurs fonctionnalités, elles sont combinées avec une logique OU.
Identification Scope
Dans la liste déroulante, sélectionnez les types d'actifs auxquels le modèle s'applique. Par défaut, le modèle s'applique aux actifs DAS autorisés et accessibles.
Si vous sélectionnez plusieurs types d'actifs, ils sont combinés avec une logique OU.
Advanced Settings
Facultatif.
Dans la liste déroulante, sélectionnez le type d'actif que vous souhaitez configurer.
Sélectionnez la manière dont les conditions s'appliquent. Valeurs valides : AND et OR. Pour créer plusieurs groupes de conditions, cliquez sur Add Group. Le nouveau groupe est un sous-ensemble du premier groupe.
Configurez les conditions d'identification. Pour ajouter d'autres conditions, cliquez sur Add Condition.
Identification Threshold
Minimum Hits (Unstructured Data)
Pour les données non structurées (telles que les fichiers NoSQL), définissez le nombre minimal de fois où une fonctionnalité d'identification doit être trouvée dans un seul fichier.
Si le nombre de correspondances dans un seul fichier atteint ce seuil, le fichier est classé comme donnée sensible.
Hit Ratio (Structured Data)
Définissez le taux de correspondance pour les données structurées (par exemple, RDS).
Si le pourcentage d'enregistrements correspondants dans un échantillon de 200 enregistrements atteint le taux de correspondance spécifié, les données sont classées comme sensibles.
Autres opérations
Afficher les détails du template : Cliquez sur Details dans la colonne Actions d'un template pour afficher sa configuration de règle et son seuil d'identification.
Supprimer un template d'identification : Supprimez uniquement des templates d'identification personnalisés, pas des templates intégrés. Dans la colonne Operation du template cible, cliquez sur l'icône de gestion
, puis cliquez sur Delete.Gérer les catégories de modèles : Définissez des catégories de modèles uniquement pour les templates personnalisés. Dans la colonne Actions du template cible, cliquez sur Edit.
Changer le modèle d'identification activé : Le changement du modèle d'identification activé n'affecte pas les tâches en cours d'exécution. La modification prend effet lors de la prochaine exécution de la tâche.
Gérer l'identification des données sensibles
Prérequis
Accordez l'autorisation des actifs à l'instance cible dans la liste des instances.
Cliquez sur l'onglet Cloud Instances, repérez l'instance cible et cliquez sur Enable dans la colonne Security Center.
Tâches d'identification
Tâche par défaut du système
Lorsque vous autorisez une base de données et sélectionnez la tâche d'analyse par défaut des données sensibles, DAS crée une tâche d'analyse par défaut pour la base de données en utilisant le template d'identification principal.
Paramètre | Description |
Template d'identification | La tâche par défaut du système utilise le template d'identification principal. Cela ne peut pas être modifié. Remarque Si le template d'identification principal est un template d'identification intégré, la tâche utilise également le template d'identification polyvalent. |
Période d'analyse (par défaut) | Si vous sélectionnez la tâche d'analyse par défaut des données sensibles lors de l'autorisation de l'instance, la tâche s'exécute immédiatement après confirmation. Remarque Configurez la période d'analyse pour la tâche par défaut du système. L'intervalle minimum entre deux analyses est de 24 heures. |
Portée de l'analyse | Pour les noms d'instance, de base de données et de table autorisés : Remarque
Si vous changez le template d'identification principal, une analyse n'est pas déclenchée immédiatement. La prochaine analyse utilisera le nouveau template d'identification. |
Limites d'analyse |
|
Résultat de l'analyse | Le résultat de l'analyse correspond au niveau de sensibilité du template d'identification. |
Tâche d'identification personnalisée
Ajoutez une tâche d'identification personnalisée pour analyser une table de base de données spécifiée en utilisant un template d'identification activé. Si le template que vous souhaitez utiliser n'est pas activé, activez-le d'abord.
Selon la portée d'analyse personnalisée et la période d'analyse, la première analyse et toute réanalyse sont des analyses complètes. Les analyses périodiques couvrent uniquement les nouveaux objets de données ou les objets modifiés.
Le résultat de l'analyse correspond au niveau de sensibilité du template d'identification.
N/Aindique que l'analyse n'a trouvé aucune donnée sensible.
Gérer les tâches par défaut du système
Afficher la tâche par défaut
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page Task Management, cliquez sur l'onglet Identification Task, puis sur System Default Task.
Sur la page Identification Task Monitoring, consultez la liste des tâches par défaut.
-
Dans la colonne Actions, effectuez les opérations suivantes sur une tâche par défaut du système.
Réanalyser : Réanalyse toutes les données. Utilisez cette action si le modèle d'identification est mis à niveau, si vous changez le template d'identification principal ou si le contenu de la base de données change.
Suspendre : Si un service de base de données rencontre des problèmes, cliquez sur Pause dans la colonne Actions pour arrêter temporairement la tâche par défaut du système en cours d'exécution.
Arrêter : Empêche la tâche de s'exécuter lors de la prochaine période. Si la tâche est en cours d'exécution, l'arrêt n'affecte pas l'exécution en cours.
Activer : Réactive une tâche arrêtée.
Ajuster les paramètres d'analyse
Les tâches par défaut du système prennent en charge l'analyse périodique. Définissez la période d'analyse pour qu'elle corresponde à la fréquence de mise à jour de votre base de données afin de détecter les données sensibles dans les nouveaux enregistrements. La période d'analyse minimale configurable est de 24 heures.
Sur la page Discovery Task Monitoring, cochez la case de la tâche souhaitée, cliquez sur Scan settings au-dessus de la liste des tâches et configurez la période et l'heure d'analyse.
Pour minimiser l'impact de l'analyse sur votre base de données, définissez l'heure de début de l'analyse pendant les heures creuses.
Si vous observez une augmentation soudaine de l'utilisation du CPU ou de la mémoire pendant une analyse, suspendez ou arrêtez la tâche immédiatement. Accédez à la page Task Management et cliquez sur Pause ou Stop dans la colonne Actions pour arrêter l'analyse.
Créer une tâche personnalisée
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
-
Sur l'onglet Identification Tasks, sélectionnez le type d'actif pour lequel vous souhaitez créer une tâche d'identification et cliquez sur Create.
L'arborescence de navigation à gauche regroupe les types d'actifs par catégorie de données, telle que structured data. Les groupes incluent des sous-éléments tels que RDS, PolarDB et PolarDB-X 2,0. Sélectionnez le type d'actif cible et cliquez sur Create Identification Task à droite.
-
Dans le panneau Create, configurez les paramètres de la tâche, puis cliquez sur Confirm.
Catégorie
Paramètre
Description
Identification Scope
Identification Scope of Structured Data
Sélectionnez la portée d'analyse pour les données structurées, telles que ApsaraDB RDS et PolarDB. Options :
Global Scan : Analyse tous vos actifs de données structurées.
Specify Scan Scope : Configurez le Instance Name, le Database Name et la Scan Limit.
Configurez le nom de l'instance et le nom de la base de données. Pour ajouter plusieurs instances, cliquez sur Add Identification Scope.
Configurez la Scan Limit. Les 200 premières lignes sont analysées par défaut, avec un maximum de 1 000 lignes.
Autres configurations
Tagging Result Overwriting
Spécifiez comment gérer les données sensibles détectées qui ont été précédemment corrigées. Options :
Ignorer les résultats d'étiquetage manuel : Conserve les résultats de correction manuelle d'origine. Cette option est recommandée.
Écraser les résultats d'étiquetage manuel : Écrase les résultats de correction manuelle avec les nouveaux résultats d'identification.
-
Dans la colonne Operation, effectuez les opérations suivantes sur une tâche d'identification personnalisée.
Rescan : Réanalyse toutes les données. Utilisez cette action si le modèle d'identification est mis à niveau, si vous changez le template d'identification principal ou si le contenu de la base de données change.
Suspend : Si un service de base de données rencontre des problèmes, cliquez sur Pause dans la colonne Actions pour arrêter temporairement la tâche en cours d'exécution.
Terminate : Empêche la tâche de s'exécuter lors de la prochaine période. Si la tâche est en cours d'exécution, l'arrêt n'affecte pas l'exécution en cours.
Enable : Réactive une tâche arrêtée.
Gérer les tâches personnalisées
Créez une tâche d'identification personnalisée pour analyser une base de données spécifique avec n'importe quel template activé, pas seulement le template principal.
Le système prend en charge un maximum de cinq tâches d'identification actives. Chaque tâche d'analyse périodique occupe un emplacement de tâche active. Après avoir configuré cinq tâches périodiques, vous ne pouvez pas créer de nouvelles tâches d'identification.
Corriger les résultats
L'opération de récupération restaure le modèle d'identification à son état avant la correction.
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
Sur la page , cliquez sur l'onglet Revision Tasks.
Dans le volet de navigation des types de données à gauche, cliquez sur le type d'actif que vous souhaitez corriger.
Cliquez sur Correct ou Recover dans la colonne Actions pour les données sensibles cibles. Suivez les instructions à l'écran pour modifier le Corrected model, puis cliquez sur OK.
Résultats d'identification
Une fois qu'une tâche d'identification des données sensibles est terminée, consultez et exportez les résultats sur la page Asset Overview. Les résultats d'analyse sont actualisés toutes les 5 minutes.
Afficher les résultats
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
-
Sur l'onglet Asset Type, cliquez sur le type de données que vous souhaitez afficher.
Après avoir cliqué sur le type de données, les statistiques relatives aux données sensibles pour ce type d'actif s'affichent à droite, y compris les Instances sensibles, les Bases de données sensibles, les Tables sensibles et les Colonnes sensibles, ainsi que les variations hebdomadaires. Le tableau de données ci-dessous affiche les informations pour chaque instance, telles que l'ID/Nom/UID de l'instance, la Région, le Type de base de données, le Total DBs | Sensitive DBs, le Niveau de sensibilité et l'Étiquette de données. Développez une instance pour afficher les détails des données sensibles au niveau de la base de données et l'heure de la dernière analyse. Filtrez les données par Région, Niveau de sensibilité et ID d'instance, et cliquez sur Table Details pour afficher les informations au niveau de la table.
Pour afficher les détails des données sensibles dans une instance d'actif de données, cliquez sur Table Details dans la colonne Actions.
-
Dans le panneau de détails à droite, consultez les statistiques relatives aux données sensibles.
Les statistiques relatives aux données sensibles incluent : un graphique en anneau Data classification and grading statistics (montrant la proportion de chaque niveau de sensibilité, tel que S2 et S3), un graphique en anneau Sensitive data label statistics (montrant la distribution des catégories telles que les Informations personnelles sensibles, les Informations personnelles et les Informations générales), un graphique à barres Data identification rate (montrant le nombre total de colonnes, les colonnes sensibles et leur ratio) et un graphique à barres horizontales Top 5 hit models (tel que Numéro de téléphone personnel, Numéro de passeport et Numéro de mobile). Sous les graphiques se trouvent des filtres déroulants Hit model et Sensitivity level ainsi qu'une fonction de recherche. En bas, un tableau de détails des données répertorie des colonnes telles que Nom de la table, Nombre total de lignes, Nombre total de colonnes, Colonnes sensibles, Étiquettes de données, Données correspondantes et Actions. Cliquez sur Column Details pour afficher des informations spécifiques sur les colonnes sensibles.
-
Dans la liste des données sensibles, cliquez sur Column details dans la colonne Operation pour afficher les détails des règles pour les données identifiées comme sensibles dans chaque colonne.
Si l'option Revision est disponible dans la colonne Operation, corrigez les résultats d'identification des données sensibles.
En prenant la table
audit_logcomme exemple, la page Column Details affiche des informations telles que le Nom de la colonne, l'Étiquette de données, le Résultat d'identification, le Niveau de sensibilité, le Statut de correction et le Résultat d'échantillonnage des données. Par exemple, le résultat d'identification pour la colonneidest « Clé primaire », le niveau de sensibilité est S1 et le statut de correction est « Non corrigé ». Les actions Correct et Recover sont disponibles à droite de chaque ligne.
Exporter les résultats
Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, sélectionnez .
-
Cliquez sur Create. Configurez la tâche d'exportation, puis cliquez sur OK.
Dans la section Basic information, saisissez un nom de tâche et sélectionnez le template utilisé pour la tâche d'identification. Sélectionnez uniquement des templates activés.
-
Dans la section Export dimension, sélectionnez Asset type ou Asset instance.
Asset type : Sélectionnez toutes les instances de moteur.
Asset instance : Sélectionnez les instances de moteur dont vous souhaitez exporter les données.
Après avoir créé une tâche d'exportation, consultez son statut dans la liste des tâches d'exportation. Les ensembles de données plus volumineux prennent plus de temps à exporter.
Télécharger les résultats
Attendez que le Export Status passe à Completed, puis cliquez sur Download dans la colonne Actions de la tâche d'exportation cible.
Téléchargez les données exportées dans les trois jours suivant la fin de la tâche. Passé ce délai, la tâche expire et les données ne sont plus disponibles au téléchargement.