數(shù)據(jù)保護(hù)傘
數(shù)據(jù)保護(hù)傘是一款數(shù)據(jù)安全管理產(chǎn)品，為您提供數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)脫敏、數(shù)據(jù)水印、訪問控制、風(fēng)險(xiǎn)識別、數(shù)據(jù)溯源等多種功能，幫助您快速梳理敏感數(shù)據(jù)并進(jìn)行安全管控，保障數(shù)據(jù)安全。本文為您介紹數(shù)據(jù)保護(hù)傘的使用流程、使用限制等內(nèi)容。
使用流程
數(shù)據(jù)保護(hù)傘為您提供敏感數(shù)據(jù)規(guī)則配置、識別敏感數(shù)據(jù)、查看識別結(jié)果、處理敏感數(shù)據(jù)等管控流程，幫助您在敏感數(shù)據(jù)產(chǎn)生的事件前、中、后各階段管控梳理項(xiàng)目中的敏感數(shù)據(jù)，保障數(shù)據(jù)安全。具體流程及相關(guān)功能介紹如下。
步驟一：事前梳理。
在敏感數(shù)據(jù)產(chǎn)生前，您可通過數(shù)據(jù)保護(hù)傘對您的資產(chǎn)數(shù)據(jù)進(jìn)行分類分級，并配置多種識別規(guī)則，識別敏感數(shù)據(jù)及相關(guān)數(shù)據(jù)風(fēng)險(xiǎn)。具體如下。
細(xì)分操作
描述
參考文檔
配置數(shù)據(jù)分類分級
用于對您的數(shù)據(jù)按照數(shù)據(jù)價(jià)值、內(nèi)容敏感程度、影響和分發(fā)范圍進(jìn)行敏感級別劃分，后續(xù)可基于分類分級進(jìn)行數(shù)據(jù)管控操作。不同敏感級別的數(shù)據(jù)管控原則和數(shù)據(jù)開發(fā)要求存在差異。
DataWorks提供了內(nèi)置的分類分級模板，您也可基于業(yè)務(wù)需要，自定義分類分級名稱。
配置敏感數(shù)據(jù)識別規(guī)則
根據(jù)數(shù)據(jù)的來源、用途，定義敏感字段類型配置敏感數(shù)據(jù)規(guī)則，識別當(dāng)前工作空間中的敏感數(shù)據(jù)。命中規(guī)則內(nèi)容，則認(rèn)為是敏感數(shù)據(jù)。
支持如下識別方式：
數(shù)據(jù)內(nèi)容識別：可通過內(nèi)置規(guī)則、自定義模型、樣本庫、正則表達(dá)式識別。
元數(shù)據(jù)識別：通過字段的名稱、注釋信息識別。支持使用通配符，配置前綴、后綴及包含關(guān)系。
組合識別：可使用或、與等關(guān)系，配置包含多個條件的識別規(guī)則。
其他配置
系統(tǒng)配置：設(shè)置登錄的權(quán)限模式、數(shù)據(jù)水印追溯時(shí)間、管控的數(shù)據(jù)范圍、識別結(jié)果的告警接收郵件及webHook地址等。
用戶組配置：快速將具有相同數(shù)據(jù)訪問權(quán)限的賬號批量添加至用戶組，后續(xù)配置數(shù)據(jù)脫敏時(shí)，統(tǒng)一配置白名單，獲取脫敏前的原始數(shù)據(jù)。
步驟二：事中防護(hù)。
敏感數(shù)據(jù)規(guī)則配置完成并啟用后，DataWorks將自動識別命中規(guī)則的敏感數(shù)據(jù)，您可在數(shù)據(jù)保護(hù)傘相關(guān)模塊查看識別結(jié)果。
細(xì)分操作
描述
參考文檔
訪問控制管理
配置基于IP或者數(shù)據(jù)庫用戶的直通或者阻斷策略。
-
數(shù)據(jù)脫敏管理
用于對識別到的敏感數(shù)據(jù)配置脫敏規(guī)則，后續(xù)，敏感數(shù)據(jù)將按照配置規(guī)則呈現(xiàn)。不同敏感級別的數(shù)據(jù)脫敏管控存在差異。
脫敏分類：
動態(tài)脫敏：查詢敏感數(shù)據(jù)時(shí)，在查詢頁面展示脫敏后數(shù)據(jù)。
靜態(tài)脫敏：將數(shù)據(jù)脫敏后存儲到指定的數(shù)據(jù)庫位置。
脫敏方式：包括保留格式加密、掩蓋、HASH加密、字符替換、區(qū)間變換、取整、置空等。
同時(shí)，對需返回原始數(shù)據(jù)的特殊場景，可配置白名單查看明文信息。
您可按需選擇合適的脫敏場景及脫敏方式。
風(fēng)險(xiǎn)識別管理
數(shù)據(jù)保護(hù)傘中內(nèi)置的風(fēng)險(xiǎn)規(guī)則，可直接生效使用；同時(shí)，支持自定義風(fēng)險(xiǎn)規(guī)則、閾值比較。例如，數(shù)據(jù)量比較、頻次比較等，風(fēng)險(xiǎn)規(guī)則生效后，系統(tǒng)會自動進(jìn)行檢測，主動發(fā)現(xiàn)風(fēng)險(xiǎn)操作并預(yù)警。
風(fēng)險(xiǎn)監(jiān)測處置
查看監(jiān)測出的風(fēng)險(xiǎn)的操作明細(xì)信息，可根據(jù)需要支持標(biāo)記是否無風(fēng)險(xiǎn)、是否已處置等。
步驟三：事后審計(jì)溯源。
根據(jù)事中的風(fēng)險(xiǎn)監(jiān)測情況，處理相關(guān)敏感數(shù)據(jù)，進(jìn)行安全管控，保障數(shù)據(jù)安全。
細(xì)分操作
描述
參考文檔
數(shù)據(jù)操作審計(jì)
數(shù)據(jù)保護(hù)傘會記錄所有涉及敏感數(shù)據(jù)的行為（包含IP、端口信息、數(shù)據(jù)庫用戶等）及敏感數(shù)據(jù)血緣信息，您可通過敏感信息進(jìn)行相關(guān)操作審計(jì)。
同時(shí)，針對規(guī)則識別不準(zhǔn)確的敏感數(shù)據(jù)，可手動修正。
數(shù)據(jù)水印溯源
若存在數(shù)據(jù)泄露情況，可通過提取數(shù)據(jù)泄露文件中水印信息，幫助您定位到可能泄露目標(biāo)數(shù)據(jù)的責(zé)任人。
使用限制
版本限制
僅支持DataWorks標(biāo)準(zhǔn)版及以上版本使用數(shù)據(jù)保護(hù)傘功能。開通DataWorks，詳情請參見開通DataWorks服務(wù)；不同DataWorks版本中數(shù)據(jù)保護(hù)傘功能支持情況，請參見DataWorks各版本詳解。
權(quán)限限制
僅阿里云主賬號和擁有以下權(quán)限的RAM用戶（即子賬號）可開通數(shù)據(jù)保護(hù)傘：
擁有AdministratorAccess、AliyunDataWorksFullAccess角色權(quán)限的RAM用戶，授權(quán)詳情請參見為RAM角色授權(quán)。
擁有租戶管理員和安全管理員（租戶級）權(quán)限的用戶可使用數(shù)據(jù)保護(hù)傘的全部功能。
工作空間級的安全管理員，僅可使用其有權(quán)限的工作空間的相關(guān)功能。例如，數(shù)據(jù)血緣功能，修正敏感字段類型時(shí)，只能選擇有權(quán)限的項(xiàng)目空間。若需要對其他工作空間的相關(guān)功能有使用權(quán)限，則需授予相關(guān)權(quán)限，詳情請參見空間級模塊權(quán)限管控。
功能使用
目前僅支持使用數(shù)據(jù)識別和動態(tài)脫敏功能對EMR、MaxCompute、CDH、Hologres引擎的敏感數(shù)據(jù)進(jìn)行識別和脫敏。
其中，識別EMR引擎敏感數(shù)據(jù)并進(jìn)行脫敏的使用限制如下：
敏感數(shù)據(jù)識別和脫敏目前僅支持部分EMR集群類型和表類型。如下所示：
說明其中
表示支持預(yù)覽，
表示不支持預(yù)覽。EMR集群類型
元數(shù)據(jù)存儲類型
數(shù)據(jù)存儲類型：OSS
數(shù)據(jù)存儲類型：OSS-HDFS
數(shù)據(jù)存儲類型：HDFS
新版數(shù)據(jù)湖集群（DataLake）
數(shù)據(jù)湖構(gòu)建（DLF）
RDS實(shí)例
MySQL
自定義集群（Custom）
數(shù)據(jù)湖構(gòu)建（DLF）
RDS實(shí)例
MySQL
其他集群
--
說明該功能目前僅支持華東 1（杭州）、華東 2（上海）、華東2（上海）金融云、華北 2（北京）、華南 1（深圳）、華南1（深圳）金融云、西南 1（成都）、華北2（政務(wù)云）、中國香港、美國（硅谷）、新加坡、馬來西亞（吉隆坡）、德國（法蘭克福）地域使用。
在EMR集群下使用數(shù)據(jù)保護(hù)傘需升級獨(dú)享調(diào)度資源組，您可加入DataWorks釘釘群聯(lián)系技術(shù)支持同學(xué)申請升級。
數(shù)據(jù)保護(hù)傘默認(rèn)使用阿里云主賬號進(jìn)行數(shù)據(jù)抽樣，如果您的集群開啟了LDAP認(rèn)證，使用Ranger或DLF-Auth管理表權(quán)限，需您為主賬號配置賬號映射，并保證映射后的賬號有權(quán)限訪問EMR集群中表，具體操作方法詳情請參見配置訪問身份的映射關(guān)系。
進(jìn)入數(shù)據(jù)保護(hù)傘
進(jìn)入數(shù)據(jù)開發(fā)頁面。
登錄DataWorks控制臺，切換至目標(biāo)地域后，單擊左側(cè)導(dǎo)航欄的，在下拉框中選擇對應(yīng)工作空間后單擊進(jìn)入數(shù)據(jù)開發(fā)。
單擊左上方的
圖標(biāo)，選擇，單擊立即體驗(yàn)，進(jìn)入數(shù)據(jù)保護(hù)傘。說明若阿里云主賬號已授權(quán)，則直接進(jìn)入數(shù)據(jù)保護(hù)傘的首頁。
若阿里云主賬號未授權(quán)，則進(jìn)入數(shù)據(jù)保護(hù)傘的授權(quán)頁面。授權(quán)后才可使用保護(hù)傘的相關(guān)功能。