Database Autonomy Service (DAS) は、金融、エネルギー、自動車などの業界のデータベース内の機密データを識別します。組み込みの識別テンプレートを使用してインスタンス内の機密データを検出したり、それらを基にカスタムテンプレートを作成したりできます。
サポートされるデータベースとリージョン
データベース | リージョン |
| 中国 (杭州)、中国 (上海)、中国 (青島)、中国 (北京)、中国 (張家口)、中国 (フフホト)、中国 (深セン)、中国 (成都)、および中国 (香港) |
PolarDB for PostgreSQL (Compatible with Oracle) | 中国 (杭州) およびマレーシア (クアラルンプール) |
モデルとテンプレート
識別テンプレート
識別テンプレートは、業界標準に従って機密データを分類およびグレーディングし、セキュリティおよび規制要件へのコンプライアンスを検証するのに役立ちます。
識別モデルと識別特徴
概念 | 説明 |
識別モデル | 識別モデルは、1 つ以上の識別特徴で構成されます。最終的な識別結果を決定し、設定可能です。 DAS は、典型的な機密データのための組み込み識別モデルを提供し、カスタム識別モデルをサポートしています。 |
識別特徴 | 識別特徴は、コンテンツ、メタデータ、または辞書に基づいて機密データを検出します。正規表現と「含む」や「含まない」などの演算子を組み合わせたルールを使用して、データ特性を定義します。複数のルールを AND/OR 演算子で連結して、より柔軟な検出が可能です。 DAS は、一般的な機密データ型のための組み込み識別特徴を提供し、カスタム識別特徴をサポートしています。 |
テンプレートの分類とタスクルール
識別タスクは、接続されたデータベース内のデータをスキャンして機密データを発見し、スキャンレポートを生成し、結果に分類とグレーディングを適用します。
識別タスクには、有効化された識別テンプレートが必要です。有効化された識別テンプレートには、プライマリ、アクティブ、汎用の 3 種類があります。
カスタム識別タスクを追加する場合、プライマリテンプレートは 1 つだけ、アクティブテンプレートは最大 2 つまで選択できます。
テンプレートタイプ | 説明 |
組み込みテンプレート | ビジネスシナリオに基づいて組み込みテンプレートを選択します。DAS は、金融、内部クラウドセキュリティ、電力、モノのインターネット (IoV)、および一般的なインターネット業界を含む業界向けのテンプレートを提供します。 |
カスタムテンプレート | 組み込みテンプレートが要件を満たさない場合は、識別特徴と識別モデルを設定することで、最大 10 個のカスタムテンプレートを作成できます。 |
テンプレートのロール | 説明 |
プライマリテンプレート | このテンプレートは、システムタスクでデフォルトで使用されます。デフォルトのプライマリテンプレートは、インターネット業界向けの分類およびグレーディングテンプレートです。プライマリテンプレートは無効にできません。 プライマリテンプレートは 1 つしか持てません。アクティブテンプレートをプライマリテンプレートとして設定できます。 DAS コンソールでの識別結果は、プライマリテンプレートに基づいています。 |
アクティブテンプレート | 組み込みテンプレートまたはカスタムテンプレートをアクティブテンプレートとして有効にできます。最大 2 つのアクティブテンプレートを有効にできます。 |
汎用テンプレート | 個人情報とプライバシーを保護するために中国国家標準化管理委員会 (SAC) によって公開された標準である このテンプレートは、組み込みテンプレートを使用する識別タスクのデフォルトです。 |
感度レベル
DAS の機密データ識別は、S1 から S10 までの最大 10 段階の感度レベルをサポートします。数値が大きいほど、感度レベルが高くなります。
組み込みテンプレートでは、感度レベルを追加または削除することはできません。説明のみ編集できます。
カスタムテンプレートでは、感度レベルを追加、編集、削除できます。
識別テンプレートとモデル
テンプレート管理
組み込み識別テンプレート
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
デフォルトでは、[テンプレート管理] > [テンプレート設定] タブが表示されます。[有効な識別テンプレート] エリアには、有効化されたテンプレートがカードとして表示されます。プライマリテンプレートは [プライマリ] タグで識別されます。サポートされている操作には、[プライマリに設定]、[表示]、[無効化] があります。[テンプレートライブラリ] エリアには、すべての組み込み分類およびグレーディングテンプレートとそのステータスが一覧表示されます。スイッチを使用してテンプレートを有効または無効にしたり、[テンプレートの作成]、[表示]、[コピー] などの操作を実行したりできます。
[テンプレート管理] タブの [テンプレート設定] ページの下部にあるテンプレートリストで、[タイプ] が [組み込み] の識別テンプレートを見つけます。
[ステータス] 列で、スイッチ
または 
をクリックしてテンプレートを有効または無効にします。[有効な識別テンプレート] のプライマリまたは無効化スイッチをクリックして、プライマリテンプレートとして設定するか、無効化します。
説明識別テンプレートを設定しない場合、デフォルトのプライマリテンプレートは[インターネット業界向けの分類と等級付けテンプレート]です。
カスタム識別テンプレート
作成
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
[テンプレート管理] > [テンプレート設定] ページで、[テンプレートの作成] をクリックします。
テンプレートの作成 ページで、基本情報 (テンプレート名とテンプレートの説明) を設定して、次のステップ をクリックします。
テンプレートノードの構成 セクションで、分類の追加 をクリックします。表示されるダイアログボックスで、機密データの 分類名 を入力し、決定 をクリックします。
追加したカテゴリの右側にある管理
アイコンをクリックし、[兄弟カテゴリの追加] または [サブカテゴリの追加] をクリックして、兄弟カテゴリまたはサブカテゴリを追加します。このメニューには、[モデルの追加] および [削除] オプションも含まれています。
説明この手順を繰り返して、複数のカテゴリを追加します。
次の手順を繰り返して、機密データカテゴリの下に識別モデルを追加します。
追加したカテゴリの右側にある管理
アイコンをクリックし、[モデルの追加] をクリックします。[モデルの追加] ダイアログボックスで、ターゲット識別モデルのチェックボックスを選択し、そのステータスを有効
に設定してから、[OK] をクリックします。重要識別モデルは、テンプレートで有効にした後にのみタスクで有効になります。
[すべてのモデル]、[すべてのデータラベル]、[すべてのソース] ドロップダウンリスト、またはモデル名検索ボックスを使用して、特定の識別モデルを見つけることができます。
コピー
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
[テンプレート管理] > [テンプレート設定] ページで、コピーする組み込みまたはカスタムの識別テンプレートを見つけ、操作 列の コピー をクリックします。
ダイアログボックスで、テンプレート名 と 備考 を変更し、確認 をクリックします。
説明新しいテンプレートの [操作] 列にある [編集] をクリックして、その名前、モデルカテゴリ、および識別モデルを変更できます。
モデル管理
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
[識別モデル] タブをクリックし、[モデルの追加] をクリックします。
[モデルの追加] パネルで、モデルパラメーターを設定し、[OK] をクリックします。
タイプ
パラメーター
説明
基本情報
モデル名
モデルの名前。名前は一意である必要があります。
モデルの説明
モデルの説明。
データタグ
モデルのデータラベルを選択します。有効な値は、[機密性の高い個人情報]、個人情報、および 一般情報 です。
データ分類
ドロップダウンリストで、新しいモデルを識別テンプレート、機密データカテゴリ、およびリスクレベルに関連付けます。
モデルはカスタム識別テンプレートにのみ関連付けることができます。
モデルルール設定
検出用特徴
ドロップダウンリストから、モデルの識別特徴を選択します。
組み込みおよびカスタムの識別特徴を選択できます。
複数の特徴を選択した場合、それらは OR ロジックで結合されます。
検出範囲
ドロップダウンリストから、モデルが適用されるアセットタイプを選択します。デフォルトでは、モデルは権限が付与されアクセス可能な DAS アセットに適用されます。
複数のアセットタイプを選択した場合、それらは OR ロジックで結合されます。
詳細設定
任意。
ドロップダウンリストから、設定したいアセットタイプを選択します。
条件が有効になる方法を選択します。有効な値：[AND] と [OR]。複数の条件グループを作成するには、[グループの追加] をクリックします。新しいグループは最初のグループのサブセットです。
識別条件を設定します。さらに条件を追加するには、[条件の追加] をクリックします。
検出のしきい値設定
ヒット数 (非構造化データ)
非構造化データ (NoSQL ファイルなど) の場合、単一ファイル内で識別特徴が見つかる最小回数を設定します。
単一ファイル内での一致回数がこのしきい値を満たす場合、そのファイルは機密データとして分類されます。
ヒット率 (構造化データ)
構造化データ (RDS など) のヒット率を設定します。
200 レコードのサンプル内で一致するレコードの割合が指定されたヒット率を満たす場合、そのデータは機密として分類されます。
その他の操作
テンプレート詳細の表示：テンプレートの [操作] 列にある [詳細] をクリックして、そのルール設定と識別しきい値を表示します。
識別テンプレートの削除: カスタム識別テンプレートのみ削除できます。組み込みのテンプレートは削除できません。対象のテンプレートの 操作 列で、管理
アイコンをクリックし、次に 削除 をクリックします。モデルカテゴリの管理：カスタムテンプレートのモデルカテゴリのみ設定できます。ターゲットテンプレートの [操作] 列で、[編集] をクリックします。
有効な識別モデルの切り替え：有効な識別モデルを切り替えても、実行中のタスクには影響しません。変更は次のタスク実行時に有効になります。
機密データ識別の管理
前提条件
インスタンスリストで、ターゲットインスタンスに資産の権限付与を行います。
[クラウドインスタンス] タブをクリックし、ターゲットインスタンスを見つけ、[セキュリティセンター] 列の [有効化] をクリックします。
識別タスク
システムデフォルトタスク
データベースを承認し、デフォルトの機密データ識別スキャンタスクを選択すると、DAS はプライマリ識別テンプレートを使用してデータベースのデフォルトスキャンタスクを作成します。
パラメーター | 説明 |
識別テンプレート | システムデフォルトタスクはプライマリ識別テンプレートを使用します。これは変更できません。 説明 プライマリ識別テンプレートが組み込み識別テンプレートである場合、タスクは汎用識別テンプレートも使用します。 |
スキャン期間 (デフォルト) | インスタンス権限付与中にデフォルトの機密データ識別スキャンタスクを選択した場合、確認後すぐにタスクが実行されます。 説明 システムデフォルトタスクのスキャン期間を設定できます。2 回のスキャンの最小間隔は 24 時間です。 |
スキャン範囲 | 権限が付与されたインスタンス、データベース、およびテーブル名の場合： 説明
プライマリ識別テンプレートを切り替えても、スキャンはすぐにはトリガーされません。次のスキャンで新しい識別テンプレートが使用されます。 |
スキャン制限 |
|
スキャン結果 | スキャン結果は、識別テンプレートの感度レベルです。 |
カスタム識別タスク
カスタム識別タスクを追加して、有効化された識別テンプレートを使用して指定されたデータベーステーブルをスキャンできます。使用したいテンプレートが有効になっていない場合は、まず有効にしてください。
カスタムのスキャン範囲とスキャン期間に基づいて、最初のスキャンと再スキャンはフルスキャンです。定期的なスキャンは、新規または変更されたデータオブジェクトのみを対象とします。
スキャン結果は、識別テンプレートの感度レベルです。
N/Aは、スキャンで機密データが見つからなかったことを示します。
システムデフォルトタスクの管理
デフォルトタスクの表示
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
[タスク管理] ページで、[識別タスク] タブをクリックし、[システムデフォルトタスク] をクリックします。
[識別タスク監視] ページで、デフォルトタスクのリストを表示します。
[操作] 列で、システムデフォルトタスクに対して次の操作を実行できます。
再スキャン：すべてのデータを再スキャンします。識別モデルがアップグレードされた場合、プライマリ識別テンプレートを変更した場合、またはデータベースのコンテンツが変更された場合に使用します。
一時停止：データベースサービスで問題が発生した場合、[操作] 列の [一時停止] をクリックして、実行中のシステムデフォルトタスクを一時的に停止します。
停止：次の期間にタスクが実行されないようにします。タスクが現在実行中の場合、停止しても現在の実行には影響しません。
有効化：停止したタスクを再度有効にします。
スキャン設定の調整
システムデフォルトタスクは定期的なスキャンをサポートしています。データベースの更新頻度に合わせてスキャン期間を設定し、新しいレコードの機密データを検出します。設定可能な最小スキャン期間は 24 時間です。
検出ジョブのモニタリング ページで、目的のタスクのチェックボックスを選択し、タスクリストの上にある スキャン設定 をクリックして、期間とスキャン時間を設定します。
データベースへのスキャンの影響を最小限に抑えるため、スキャン開始時刻をオフピーク時間に設定してください。
スキャン中に CPU またはメモリ使用量の急増が見られた場合は、すぐにタスクを一時停止または停止してください。[タスク管理] ページに移動し、[操作] 列の [一時停止] または [停止] をクリックしてスキャンを停止できます。
カスタムタスクの作成
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
検出ジョブ タブで、識別タスクを作成する資産タイプを選択し、検出ジョブの作成 をクリックします。
左側のナビゲーションツリーは、[構造化データ] などのデータカテゴリ別にアセットタイプをグループ化します。グループには、[RDS]、[PolarDB]、[PolarDB-X 2.0] などのサブ項目が含まれます。ターゲットのアセットタイプを選択し、右側の [識別タスクの作成] をクリックします。
検出ジョブの作成 パネルで、タスクパラメーターを設定し、確認 をクリックします。
カテゴリ
パラメーター
説明
検出範囲
構造化データ検出範囲
ApsaraDB RDS や PolarDB などの構造化データのスキャン範囲を選択します。オプション：
グローバルスキャン：すべての構造化データアセットをスキャンします。
指定スキャン: インスタンス名、データベース名、スキャン制限 を設定します。
インスタンス名とデータベース名を設定します。複数のインスタンスを追加するには、検出範囲の追加 をクリックします。
スキャン制限 を設定します。デフォルトでは最初の 200 行がスキャンされ、最大値は 1,000 行です。
その他の設定
検出結果の上書き
以前に修正された検出済みの機密データをどのように処理するかを指定します。オプション：
手動タグ付け結果をスキップ：元の手動修正結果を保持します。このオプションを推奨します。
手動タグ付け結果を上書き：手動修正結果を新しい識別結果で上書きします。
操作 列で、カスタム識別タスクに対して次の操作を実行できます。
再スキャン：すべてのデータを再スキャンします。識別モデルがアップグレードされた場合、プライマリ識別テンプレートを変更した場合、またはデータベースのコンテンツが変更された場合に使用します。
一時停止：データベースサービスで問題が発生した場合、[操作] 列の [一時停止] をクリックして、実行中のタスクを一時的に停止します。
終了：次の期間にタスクが実行されないようにします。タスクが現在実行中の場合、停止しても現在の実行には影響しません。
オープン：停止したタスクを再度有効にします。
カスタムタスクの管理
カスタム識別タスクを作成して、プライマリテンプレートだけでなく、有効化された任意のテンプレートで特定のデータベースをスキャンできます。
システムは最大 5 つのアクティブな識別タスクをサポートします。各定期スキャンタスクは 1 つのアクティブタスクスロットを占有します。5 つの定期タスクを設定すると、新しい識別タスクを作成できなくなります。
正しい結果
回復操作は、識別モデルを修正前の状態に戻します。
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
ページで、訂正タスク タブをクリックします。
左側のデータ型ナビゲーションペインで、修正したいアセットタイプをクリックします。
ターゲットの機密データの [操作] 列にある [修正] または [回復] をクリックします。画面の指示に従って [修正済みモデル] を変更し、[OK] をクリックします。
識別結果
機密データ識別タスクが完了した後、[アセット概要] ページで結果を表示およびエクスポートできます。スキャン結果は 5 分ごとに更新されます。
結果の表示
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
[アセットタイプ] タブで、表示したいデータタイプをクリックします。
データタイプをクリックすると、そのアセットタイプの機密データ統計が右側に表示されます。これには、[機密インスタンス]、[機密データベース]、[機密テーブル]、[機密列]、および週ごとの変化が含まれます。下のデータテーブルには、[インスタンス ID/名前/UID]、[リージョン]、[データベースタイプ]、[DB 合計 | 機密 DB]、[感度レベル]、[データラベル] などの各インスタンスの情報が表示されます。インスタンスを展開して、データベースレベルの機密データの詳細と最終スキャン時刻を表示できます。[リージョン]、[感度レベル]、[インスタンス ID] でデータをフィルタリングし、[テーブル詳細] をクリックしてテーブルレベルの情報を表示できます。
データアセットインスタンス内の機密データの詳細を表示するには、[操作] 列の [テーブル詳細] をクリックします。
右側の詳細パネルで、機密データ統計を表示します。
機密データ統計には、[データ分類とグレーディング統計] ドーナツグラフ (S2 や S3 などの各感度レベルの割合を示す)、[機密データラベル統計] ドーナツグラフ (個人機密情報、個人情報、一般情報などのカテゴリの分布を示す)、[データ識別率] 横棒グラフ (列の総数、機密列、およびその比率を示す)、および [ヒットモデル Top 5] 水平棒グラフ (個人の電話番号、パスポート番号、携帯電話番号など) が含まれます。グラフの下には、[ヒットモデル] と [感度レベル] のドロップダウンフィルターと検索機能があります。下部には、テーブル名、総行数、総列数、機密列、データラベル、ヒットデータ、操作などの列をリストしたデータ詳細テーブルがあります。[列詳細] をクリックして、特定の機密列情報を表示できます。
機密データリストでは、操作 列の カラム詳細 をクリックして、各列で機密データとして識別されたデータのルールの詳細を表示できます。
訂正 オプションが 操作 列で利用できる場合、機密データの識別結果を修正できます。
audit_logテーブルを例にとると、[列詳細] ページには、[列名]、[データラベル]、[識別結果]、[感度レベル]、[修正ステータス]、[データサンプリング結果] などの情報が表示されます。たとえば、id列の識別結果は「主キー」、感度レベルは S1、修正ステータスは「未修正」です。各行の右側には [修正] と [回復] の操作があります。
結果のエクスポート
DAS コンソールにログインします。
左側のナビゲーションウィンドウで、を選択します。
エクスポートタスクの作成をクリックします。エクスポートタスクを設定し、決定 をクリックします。
[基本情報] セクションで、タスク名を入力し、識別タスクに使用されたテンプレートを選択します。有効化されたテンプレートのみ選択できます。
[エクスポートディメンション] セクションで、[アセットタイプ] または [アセットインスタンス] を選択します。
アセットタイプ：すべてのエンジンインスタンスを選択します。
アセットインスタンス：データをエクスポートしたいエンジンインスタンスを選択します。
エクスポートタスクを作成した後、エクスポートタスクリストでそのステータスを表示できます。データセットが大きいほど、エクスポートに時間がかかります。
結果のダウンロード
[エクスポートステータス] が [完了] に変わるまで待ち、ターゲットのエクスポートタスクの [操作] 列にある [ダウンロード] をクリックします。
エクスポートされたデータは、タスク完了後 3 日以内にダウンロードする必要があります。この期間を過ぎると、タスクは有効期限切れとなり、データはダウンロードできなくなります。