数据安全中心（DSC）在检测数据源（OSS、RDS、DRDS、PolarDB、表格存储OTS、ECS自建数据库、MaxCompute）中存储的敏感数据之前，需要首先获取允许访问这几类云产品中指定数据的授权。本文介绍数据资产授权的操作步骤。

前提条件

已购买DSC服务并完成DSC访问云服务的授权。更多信息，请参见购买数据安全中心和授权DSC访问云资源。

背景信息

资产保护授权功能允许DSC访问具体的云产品中存有数据的部分空间或项目。如果不授权，DSC将无法对云产品中的敏感数据进行识别和脱敏。

注意 已开启授权的OSS Bucket会消耗您购买的OSS存储容量，已开启授权的数据库或项目会消耗您购买的数据库和项目数。只有在OSS存储容量、数据库和项目数量充足时，您才可以成功进行相应授权操作。您可以在云上托管页面查看剩余的OSS存储容量、数据库和项目数。

OSS文件桶访问授权

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在OSS页签下单击未授权。
  4. 选中需要授权的OSS文件桶（Bucket）并单击批量操作。批量操作
    您也可以单击某个OSS文件桶（Bucket）开启防护列下的授权，为该Bucket开启授权。
  5. 在对于选中资产批量处理对话框中，设置识别权限、审计权限、脱敏权限等参数。批量授权页面
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产进行数据审计的权限。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  6. 单击确认。
    完成资产授权后，DSC将会对开启授权的OSS存储空间中的文件执行敏感数据检测。如果该存储空间是首次开启授权，DSC将会自动触发全量扫描并收取全量数据扫描的费用。相关内容请参见数据源授权完成后需要多长时间完成扫描。

    已授权资产中的数据可进行编辑或取消授权。取消授权后，DSC不会检测该文件桶中的数据。

    说明 DSC仅对已授权的Bucket进行数据扫描和风险分析。

RDS库访问授权

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击RDS页签。
  4. 在RDS页签下单击未授权。
  5. 定位到需要授权的实例，在用户名和密码文本框输入连接数据库的用户名和密码。

    您可以使用DSC提供的批量密码导入功能，批量导入数据库的用户名和密码。更多信息，请参见批量密码导入。

    注意 用户名和密码错误将会导致授权失败，请您输入正确的用户名和密码。
  6. 选中需要授权的资产并单击批量操作。
    您也可以单击某个实例操作列下的授权为该实例授权。
  7. 在授权页面，设置识别权限、审计权限、脱敏权限等参数。
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产中进行数据审计的权限。

      审计日志数据提供了包括审计规则命中结果、审计规则检测的资产类型、命中规则的操作类型和操作账号等信息，覆盖资产数据产生、更新和使用等全链路的日志数据。

      DSC安全审计功能使用的更多信息，请参见审计规则。

      说明 开通RDS审计日志会自动开启RDS SQL洞察功能，开启该功能将额外产生SQL洞察费用。非试用版按小时扣费，0.008元/GB/小时。该费用将体现在您的RDS账单中，查看该费用的方法请参见查看消费明细。SQL洞察相关内容请参见SQL洞察。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  8. 单击确定。
    说明 若授权未通过，请检查输入的用户名和密码是否正确。
    授权完成后，DSC会检测该资产中的数据。

    已授权的资产可编辑或取消授权。仅支持编辑该RDS数据库合法用户的用户名和密码。取消授权后，DSC不会检测该数据库中的数据。

DRDS访问授权

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击DRDS页签。
  4. 在DRDS页签下单击未授权。
  5. 定位到需要授权的实例，在用户名和密码文本框输入连接数据库的用户名和密码。

    您可以使用DSC提供的批量密码导入功能，批量导入数据库的用户名和密码。更多信息，请参见批量密码导入。

    注意 用户名和密码错误将会导致授权失败，请您输入正确的用户名和密码。
  6. 选中需要授权的资产并单击批量操作。
    您也可以单击某个实例操作列下的授权为该实例授权。
  7. 在授权页面，设置识别、审计、脱敏等权限。
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产进行数据审计的权限。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  8. 单击确定。
    说明 若授权未通过，请检查输入的用户名和密码是否正确。
    授权完成后，DSC会检测该资产中的数据。

    已授权的资产可编辑或取消授权。仅支持编辑该DRDS数据库合法用户的用户名和密码。取消授权后，DSC不会检测该数据库中的数据。

PolarDB访问授权

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击PolarDB页签。
  4. 在PolarDB页签下单击未授权。
  5. 定位到需要授权的实例，在用户名和密码文本框输入连接数据库的用户名和密码。

    您可以使用DSC提供的批量密码导入功能，批量导入数据库的用户名和密码。更多信息，请参见批量密码导入。

    注意 用户名和密码错误将会导致授权失败，请您输入正确的用户名和密码。
  6. 选中需要授权的资产并单击批量操作。
    您也可以单击某个实例操作列下的授权为该实例授权。
  7. 在授权页面，设置识别、审计、脱敏等权限。
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产进行数据审计的权限。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  8. 单击确定。
    说明 若授权未通过，请检查输入的用户名和密码是否正确。
    授权完成后，DSC会检测该资产中的数据。

    已授权的资产可编辑或取消授权。仅支持编辑该PolarDB数据库合法用户的用户名和密码。取消授权后，DSC不会检测该数据库中的数据。

OTS访问授权

OTS即表格存储服务。

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击OTS页签。
  4. 在OTS页签下单击未授权。
  5. 选中需要授权的资产并单击批量操作。
    您也可以单击某个实例操作列下的授权为该实例授权。
  6. 在授权页面，设置识别、审计、脱敏等权限。
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产进行数据审计的权限。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  7. 单击确定。
    授权完成后，DSC会检测该资产中的敏感数据。

ECS自建数据库访问授权

DSC支持检测的ECS自建数据库有以下限制：
  • 仅VPC网络中的ECS自建数据库支持使用DSC服务。
  • 目前仅支持MySQL和SQL Server两种类型的ECS自建数据库。
  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击ECS自建数据库页签。
  4. 在ECS自建数据库页签下单击添加数据资产。
  5. 在资产授权对话框中，配置相应参数并单击下一步。
    您可以参考以下表格中的参数说明配置相应参数。
    参数 说明
    区域 选择您需要授权DSC访问的ECS自建数据库的所在区域。
    ECS实例ID 选择您需要授权DSC访问的ECS自建数据库所在的ECS实例ID。
    数据库类型 选择您需要授权DSC访问的ECS自建数据库的类型。 目前DSC仅支持MySQL和SQL Server两种类型的ECS自建数据库。
    库名称 输入您需要授权DSC访问的ECS自建数据库名称。
    说明 如果当前ECS实例下还有其他ECS自建数据库需要授权DSC访问，您可以单击添加数据库，填写其他ECS自建数据库的信息。
    端口 填写访问ECS自建数据库使用的端口号。
    用户名 输入可以访问ECS自建数据库合法用户的用户名和密码。
    密码
  6. 在授权页面，设置识别、审计、脱敏等权限。
    设置说明如下：
    • 识别权限：开启或关闭DSC识别选中资产敏感数据的权限。
    • 审计权限：开启或关闭DSC对选中资产进行数据审计的权限。
    • 脱敏权限：开启或关闭DSC对选中资产进行敏感数据脱敏的权限。
    • 敏感数据采样：设置DSC对选中资产进行敏感数据采样的条数。敏感数据采样是指DSC自动识别到敏感数据后，保留的敏感数据样本。您可以通过保留的敏感数据样本，人工对敏感数据进行更深入的判断。可选取值：
      • 0条
      • 5条
      • 10条
    • 审计日志存档：设置选中资产的审计日志保存时间。可选取值：
      • 30天
      • 90天
      • 180天
      说明 设置审计日志存档时间无需您额外开通日志服务。
  7. 单击确定。
    授权完成后，DSC会检测该资产中的敏感数据。

MaxCompute项目访问授权

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面单击MaxCompute页签。
  4. 在MaxCompute页签下单击添加数据资产。
  5. 在添加数据资产页面，设置授权参数（详见下表）。
    参数 说明
    区域 选择您需要授权DSC访问的MaxCompute项目的所在区域。
    项目名称 输入MaxCompute项目名称。
    说明 项目名称不支持模糊查询，请输入准确的名称。
  6. 在MaxCompute客户端执行以下命令，将DSC数据访问子账号yundun_sddp添加到该MaxCompute项目中。 
    add user aliyun$yundun_sddp;

grant admin to aliyun$yundun_sddp;

    您可以根据以下说明判断接下来执行的步骤。

    • 如果此步骤执行后无报错提示，请直接跳转至步骤8。
    • 如果此步骤执行后提示添加失败，请执行步骤7。
  7. 可选：执行以下命令将DSC服务IP地址添加到MaxCompute IP白名单中。
    
setproject odps.security.ip.whitelist=11.193.236.0/24,11.193.64.0/24,11.193.58.0/24 odps.security.vpc.whitelist=<VPC网段ID>;
//11.193.236.0/24,11.193.64.0/24,11.193.58.0/24是DSC服务使用的经典网络IP段，必须配置；
//VPC网段ID需要替换为您的MaxCompute项目所在区域的VPC网段ID。区域和VPC网段ID的对应关系详见以下表格。

    如果您已开启了MaxCompute IP白名单限制，为了避免资产授权失败，您需要执行本步骤将DSC服务IP地址添加到MaxCompute IP白名单中。您可以执行setproject;命令，查询是否已开启MaxCompute IP白名单。如果odps.security.vpc.whitelist=等号后面的内容为空，表示未开启白名单，则您可以跳过本步骤。

    区域 区域ID VPC网段ID
    张家口 cn-zhangjiakou cn-zhangjiakou_399229
    背景 cn-beijing cn-beijing_691047
    深圳 cn-shenzhen cn-shenzhen_515895
    上海 cn-shanghai cn-shanghai_28803
    杭州 cn-hangzhou cn-hangzhou_551733
    说明 设置IP白名单后，您需要等待5分钟再进行授权。
  8. 单击确认。
    说明 若授权未通过，请检查授权参数是否有误或DSC访问子账号是否添加成功。
    授权完成后，DSC会对该项目列表中的所有数据进行检测。

    资产完成授权后可取消授权。取消授权后，DSC不会检测该资产中的数据。

批量密码导入

DSC支持通过Excel模板批量导入RDS、DRDS和PolarDB未授权数据库的用户名和密码，方便您批量授权DSC访问多个数据库项目。以下介绍批量导入数据库密码的详细步骤。

  1. 登录数据安全中心控制台。
  2. 在左侧导航栏，选择数据保护授权 > 数据资产授权。
  3. 在云上托管页面右上角单击批量密码导入。
  4. 在批量密码导入对话框中单击DSC授权文件模板.xlsx。
  5. 打开下载到本地的模板文件，编辑数据库产品中的用户名和密码列并保存模板文件。
    如果您修改了模板文件中已有的用户名和密码，批量导入密码操作完成后，已有的用户名和密码将被更新为您修改后的用户名和密码。
  6. 在批量密码导入对话框中单击文件上传，完成修改后模板的上传。
  7. 单击确定。
    EXCEL文件成功上传后，DSC会自动为您在RDS、DRDS和PolarDB页签下的用户名和密码列导入该Excel文件中的数据库用户名和密码（如下图所示）。您无需手动填写数据库的用户名和密码，即可在云上托管页面执行批量授权操作，对多个数据库进行批量DSC访问授权。批量导入密码后

排查资产授权失败原因

添加资产授权时可能会出现授权失败的情况。授权失败时请排查是否存在以下问题：
  • RDS连接授权失败的可能原因
    • RDS数据库账号或密码输入错误。
    • 您自行删除了RDS访问白名单中DSC自动添加的服务器地址。
    • 部署在经典网络中的阿里云数据产品外网地址未放行流量的访问控制，导致网络不通。
  • MaxCompute连接授权失败的可能原因
    • MaxCompute项目名称输入错误。
    • MaxCompute项目中添加DSC账号失败。