📚 课程目录第3章数据敏感度标签与保护策略

3. 数据敏感度标签与保护策略

敏感度标签（Sensitivity Label）是 Microsoft Purview 信息保护体系的核心构件。它不同于“敏感信息类型”（SIT）——SIT 负责识别内容里“有什么”，而敏感度标签负责定义“这份数据有多重要、被谁以何种方式使用”。标签一旦发布，就会成为可被用户、Office 应用、Power BI、SQL 数据库乃至第三方系统共同识别的策略载体，从而把分类结果转化为可执行的保护动作。

理解标签的关键在于它的三层结构：标签本身（名称、颜色、工具提示）、保护设置（加密、内容标记、终结点 DLP 等）、作用范围（发布给哪些用户与组、应用到哪些工作负载）。本节围绕“创建—配置—应用”这条主线展开，重点讲清加密与内容标记的配置逻辑，以及标签如何真正落到文件和数据库上。

一、创建敏感度标签：从分类体系到可发布对象

在 Purview 门户的“信息保护 → 敏感度标签”中新建标签。设计标签体系时，建议先确定一套稳定的分级，例如：

公开（Public）：可对外发布，无保护。
内部（Internal）：仅限组织内部，默认不加密。
机密（Confidential）：含业务敏感信息，需加密并限制外发。
高度机密（Highly Confidential）：含个人隐私、财务或核心知识产权，强加密 + 严格权限。

创建标签时需填写名称、显示名称、工具提示和颜色。工具提示会直接显示在 Office 应用的标签栏中，是引导用户正确选择的重要提示，例如“适用于含客户姓名、身份证号的文件，仅限项目组访问”。标签支持子标签，如“机密 → 财务”“机密 → 人力资源”，便于在同一保护级别下细分权限范围。

标签创建后并不会立即生效，必须通过标签策略发布给用户或组。策略中可设置默认标签、是否强制用户手动选择、是否要求用户说明降级理由等。发布后，标签才会出现在 Word、Excel、PowerPoint、Outlook 以及 Purview 支持的其它客户端中。

二、配置加密：权限如何随文件走

加密是敏感度标签最核心的保护能力。在标签配置向导的“加密”步骤中，选择“立即配置加密”，然后定义权限。加密的本质是把 Azure Rights Management（Azure RMS）保护嵌入文件本身，使文件离开组织边界后仍受控。

配置加密时需要明确三件事：

谁可以访问：可指定用户、组或“所有已认证用户”。
拥有什么权限：查看、编辑、复制、打印、转发、完全控制等。
权限持续多久：可设置内容过期时间，例如 90 天后自动失效。

一个常见的“机密”标签配置示例如下：

标签：机密 - 财务
加密：启用
权限分配：
  - 财务部全体成员：查看、编辑、复制、打印
  - 财务经理组：完全控制
  - 其他用户：无权限
内容过期：创建后 180 天
离线访问：7 天

这里有一个容易被忽略的细节：“其他用户：无权限”意味着即使文件被转发到组织外部，接收者也无法打开。这正是“权限随文件走”的价值。若希望外部合作方也能查看，可改为“所有已认证用户：仅查看”，或通过“用户自定义权限”允许用户在受控范围内临时授权。

加密标签与 Azure RMS 绑定。若租户尚未激活 RMS，需先在 Purview 或 Microsoft 365 合规中心完成激活，否则加密选项不可用。

三、内容标记：让保护可见、可追溯

内容标记（Content Marking）包括页眉、页脚和水印。它不改变访问权限，但能让用户和审计人员一眼看出文件的敏感级别，同时起到威慑作用。配置时需指定标记文本、字体、字号、颜色和对齐方式。

例如，为“高度机密”标签配置：

页眉：文本“高度机密 - 禁止外传”，居中，红色，12pt。
页脚：文本“© 2025 Contoso 财务部”，右对齐，灰色，9pt。
水印：文本“高度机密”，斜向，半透明，仅应用于 Word 和 PowerPoint。

内容标记支持变量，如 {Item.Label}、{Item.Name}、{User.Name}，可动态显示标签名、文件名和用户名。需要注意的是，水印在 Excel 中支持有限，且内容标记不会自动应用到已存在的旧文件，除非用户重新保存或通过自动标记策略处理。

四、将标签应用于文件与数据库

标签的落地方式因工作负载而异。对于 Office 文件，用户可在“开始 → 敏感度”中手动选择标签，也可由 Purview 自动标记策略根据 SIT 检测结果自动打标。例如，检测到文件包含“信用卡号”SIT 时，自动应用“机密 - 财务”标签并加密。

对于数据库，情况更复杂。Azure SQL 数据库、SQL Server 和 Synapse 通过 SQL 信息保护 将敏感度标签应用到列级别。管理员可在 Purview 中定义标签后，在数据库端使用 sys.sensitivity_classifications 或 SSMS 的“敏感度分类”界面为列打标。示例：

-- 在 Azure SQL 中为列添加敏感度标签（示例）
ADD SENSITIVITY CLASSIFICATION TO
    dbo.Customers.CreditCardNumber
WITH (LABEL = 'Confidential - Financial',
      INFORMATION_TYPE = 'Credit Card Number',
      RANK = 'High');

数据库列标签本身不加密数据，但它让审计、报表和下游工具能够识别敏感列，并与 Purview 数据地图中的分类结果对齐。若需真正加密数据库中的敏感列，应结合 Always Encrypted、动态数据掩码或 TDE 等数据库原生能力，标签负责“标识与治理”，加密负责“技术防护”，两者互补而非替代。

五、验证与常见判断依据

标签发布后，如何确认它真的生效？可以从三个层面验证：

客户端层面：在 Word 中新建文件，查看“敏感度”栏是否出现已发布的标签；选择“机密 - 财务”后保存，检查页眉是否出现标记文本。
权限层面：将加密文件发送给无权限用户，对方应收到“无法打开，您没有权限”的提示；使用有权限账号打开则正常。
审计层面：在 Purview 的“活动资源管理器”中查看标签活动，确认“已应用标签”“已更改标签”等事件被记录。

自动标记策略不会追溯处理所有历史文件。若需对存量数据批量打标，应结合 Purview 的“数据映射 + 自动标记”或使用 PowerShell 的 Set-AIPFileLabel 对指定库批量操作，并先在小范围验证再推广。

最后需要强调：敏感度标签不是一次性配置，而是持续运营的对象。随着业务变化，标签体系、权限组和自动标记规则都需要定期复核。建议每季度检查一次标签使用率、加密文件打开失败率和自动标记命中率，确保保护策略既不过松导致泄露，也不过紧影响正常协作。