敏感数据访问功能旨在确保数据访问的合规审计。该功能详细记录用户对敏感数据的每一次访问行为，包括操作时间、操作人员、操作内容等关键信息，从而为安全管理员提供全面的审计追踪能力。通过此功能，您可以有效评估和追踪每一个访问事件，以确保数据访问活动符合组织的安全政策和合规要求。本文将详细介绍敏感数据访问功能的相关信息，以帮助您更好地理解和使用该功能。
限制说明
-
适用用户：开通DataWorks的标准版、专业版、企业版，且在安全中心选择DataWorks新版数据安全的用户。
-
支持地域：华东1（杭州）、华东2（上海）、华北2（北京）、华北3（张家口）、华北6（乌兰察布）、华南1（深圳）、西南1（成都）、中国香港、日本（东京）、新加坡、印度尼西亚（雅加达）。
-
支持计算源：MaxCompute、Hologres。
前提条件
登录DataWorks主账号或RAM账号，且拥有以下权限或角色满足任一条件：
拥有AliyunDataWorksFullAccess权限的账号。
拥有DataWorks租户安全管理员角色的账号。
拥有DataWorks租户管理员角色的账号。
已完成新用户指引。
支持的引擎与时效性
敏感数据是指中根据识别任务最终识别的结果列表。
敏感数据访问页面通过顶部 Tab 切换查看不同数据引擎的访问记录。各引擎对应的访问记录时效性如下：
数据引擎 | 时效性 |
MaxCompute | T+1 |
Hologres | T+2 |
EMR Hive | 近实时 |
DLF | 近实时 |
DLF Legacy | 近实时 |
StarRocks | 近实时 |
查看敏感数据访问
登录DataWorks控制台，切换至目标地域后，单击左侧导航栏的，在右侧页面中单击进入安全中心。
在左侧导航栏，选择进入页面。
在页面顶部选择需要查看的引擎 Tab。
按需筛选目标记录：
在页面顶部的筛选区，可按以下条件筛选：
操作对象：按引擎层级依次选择操作对象。例如 MaxCompute 选择项目、表、字段；Hologres 选择实例、数据库、表、字段；EMR Hive 选择实例、表、字段；DLF 选择 catalog、数据库、表、字段。
涉及数据类型：按敏感数据类型名称模糊搜索。
操作时间：按访问发生的时间范围筛选。
下载场景：按数据下载行为所属的业务场景筛选，支持多选，可选数据集成、PythonODPS、数据开发、数据分析、其他。
在表头单击筛选图标，可进一步按以下字段筛选：操作者、操作类型、行为类型。
查看访问记录列表，列表字段说明如下：
字段
说明
时间
操作者访问敏感数据事件的日期和时间。
操作者
事件中操作者使用的账号信息。有可能是用户登录账号，也可能是数据源的默认访问身份指定的RAM账号或主账号。
操作对象
事件中被访问的敏感数据资源（如项目、表、字段等），具体层级取决于所选引擎。
操作类型
操作者对敏感数据的操作属于哪种类型。
下载场景
数据下载类访问记录所属的业务场景，取值为数据集成、PythonODPS、数据开发、数据分析、其他。其他记录显示为-。
涉及数据类型
事件中操作者访问的敏感数据中覆盖的数据类型。
行为类型
区分系统行为，还是用户行为。敏感数据识别任务运行过程中产生的数据抽样行为为系统行为。
操作
单击详情可查看该条访问记录的详情，详情字段说明请参见下方查看访问记录详情。
查看访问记录详情
在敏感数据访问列表中，单击目标记录所在行的详情，打开敏感数据访问记录详情弹窗，查看以下字段：
时间：操作者访问敏感数据事件的日期和时间。
操作者：操作者使用的账号信息。
操作类型：操作者对敏感数据的操作类型。
下载场景：数据下载类访问记录所属的业务场景。其他记录显示为-。
操作内容：操作者执行的具体 SQL 语句。
涉及敏感数据子表列出本次操作涉及的敏感数据明细，字段说明如下：
字段 | 说明 |
字段名 | 被访问的敏感数据所在的列名。 |
表名称 | 被访问的敏感数据所在的表名。 |
数据类型 | 该列敏感数据对应的敏感数据类型名称。 |
引擎类型 | 该敏感数据所属的引擎类型。 |
导出敏感数据访问记录
您可以按需手动导出筛选后的访问记录，或配置全局导出，将审计日志定期保存至 OSS，用于离线分析或长期归档。
手动导出
手动导出适用于下载当前引擎筛选后的记录，文件格式为 XLSX。导出文件保留 30 天，过期后文件名置灰，无法下载。
-
设置好筛选条件后，在列表上方的工具栏中单击导出。
-
在弹出的创建导出任务对话框中确认提示信息，单击创建。系统将根据当前筛选条件创建导出任务。
-
单击列表上方工具栏中的导出任务，在抽屉中查看导出任务 ID 和任务创建时间，单击导出文件名下载文件。
单击任务所在行的详情，可查看创建任务时的筛选条件。
自动导出到 OSS
需要长期归档审计日志时，可配置全局导出。系统每日凌晨 1 点自动导出各引擎的日志，不受当前引擎 Tab 和页面筛选条件影响。
配置并启用导出
准备与 DataWorks 同地域的 OSS Bucket。若提示未授权，请联系管理员完成服务关联角色AliyunServiceRoleForDataWorks的授权。
-
在敏感数据访问页面右上方，单击全局导出配置。
-
选择OSS Bucket，填写目标目录。目录须以
/开头和结尾，例如/audit-logs/。 -
按需设置最低敏感等级，填写配置描述（选填，最多 512 个字符）。
-
单击保存。首次创建成功后即启用导出；启用时，系统会检测最多 180 天内的未导出日期，并异步生成补导任务。
查看结果并下载文件
单击页面右上方的全局导出记录，按状态或导出日期查找任务。复制文件路径后，在目标 OSS Bucket 中下载文件。失败任务可单击重试，重试前须启用导出配置。
每次导出生成两个 JSON Lines（JSONL）文件：主文件每行记录一个操作，明细文件仅包含关联敏感数据明细。使用导出文件时，请按行解析 JSON。
调整配置或停用导出
重新打开全局导出配置，修改配置并保存。修改 Bucket 或目录会触发历史补导，待执行及重试任务使用最新的 Bucket 和目录；修改最低敏感等级仅影响新建任务，待执行及重试任务沿用创建时的等级。已有导出记录不会被删除或重新执行。
通过启用导出开关启停已有配置：关闭时直接生效，重新开启时需确认历史补导提示。启停成功后弹窗自动关闭，无需单击保存；如需修改其他配置项，请重新打开弹窗。