DataWorks:Acesso a dados sensíveis

Mecanismos com suporte e latência

A página Sensitive Data Access oferece abas na parte superior para visualizar registros de acesso de diferentes mecanismos de dados. A latência de cada mecanismo é a seguinte:

Visualize acesso a dados sensíveis

1. Faça logon no console do DataWorks. Na região de destino, clique em Data Governance > Security Center no painel de navegação à esquerda. Na página exibida, clique em Go to Security Center.

2. No painel de navegação à esquerda, escolha Audit > Sensitive Data Access.

3. Na parte superior da página, selecione a aba do mecanismo que deseja visualizar.

4. Filtre os registros conforme necessário:

   • Na área de filtro na parte superior da página, filtre pelos seguintes critérios:

     • Operation object: Selecione o objeto da operação seguindo a hierarquia do mecanismo. Por exemplo: para o MaxCompute, selecione projeto, tabela e coluna; para o Hologres, selecione instância, banco de dados, tabela e coluna; para o EMR Hive, selecione instância, tabela e coluna; para o DLF, selecione catálogo, banco de dados, tabela e coluna.

     • Involving data types: Faça uma busca aproximada pelo nome do tipo de dado sensível.

     • Operation time: Filtre pelo intervalo de tempo do acesso.

     • Download Scene: Filtre pelo cenário de negócio da operação de download de dados. Selecione várias opções. Valores válidos: Data Integration, PythonODPS, Data Development, Data Analysis e Other.

   • Clique no ícone de filtro no cabeçalho da coluna para refinar o filtro por Operator, Operation type e Type of behavior.

5. Visualize a lista de registros de acesso. As descrições dos campos são as seguintes:

   Field	Descrição
   Time	A data e a hora em que o operador acessou os dados sensíveis.
   Operator	A conta utilizada pelo operador no evento, como a conta de logon, o usuário RAM ou a conta Alibaba Cloud especificada como identidade de acesso padrão da origem de dados.
   Operation object	O recurso de dados sensíveis (como projeto, tabela ou coluna) acessado no evento. A hierarquia específica depende do mecanismo selecionado.
   Operation type	O tipo de operação executada pelo operador nos dados sensíveis.
   Download Scene	O cenário de negócio de um registro de acesso de download de dados. Valores válidos: Data Integration, PythonODPS, Data Development, Data Analysis e Other. Para outros registros, é exibido um hífen (-).
   Involving data types	Os tipos de dados sensíveis incluídos no evento de acesso.
   Type of behavior	Valores válidos: System behavior e User Behavior. A amostragem de dados executada durante uma tarefa de identificação de dados sensíveis é um System behavior.
   Actions	Clique em Details para visualizar os detalhes do registro de acesso. Para ver as descrições dos campos, consulte View access record details abaixo.

Visualize detalhes do registro de acesso

Na lista de acessos a dados sensíveis, clique em Details na linha do registro desejado para abrir a caixa de diálogo Sensitive Data Access Record Details e visualize os seguintes campos:

• Time: A data e a hora em que o operador acessou os dados sensíveis.

• Operator: As informações da conta utilizada pelo operador.

• Operation type: O tipo de operação executada pelo operador nos dados sensíveis.

• Download Scene: O cenário de negócio de um registro de acesso de download de dados. Para outros registros, é exibido um hífen (-).

• Operation content: A instrução SQL específica executada pelo operador.

A subtabela Sensitive data involved lista os detalhes dos dados sensíveis acessados na operação:

Exportar registros de acesso a dados sensíveis

Exporte manualmente os registros de acesso filtrados conforme necessário ou configure a exportação global para salvar periodicamente os logs de auditoria no OSS para análise offline ou arquivamento de longo prazo.

Exportação manual

Use a exportação manual para baixar os registros filtrados do mecanismo atual no formato XLSX. O sistema retém os arquivos exportados por 30 dias. Após o vencimento de um arquivo, seu nome fica acinzentado e não é mais possível baixá-lo.

1. Após definir as condições de filtro, clique em Export na barra de ferramentas acima da lista de registros.

2. Na caixa de diálogo Create Export Task, confirme as informações e clique em Create. O sistema cria uma tarefa de exportação com base nas condições de filtro atuais.

3. Clique em Export Tasks na barra de ferramentas acima da lista de registros. No painel lateral, visualize o ID e a hora de criação da tarefa de exportação e clique no nome do arquivo para baixá-lo.

Clique em Details na linha da tarefa para visualizar as condições de filtro utilizadas na criação da tarefa.

Exportação automática para o OSS

Para arquivamento de longo prazo, configure a exportação global para salvar os logs de auditoria de todos os mecanismos no OSS diariamente à 01:00. A exportação independe da aba do mecanismo selecionado e dos filtros da página.

Configure e ative a exportação

Prepare um bucket do OSS na mesma região do DataWorks. Caso apareça um prompt de autorização, entre em contato com um administrador para autorizar a função vinculada ao service AliyunServiceRoleForDataWorks.

1. No canto superior direito da página Sensitive Data Access, clique em Global Export Configuration.

2. Selecione um OSS Bucket e insira um Destination Directory. O diretório deve começar e terminar com /, por exemplo, /audit-logs/.

3. Defina o Minimum Sensitivity Level conforme necessário. Insira uma Configuration Description opcional de até 512 caracteres.

4. Clique em Save. A exportação é ativada na primeira criação da configuração. Quando ativada, o DataWorks verifica se há datas não exportadas nos 180 dias anteriores e cria tarefas de preenchimento retroativo de forma assíncrona.

Visualize resultados e baixe arquivos

Clique em Global Export Records no canto superior direito da página. Encontre as tarefas por Status ou Export Date. Copie o caminho do arquivo e baixe-o do bucket do OSS de destino. Para uma tarefa com falha, clique em Retry. A configuração de exportação deve estar ativada antes de uma nova tentativa.

Cada exportação gera dois arquivos JSON Lines (JSONL): um arquivo principal com uma operação por linha e um arquivo de detalhes contendo apenas os detalhes dos dados sensíveis envolvidos. Analise os dados JSON exportados linha por linha.

Ajustar configurações ou desativar a exportação

Reabra a Global Export Configuration, ajuste as configurações e salve. Alterar o bucket ou o diretório aciona o preenchimento retroativo do histórico. Tarefas pendentes e novas tentativas utilizam o bucket e o diretório mais recentes. Alterações no nível mínimo de sensibilidade afetam apenas as tarefas recém-criadas; tarefas pendentes e novas tentativas mantêm o nível definido na criação. O sistema não exclui nem reexecuta os registros de exportação existentes.

Para uma configuração existente, use o seletor Enable Export. Desativá-lo tem efeito imediato. Ativá-lo novamente requer a confirmação do prompt de preenchimento retroativo do histórico. Após o sucesso de qualquer uma das operações, a caixa de diálogo fecha automaticamente. Não é necessário clicar em Salve. Reabra a caixa de diálogo e modifique outras configurações.