Azure Fundamentals · 课时

Azure 上的 GDPR

Q: 「Azure 上的 GDPR」这节课中我会学到什么？

在 Azure 上实施 GDPR 要求的技术措施，包括数据驻留、静态和传输中加密、删除权以及数据泄露通知。 你通过在浏览器中直接运行的动手代码来练习 Azure Fundamentals，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

在 Azure 上实施 GDPR 要求的技术措施，包括数据驻留、静态和传输中加密、删除权以及数据泄露通知。

Azure 上的 GDPR 是 CoddyKit 上的免费 Azure Fundamentals 课时。这是第 4 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 Azure Fundamentals 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Azure Fundamentals 课程共包含 4 节课。

什么是 GDPR

通用数据保护条例（GDPR）是欧盟的一项法规，用于规范如何收集、存储、处理和保护欧盟居民的个人数据。它适用于全球任何处理欧盟人员个人数据的组织，而不仅限于位于欧洲的公司。违反 GDPR 可能会被处以最高2000 万欧元或全球年度收入的 4%的罚款，取其中较高者。

GDPR 的关键原则

GDPR 建立在六项数据保护原则之上，这些原则必须应用于所有个人数据处理活动：

合法性、公平性和透明度 — 为数据处理提供法律依据
目的限制 — 仅为明确指定的目的收集数据
数据最小化 — 仅收集必要的数据
准确性 — 保持数据最新
存储限制 — 不再需要时删除数据
完整性和保密性 — 保护数据免受未经授权的访问

Azure 上符合 GDPR 的数据驻留

GDPR 要求，欧盟居民的个人数据不得传输到欧盟以外的国家，除非已采取充分的保护措施。在 Azure 上，请确保处理欧盟个人数据的资源部署在欧洲区域（例如西欧、北欧、德国中西部）。Azure 的区域配对机制可确保数据留在同一地理区域内。此外，除非已采取传输保护措施（标准合同条款），否则请禁用向非欧盟区域进行地域复制。

# Deploy resources in EU regions to ensure data residency:
az group create \
  --name myEURG \
  --location westeurope

# For Azure SQL, confirm geo-replication secondary is also in EU:
az sql db replica create \
  --server mySqlServer \
  --name myDB \
  --partner-server myEUSecondaryServer \
  --partner-resource-group secondaryEURG

符合 GDPR 的加密

GDPR 的完整性和保密性原则要求采取适当的技术措施，其中包括加密。在 Azure 上：

静态加密 — 所有 Azure 存储（Blob、SQL、Cosmos DB）默认使用 AES-256 对静态数据进行加密
传输中加密 — 对所有通信强制使用 HTTPS/TLS；禁用 HTTP 终结点
客户管理的密钥 — 如需更高程度的控制，请使用 Azure Key Vault 管理您自己的加密密钥，而不要依赖 Microsoft 管理的密钥

# Enforce HTTPS only on a web app:
az webapp update \
  --resource-group myRG \
  --name myWebApp \
  --https-only true

# Create a storage account with customer-managed key encryption:
az storage account create \
  --resource-group myRG \
  --name mystorageaccount \
  --encryption-key-source Microsoft.Keyvault \
  --encryption-key-vault https://myKeyVault.vault.azure.net/

删除权（被遗忘权）

根据 GDPR 第 17 条，个人拥有删除权（也称“被遗忘权”），即请求删除其个人数据的权利。您的应用程序必须支持这一权利：根据请求，在所有 Azure 服务（SQL Database、Blob Storage、Cosmos DB、Log Analytics 等）中查找某个用户的全部个人数据并将其删除。Microsoft Purview 数据映射可以帮助您确定个人数据的存储位置。

# Example: delete a user's data from Azure SQL Database
# Application handles this via a stored procedure or API endpoint
# DELETE FROM users WHERE user_id = 'data-subject-id';
# DELETE FROM orders WHERE customer_id = 'data-subject-id';
# DELETE FROM audit_log WHERE user_id = 'data-subject-id';
# Also purge from Log Analytics: use Azure Monitor data export + purge API

数据可携权

GDPR 第 20 条赋予个人数据可携权，即以结构化、常用且机器可读的格式（例如 JSON 或 CSV）接收其个人数据，并将其传输给另一名控制者的权利。您的应用程序必须能够根据请求导出与用户相关的所有个人数据。Azure Data Factory 等 Azure 服务可以自动提取和打包个人数据，以满足可携性请求。

数据泄露通知要求

GDPR 第 33 条要求，涉及个人数据的数据泄露事件必须在知悉泄露事件后的72 小时内报告给相关监管机构（DPA）。第 34 条要求，如果泄露事件会对个人权利造成高风险，还必须通知受影响的个人。在 Azure 上，Microsoft Defender for Cloud 和 Microsoft Sentinel 可帮助快速检测泄露事件，而记录完备的事件响应流程则可确保满足 72 小时的通知期限。

Microsoft 数据保护附录

使用 Azure 处理欧盟个人数据时，Microsoft 充当数据处理者，您的组织则是数据控制者。Microsoft 的数据保护附录（DPA）是管理 Microsoft 如何代表您处理个人数据的合同协议。DPA 通过引用纳入 Microsoft 客户协议，并满足 GDPR 对控制者与处理者之间签订书面协议的要求。

访问控制和最小权限

GDPR 的访问控制要求意味着只有获得授权的人员才能访问个人数据。请根据最小权限原则实施 Azure RBAC——仅授予用户完成工作所需的特定权限，而不是范围过大的管理员访问权限。请使用特权身份管理（PIM）为包含个人数据的数据库提供即时访问，并在Azure Monitor 中记录所有敏感数据访问，以便进行审计。

数据保留与自动删除

GDPR 的存储限制原则要求，个人数据的保留时间不得超过必要期限。请实施 Azure Blob Storage 生命周期管理策略，以便在指定的保留期限后自动移动或删除数据。对于数据库，请安排自动运行的存储过程，清除早于保留策略期限的记录。请在记录保留策略中记录数据保留计划，并使用 Azure Policy 强制执行该策略。

# Blob Storage lifecycle policy to delete after 365 days:
az storage account management-policy create \
  --account-name mystorageaccount \
  --resource-group myRG \
  --policy '{
    "rules": [{
      "name": "deleteAfterYear",
      "type": "Lifecycle",
      "definition": {
        "actions": {"baseBlob": {"delete": {"daysAfterModificationGreaterThan": 365}}},
        "filters": {"blobTypes": ["blockBlob"]}
      }
    }]
  }'

DPIA：数据保护影响评估

对于高风险的个人数据处理活动，GDPR 第 35 条要求在开始处理之前进行数据保护影响评估（DPIA）。DPIA 会系统地分析处理活动，识别对个人权利的风险，并记录已采取的缓解措施。Azure 的威胁建模工具和 Purview 的数据分类结果可以为 DPIA 提供有价值的输入。

快速检查

请测试您对本课中 Microsoft Azure 基础知识（AZ-900）概念的理解。

课程回顾

在本课中，您学习了以下内容：GDPR 适用于所有处理欧盟居民个人数据的组织，并要求进行合法处理、实施安全控制措施以及通报数据泄露事件；关键技术措施包括将数据存储在欧盟区域、对静态数据和传输中的数据进行加密以及自动执行保留策略；Microsoft 的数据保护附录规定了 Azure 作为数据处理者处理您个人数据的方式。接下来，我们将探索面向企业迁移的 Cloud Adoption Framework。

常见问题解答

「Azure 上的 GDPR」课时是免费的吗？

是的 — 「Azure 上的 GDPR」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Azure Fundamentals 课程的其余内容，请升级到 CoddyKit PRO。 Azure Fundamentals 课程共包含 4 节课。

「Azure 上的 GDPR」这节课中我会学到什么？

在 Azure 上实施 GDPR 要求的技术措施，包括数据驻留、静态和传输中加密、删除权以及数据泄露通知。你通过在浏览器中直接运行的动手代码来练习 Azure Fundamentals，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Azure Fundamentals 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Azure Fundamentals 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 4 节课，共 4 节。

「Azure 上的 GDPR」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Azure Fundamentals 课中编写并运行代码吗？

能。每节 Azure Fundamentals 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 Azure Fundamentals