功能介紹

DSC可以對已授權OSS Bucket的文件進行敏感信息掃描并分類分級，您可以在DSC側配置將識別的敏感等級作為標簽SensitiveLevelForSDDP的值同步至OSS文件，作為對應文件的標簽SensitiveLevelForSDDP。

如果通過敏感等級標簽管控對應文件的訪問權限，創建權限策略時，您可以使用Deny方法加上條件關鍵字oss:ExistingObjectTag，結合標簽SensitiveLevelForSDDP，控制訪問目標文件的黑名單。具體說明，請參見OSS的RAM Policy說明。

應用場景

• 保護敏感數據

  對于包含敏感信息（如個人隱私數據、財務信息、商業秘密等）的數據，可以通過設置高敏感等級標簽，并限制只有特定的RAM用戶（如高級管理人員或安全人員）才有權訪問這些數據。這樣，即使OSS Bucket中存儲了多種類型的數據，也能有效地避免敏感信息泄露。

• 遵守數據保護法規

  在受嚴格數據保護法規監管的行業和地區，數據處理和訪問需要進行嚴格控制。通過DSC，企業可以為符合法規要求的數據設置相應的敏感等級，并制定合規的訪問控制策略，以確保相關數據符合法律法規的要求。

• 第三方合作與數據共享

  在與合作伙伴、供應商或客戶共享數據時，可以根據其對數據敏感等級的需求，賦予相應的權限。這樣既方便了跨組織間的協作，又確保了數據安全。

計費說明

DSC側開啟同步敏感標簽至OSS不收費。OSS側的所有操作都是通過調用OSS API實現的，OSS會根據調用的API次數收取請求費用。同步標簽至OSS側屬于Put類請求的添加或修改標簽操作，會按照Put類型請求次數計費。詳細說明，請參見請求費用。

配置敏感等級標簽同步

DSC默認關閉OSS同步配置功能，您需要選擇敏感數據識別模板并啟用同步功能，在執行對應模板的敏感識別任務時，掃描結果的敏感等級才能同步至對應OSS Bucket中文件標簽。

前提條件

如果不需要使用內置識別模板，需要先添加自定義識別模板。識別模板的詳細配置，請參見查看和配置識別模板。

啟用OSS同步配置

1. 登錄數據安全中心控制臺。

2. 在左側導航欄，選擇系統設置 > 告警通知。

3. 在告警通知頁面，選擇OSS同步配置頁簽。

4. 單擊同步標簽到OSS的開關。

5. 單擊選擇模板的下拉框，選擇敏感數據掃描的識別模板，然后單擊提交。

   您可以選擇內置識別模板或自定義識別模板，識別模板的詳細說明，請參見查看和配置識別模板。

   重要

   開啟同步標簽到OSS的開關后，必須配置對應的識別模板。否則，OSS同步配置不生效。

使用已選擇的識別模板掃描已授權OSS資產

• 已授權OSS資產包含DSC資產中心已授權的OSS Bucket和數據檢測響應增值服務已授權的OSS Bucket。具體內容，請參見非結構化數據（OSS+SLS）授權和數據檢測響應的OSS授權。

• 根據您選擇的識別模板，重新執行或新建對應識別模板的識別任務對OSS數據進行掃描。具體內容，請參見識別敏感數據任務。

結合Bucket文件標簽管控訪問權限示例

如上圖所示，按照以下流程可以實現RAM用戶對不同敏感等級數據的訪問控制。

1. 在數據安全中心側完成OSS同步配置、OSS資產授權和敏感等級掃描。具體內容，請參見配置識別模、同步敏感等級標簽至OSS文件、非結構化數據（OSS+SLS）授權和通過識別任務掃描敏感數據。

2. 在OSS側的文件中會自動同步敏感等級標簽SensitiveLevelForSDDP。

   SensitiveLevelForSDDP的對應的數字代表文件的敏感等級，對照關系為：S1（1）、S2（2）、S3（3）、S4（4），以此類推。

   

3. 在訪問控制中創建并授予RAM用戶自定義權限策略。具體操作，請參見創建RAM用戶、創建自定義權限策略和為RAM用戶授權。其中OSS訪問策略的配置說明，請參見通過RAM Policy授權訪問OSS。

   上圖示例的權限策略內容是針對OSS下所有Bucket中文件，限制訪問敏感等級為S2和S3的文件。

   您也可以針對某個Bucket下的所有文件進行限制，如下權限策略內容，針對名為test-bucket的Bucket，限制訪問其下敏感等級為S3的文件。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": [
           "oss:*"
         ],
         "Resource": [
           "acs:oss:*:*:test-bucket/*"
         ],
         "Condition": {
           "StringEquals": {
             "oss:ExistingObjectTag/SensitiveLevelTagForSDDP": [
               "3"
             ]
           }
         }
       }
     ]
   }