Amazon S3 Multi-Cloud Scanning Connector voor Azure Purview

Met de multi-cloudscanconnector voor Azure Purview kunt u uw organisatiegegevens verkennen bij cloudproviders, waaronder Amazon Web Services naast Azure-opslagservices.

In dit artikel wordt beschreven hoe u Azure Purview gebruikt om ongestructureerde gegevens te scannen die momenteel zijn opgeslagen in standaard-buckets van Amazon S3, en om te ontdekken welke typen gevoelige informatie er in uw gegevens bestaan. In deze handleiding wordt ook beschreven hoe u de Amazon S3-buckets identificeert waarin de gegevens momenteel zijn opgeslagen voor eenvoudige gegevensbeveiliging en gegevens compliance.

Gebruik voor deze service Purview om een Microsoft-account met beveiligde toegang tot AWS te bieden, waar de multi-cloudscanconnector voor Azure Purview wordt uitgevoerd. De multi-cloudscanconnector voor Azure Purview gebruikt deze toegang tot uw Amazon S3-buckets om uw gegevens te lezen en rapporteert vervolgens de scanresultaten, inclusief alleen de metagegevens en classificatie, terug naar Azure. Gebruik de classificatie- en labelrapporten van Purview om de resultaten van uw gegevensscan te analyseren en te controleren.

Ondersteunde mogelijkheden

** Herkomst wordt ondersteund als de gegevensset wordt gebruikt als bron/sink in Data Factory Copy-activiteit

Bereik voor het opsn vijfent van Amazon S3

Momenteel bieden we geen ondersteuning voor opname van privé-eindpunten die met uw AWS-bronnen werken.

Zie voor meer informatie over Purview-limieten:

• Quota voor resources beheren en verhogen met Azure Purview
• Ondersteunde gegevensbronnen en bestandstypen in Azure Purview

Storage en scanregio's

De Purview-connector voor de Amazon S3-service is momenteel alleen in specifieke regio's geïmplementeerd. In de volgende tabel worden de regio's waar uw gegevens worden opgeslagen, weergegeven in de regio waar deze worden gescand door Azure Purview.

Vereisten

Zorg ervoor dat u de volgende vereisten hebt uitgevoerd voordat u uw Amazon S3-buckets toevoegt als Gegevensbronnen opsviewen en uw S3-gegevens scant.

Een Purview-account maken

• Als u al een Purview-account hebt, kunt u doorgaan met de configuraties die vereist zijn voor AWS S3-ondersteuning. Begin met Create a Purview credential for your AWS bucket scan ( Een Purview-referentie maken voor uw AWS-bucketscan).

• Als u een Purview-account moet maken, volgt u de instructies in Een Azure Purview-accountinstructies maken. Nadat u uw account hebt gemaakt, keert u terug om de configuratie te voltooien en begint u met het gebruik van de Purview-connector voor Amazon S3.

Een nieuwe AWS-rol maken voor Purview

In deze procedure wordt beschreven hoe u de waarden voor uw Azure-account-id en externe id kunt vinden, uw AWS-rol kunt maken en vervolgens de waarde voor uw rol-ARN kunt invoeren in Purview.

Uw Microsoft-account-id en externe id zoeken:

1. Ga in Purview naar De beveiliging van het > Beheercentrum en krijg toegang tot > Referenties.

2. Selecteer Nieuw om een nieuwe referentie te maken.

   In het deelvenster Nieuwe referentie dat aan de rechterkant wordt weergegeven, selecteert u in de vervolgkeuzekeuze lijst Verificatiemethode de optie Role ARN.

   Kopieer vervolgens de waarden Microsoft-account id en externe id die worden weergegeven in een afzonderlijk bestand, of laat ze bij de hand om ze in het relevante veld in AWS te kopiëren. Bijvoorbeeld:

   

Uw AWS-rol voor Purview maken:

1. Open uw Amazon Web Services console en selecteer onder Beveiliging, Identiteit en Naleving de optie IAM.

2. Selecteer Rollen en vervolgens Rol maken.

3. Selecteer Een ander AWS-account en voer de volgende waarden in:

   Veld	Description
   Account-id	Voer uw Microsoft-account-id in. Bijvoorbeeld: 181328463391
   Externe id	Selecteer onder Opties de optie Externe id vereisen... en voer vervolgens uw externe id in het aangewezen veld in. Bijvoorbeeld: e7e2b8a3-0a9f-414f-a065-afaf4ac6d994

   Bijvoorbeeld:

   

4. Filter in het gebied > machtigingsbeleid voor koppelen de machtigingen die worden weergegeven op S3. Selecteer AmazonS3ReadOnlyAccess en selecteer vervolgens Volgende: Tags.

   

   Belangrijk

   Het AmazonS3ReadOnlyAccess-beleid biedt minimale machtigingen die vereist zijn voor het scannen van uw S3-buckets en kan ook andere machtigingen bevatten.

   Als u alleen de minimale machtigingen wilt toepassen die vereist zijn voor het scannen van uw buckets, maakt u een nieuw beleid met de machtigingen die worden vermeld in Minimale machtigingen voor uw AWS-beleid,afhankelijk van of u één bucket of alle buckets in uw account wilt scannen.

   Pas uw nieuwe beleid toe op de rol in plaats van AmazonS3ReadOnlyAccess.

5. In het gebied Tags toevoegen (optioneel) kunt u desgewenst een betekenisvolle tag voor deze nieuwe rol maken. Met handige tags kunt u de toegang organiseren, bijhouden en controleren voor elke rol die u maakt.

   Voer waar nodig een nieuwe sleutel en waarde voor uw tag in. Wanneer u klaar bent of als u deze stap wilt overslaan, selecteert u Volgende: Controleren om de roldetails te controleren en het maken van de rol te voltooien.

   

6. Ga in het gebied Beoordeling als volgt te werk:

   • Voer in het veld Rolnaam een betekenisvolle naam in voor uw rol
   • Voer in het vak Beschrijving van rol een optionele beschrijving in om het doel van de rol te identificeren
   • Controleer in de sectie Beleidsregels of het juiste beleid (AmazonS3ReadOnlyAccess) is gekoppeld aan de rol.

   Selecteer vervolgens Rol maken om het proces te voltooien.

   Bijvoorbeeld:

   

Een Purview-referentie maken voor uw AWS S3-scan

In deze procedure wordt beschreven hoe u een nieuwe Purview-referentie maakt om te gebruiken bij het scannen van uw AWS-buckets.

1. Ga in Purview naar het Beheercentrum en selecteer onder Beveiliging en toegang de optie Referenties.

2. Selecteer Nieuw en gebruik in het deelvenster Nieuwe referentie dat aan de rechterkant wordt weergegeven de volgende velden om uw purview-referentie te maken:

   Veld	Beschrijving
   Naam	Voer een betekenisvolle naam in voor deze referentie.
   Beschrijving	Voer een optionele beschrijving in voor deze referentie, zoals Used to scan the tutorial S3 buckets
   Verificatiemethode	Selecteer Role ARN, omdat u een role ARN gebruikt om toegang te krijgen tot uw bucket.
   Role ARN	Nadat u uw Amazon IAM-rolhebt gemaakt, gaat u naar uw rol in het gebied AWS IAM, kopieert u de waarde role ARN en voert u deze hier in. Bijvoorbeeld: arn:aws:iam::181328463391:role/S3Role. Zie Retrieve your new Role ARN (Uw nieuwe role ARN ophalen) voor meer informatie.

   De Microsoft-account id en de externe id worden gebruikt bij het maken van uw Role ARN in AWS..

3. Selecteer Maken wanneer u klaar bent met het maken van de referentie.

Zie Referenties voor bronverificatie in Azure Purview voor meer informatie over Purview-referenties.

Scannen voor versleutelde Amazon S3-buckets configureren

AWS-buckets ondersteunen meerdere versleutelingstypen. Voor buckets die gebruikmaken van AWS-KMS versleuteling, is speciale configuratie vereist om scannen mogelijk te maken.

Het type versleuteling controleren dat wordt gebruikt in uw Amazon S3-buckets:

1. Navigeer in AWS naar Storage > S3 > en selecteer Buckets in het menu aan de linkerkant.

   

2. Selecteer de bucket die u wilt controleren. Selecteer op de pagina met details van de bucket het tabblad Eigenschappen en schuif omlaag naar het gebied Standaardversleuteling.

   • Als de bucket die u hebt geselecteerd, is geconfigureerd voor alles behalve AWS-KMS-versleuteling, inclusief als standaardversleuteling voor uw bucket Uitgeschakeld is, slaat u de rest van deze procedure over en gaat u verder met De naam van uw Amazon S3-bucket ophalen.

   • Als de bucket die u hebt geselecteerd, is geconfigureerd voor AWS-KMS-versleuteling, gaat u verder zoals hieronder wordt beschreven om een nieuw beleid toe te voegen waarmee u een bucket kunt scannen met aangepaste AWS-KMS-versleuteling.

   Bijvoorbeeld:

   

Een nieuw beleid toevoegen om het scannen van een bucket met aangepaste AWS-KMS toestaan:

1. Navigeer in AWS naar Services > IAM-beleid > en selecteer Beleid maken.

2. Definieer uw beleid op het tabblad > Visual-editor voor beleid maken met de volgende waarden:

   Veld	Description
   Service	Voer in en selecteer KMS.
   Acties	Selecteer onder Toegangsniveau de optie Schrijven om de sectie Schrijven uit te vouwen. Als u het bestand uitvloog, selecteert u alleen de optie Ontsleutelen.
   Bronnen	Selecteer een specifieke resource of Alle resources.

   Wanneer u klaar bent, selecteert u Controlebeleid om door te gaan.

   

3. Voer op de pagina Beleid controleren een beschrijvende naam in voor uw beleid en een optionele beschrijving en selecteer vervolgens Beleid maken.

   Het zojuist gemaakte beleid wordt toegevoegd aan uw lijst met beleidsregels.

4. Koppel uw nieuwe beleid aan de rol die u hebt toegevoegd voor scannen.

   1. Ga terug naar de pagina IAM-rollen > en selecteer de rol die u eerder hebt toegevoegd.

   2. Selecteer op het tabblad Machtigingen de optie Beleid koppelen.

      

   3. Zoek en selecteer op de pagina Machtigingen koppelen het nieuwe beleid dat u hierboven hebt gemaakt. Selecteer Beleid koppelen om uw beleid aan de rol te koppelen.

      De pagina Samenvatting wordt bijgewerkt, met uw nieuwe beleid gekoppeld aan uw rol.

      

Uw nieuwe Role ARN ophalen

U moet uw AWS Role ARN opnemen en deze kopiëren naar Purview wanneer u een scan voor uw Amazon S3-bucket maakt.

De ARN van uw rol ophalen:

1. Zoek en selecteer in het gebied AWS Identity and Access Management (IAM) Roles de nieuwe rol die u hebt gemaakt > voor Purview.

2. Selecteer op de pagina Samenvatting van de rol de knop Kopiëren naar klembord rechts van de waarde Role ARN.

   

In Purview kunt u uw referenties voor AWS S3 bewerken en de opgehaalde rol in het veld Role ARN plakken. Zie Een scan maken voor een of meer Amazon S3-buckets voor meer informatie.

De naam van uw Amazon S3-bucket ophalen

U hebt de naam van uw Amazon S3-bucket nodig om deze naar Purview te kopiëren wanneer u een scan voor uw Amazon S3-bucket maakt

De naam van uw bucket ophalen:

1. Navigeer in AWS naar Storage > S3 > en selecteer Buckets in het menu aan de linkerkant.

   

2. Zoek en selecteer uw bucket om de pagina met bucketdetails weer te geven en kopieer vervolgens de naam van de bucket naar het klembord.

   Bijvoorbeeld:

   

   Plak de naam van uw bucket in een beveiligd bestand en voeg er een voorvoegsel aan toe om de waarde te maken die u moet invoeren bij het configureren van uw bucket als een s3:// Purview-resource.

   Bijvoorbeeld: s3://purview-tutorial-bucket

Zoek uw AWS-account-id

U hebt uw AWS-account-id nodig om uw AWS-account te registreren als een Purview-gegevensbron, samen met alle buckets.

Uw AWS-account-id is de id die u gebruikt om u aan te melden bij de AWS-console. U kunt deze ook vinden wanneer u bent aangemeld op het IAM-dashboard, links onder de navigatieopties en bovenaan als het numerieke onderdeel van uw aanmeldings-URL:

Bijvoorbeeld:

Eén Amazon S3-bucket toevoegen als een Purview-resource

Gebruik deze procedure als u slechts één S3-bucket hebt die u wilt registreren bij Purview als gegevensbron, of als u meerdere buckets in uw AWS-account hebt, maar ze niet allemaal wilt registreren bij Purview.

Uw bucket toevoegen:

1. Ga in Azure Purview naar de pagina Gegevenstoewijzing en selecteer registerpictogram. > Amazon S3 > Ga door.

   

   Tip

   Als u meerdere verzamelingen hebt en uw Amazon S3 wilt toevoegen aan een specifieke verzameling, selecteert u de kaartweergave rechtsboven en selecteert u vervolgens het pictogram in uw verzameling.

2. Voer in het deelvenster Bronnen registreren (Amazon S3) dat wordt geopend de volgende gegevens in:

   Veld	Beschrijving
   Naam	Voer een betekenisvolle naam in of gebruik de standaardwaarde.
   Bucket-URL	Voer de URL van uw AWS-bucket in met behulp van de volgende syntaxis: s3://<bucketName> Opmerking: zorg ervoor dat u alleen het hoofdniveau van uw bucket gebruikt. Zie Uw Amazon S3-bucketnaamophalen voor meer informatie.
   Een verzameling selecteren	Als u ervoor hebt gekozen om een gegevensbron te registreren vanuit een verzameling, wordt die verzameling al vermeld. Selecteer een andere verzameling als dat nodig is, Geen om geen verzameling toe te wijzen of Nieuw om nu een nieuwe verzameling te maken. Zie Gegevensbronnen beheren in Azure Purview voor meer informatie over Purview-verzamelingen.

   Wanneer u klaar bent, selecteert u Voltooien om de registratie te voltooien.

Ga door met Een scan maken voor een of meer Amazon S3-buckets..

Een AWS-account toevoegen als een Purview-resource

Gebruik deze procedure als u meerdere S3-buckets in uw Amazon-account hebt en u ze allemaal wilt registreren als Gegevensbronnen opsviewen.

Wanneer u de scan configureert,kunt u de specifieke buckets selecteren die u wilt scannen, als u niet alle buckets samen wilt scannen.

Uw Amazon-account toevoegen:

1. Ga in Azure Purview naar de pagina Gegevenstoewijzing en selecteer registerpictogram. > Amazon-accounts > Ga door.

   

   Tip

   Als u meerdere verzamelingen hebt en uw Amazon S3 wilt toevoegen aan een specifieke verzameling, selecteert u de kaartweergave rechtsboven en selecteert u vervolgens het pictogram in uw verzameling.

2. Voer in het deelvenster Bronnen registreren (Amazon S3) dat wordt geopend de volgende gegevens in:

   Veld	Beschrijving
   Naam	Voer een betekenisvolle naam in of gebruik de standaardwaarde.
   AWS-account-id	Voer uw AWS-account-id in. Zie Uw AWS-account-id zoeken voor meer informatie
   Een verzameling selecteren	Als u ervoor hebt gekozen om een gegevensbron te registreren vanuit een verzameling, wordt die verzameling al vermeld. Selecteer een andere verzameling als dat nodig is, Geen om geen verzameling toe te wijzen of Nieuw om nu een nieuwe verzameling te maken. Zie Gegevensbronnen beheren in Azure Purview voor meer informatie over Purview-verzamelingen.

   Wanneer u klaar bent, selecteert u Voltooien om de registratie te voltooien.

Ga door met Een scan maken voor een of meer Amazon S3-buckets.

Een scan maken voor een of meer Amazon S3-buckets

Nadat u uw buckets hebt toegevoegd als Gegevensbronnen opsviewen, kunt u een scan configureren om te worden uitgevoerd met geplande intervallen of onmiddellijk.

1. Selecteer het Gegevenstoewijzing in het linkerdeelvenster in Purview Studioen ga vervolgens op een van de volgende dingen te werk:

   • Selecteer in de kaartweergave nieuw scanpictogram in uw gegevensbronvak.
   • Beweeg in de lijstweergave de muisaanwijzer over de rij voor uw gegevensbron en selecteer Nieuwe scan Pictogram .

2. Definieer in het deelvenster Scannen... dat aan de rechterkant wordt geopend de volgende velden en selecteer vervolgens Doorgaan:

   Veld	Beschrijving
   Naam	Voer een betekenisvolle naam in voor de scan of gebruik de standaardnaam.
   Type	Wordt alleen weergegeven als u uw AWS-account hebt toegevoegd, inclusief alle buckets. De huidige opties omvatten alleen Alle > Amazon S3. Blijf op de hoogte voor meer opties om te selecteren wanneer de ondersteuningsmatrix van Purview wordt uitgebreid.
   Referentie	Selecteer een Purview-referentie met uw rol ARN. Tip: als u op dit moment een nieuwe referentie wilt maken, selecteert u Nieuw. Zie Create a Purview credential for your AWS bucket scan (Een purview-referentie maken voor uw AWS-bucketscan) voor meer informatie.
   Amazon S3	Wordt alleen weergegeven als u uw AWS-account hebt toegevoegd, inclusief alle buckets. Selecteer een of meer buckets om te scannen of Alles selecteren om alle buckets in uw account te scannen.

   Purview controleert automatisch of de role ARN geldig is, of de buckets en objecten binnen de buckets toegankelijk zijn en gaat vervolgens door als de verbinding slaagt.

   Tip

   Als u verschillende waarden wilt invoeren en de verbinding zelf wilt testen voordat u doorgaat, selecteert u Verbinding testen rechtsonder voordat u Doorgaan selecteert.

3. Selecteer in het deelvenster Bereik van uw scan de specifieke buckets of mappen die u wilt opnemen in de scan.

   Wanneer u een scan voor een volledig AWS-account maakt, kunt u specifieke buckets selecteren om te scannen. Wanneer u een scan maakt voor een specifieke AWS S3-bucket, kunt u specifieke mappen selecteren om te scannen.

4. Selecteer in het deelvenster Een scanregelset selecteren de standaardregelset AmazonS3 of selecteer Nieuwe scanregelset om een nieuwe aangepaste regelset te maken. Zodra u de regelset hebt geselecteerd, selecteert u Doorgaan.

   Als u een nieuwe aangepaste scanregelset wilt maken, gebruikt u de wizard om de volgende instellingen te definiëren:

   Deelvenster	Description
   Nieuwe regelset voor scannen / Beschrijving van scanregel	Voer een beschrijvende naam en een optionele beschrijving in voor uw regelset
   Bestandstypen selecteren	Selecteer alle bestandstypen die u wilt opnemen in de scan en selecteer vervolgens Doorgaan. Als u een nieuw bestandstype wilt toevoegen, selecteert u Nieuw bestandstype en definieert u het volgende: - De bestandsextensie die u wilt toevoegen - Een optionele beschrijving - Of de inhoud van het bestand een aangepast scheidingsteken heeft of een systeembestandstype is. Voer vervolgens uw aangepaste scheidingsteken in of selecteer uw systeembestandstype. Selecteer Maken om uw aangepaste bestandstype te maken.
   Classificatieregels selecteren	Navigeer naar en selecteer de classificatieregels die u wilt uitvoeren op uw gegevensset.

   Selecteer Maken wanneer u klaar bent om de regelset te maken.

5. Selecteer in het deelvenster Een scantrigger instellen een van de volgende opties en selecteer vervolgens Doorgaan:

   • Terugkerend om een planning voor een terugkerende scan te configureren
   • Eenmaal om een scan te configureren die onmiddellijk wordt gestart

6. Controleer in het deelvenster Uw scan controleren uw scangegevens om te controleren of ze juist zijn. Selecteer vervolgens Opslaan of Opslaan en uitvoeren als u Eenmaal hebt geselecteerd in het vorige deelvenster.

   Notitie

   Zodra het scannen is gestart, kan het tot 24 uur duren voordat het scannen is voltooid. U kunt uw Inzichtenrapporten controleren en 24 uur nadat u elke scan hebt gestart, zoeken in de catalogus.

Zie Scanresultaten verkennen voor meer informatie.

Scanresultaten van Purview verkennen

Nadat een purview-scan is voltooid voor uw Amazon S3-buckets, zoomt u in op het gebied Purview Gegevenstoewijzing om de scangeschiedenis te bekijken.

Selecteer een gegevensbron om de details ervan weer te geven en selecteer vervolgens het tabblad Scans om alle scans weer te geven die momenteel worden uitgevoerd of voltooid. Als u een AWS-account met meerdere buckets hebt toegevoegd, wordt de scangeschiedenis voor elke bucket weergegeven onder het account.

Bijvoorbeeld:

Gebruik de andere gebieden van Purview om meer te weten te komen over de inhoud in uw gegevensruimte, waaronder uw Amazon S3-buckets:

• Zoek de gegevenscatalogus Purview en filter op een specifieke bucket. Bijvoorbeeld:

  

• Bekijk Inzichtrapporten om statistieken weer te geven voor de classificatie, gevoeligheidslabels, bestandstypen en meer informatie over uw inhoud.

  Alle Purview Insight-rapporten bevatten de Amazon S3-scanresultaten, samen met de rest van de resultaten van uw Azure-gegevensbronnen. Indien relevant is er een extra Amazon S3-assettype toegevoegd aan de filteropties voor het rapport.

  Zie Understand Insights in Azure Purview (Informatie Insights in Azure Purview) voor meer informatie.

Minimale machtigingen voor uw AWS-beleid

De standaardprocedure voor het maken van een AWS-rol voor Purview die moet worden gebruikt bij het scannen van uw S3-buckets, maakt gebruik van het beleid AmazonS3ReadOnlyAccess.

Het AmazonS3ReadOnlyAccess-beleid biedt minimale machtigingen die vereist zijn voor het scannen van uw S3-buckets en kan ook andere machtigingen bevatten.

Als u alleen de minimale machtigingen wilt toepassen die nodig zijn voor het scannen van uw buckets, maakt u een nieuw beleid met de machtigingen die in de volgende secties worden vermeld, afhankelijk van of u één bucket of alle buckets in uw account wilt scannen.

Pas uw nieuwe beleid toe op de rol in plaats van AmazonS3ReadOnlyAccess.

Afzonderlijke buckets

Bij het scannen van afzonderlijke S3-buckets zijn de minimale AWS-machtigingen:

• GetBucketLocation
• GetBucketPublicAccessBlock
• GetObject
• ListBucket

Zorg ervoor dat u uw resource definieert met de naam van de specifieke bucket. Bijvoorbeeld:

{
"Version": "2012-10-17",
"Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::<bucketname>"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "arn:aws:s3::: <bucketname>/*"
        }
    ]
}

Alle buckets in uw account

Bij het scannen van alle buckets in uw AWS-account zijn de minimale AWS-machtigingen:

• GetBucketLocation
• GetBucketPublicAccessBlock
• GetObject
• ListAllMyBuckets
• ListBucket.

Zorg ervoor dat u uw resource definieert met een jokerteken. Bijvoorbeeld:

{
"Version": "2012-10-17",
"Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetBucketPublicAccessBlock",
                "s3:GetObject",
                "s3:ListAllMyBuckets",
                "s3:ListBucket"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "*"
        }
    ]
}

Volgende stappen

Meer informatie over Azure Purview Insight-rapporten: