保護靜態資料

Cloud Monitoring 會使用Google-owned and Google-managed encryption keys加密所有靜態資料，瞭解客戶中繼資料的儲存位置，有助於防止機密資料外洩，並符合資料安全性法規遵循要求。由於 Monitoring 不支援客戶自行管理的加密金鑰 (CMEK)，因此本文將說明機密資料可能進入指標和設定的位置，以及如何模糊處理或稽核這些資料。

靜態資料加密

Cloud Monitoring 中的所有靜態資料都會使用Google-owned and Google-managed encryption keys加密。 詳情請參閱「預設靜態資料加密」。 Cloud Monitoring 不支援使用客戶自行管理的加密金鑰 (CMEK) 保護靜態資料。根據預設，Monitoring 不會儲存機密資料，也不適合用於個人識別資訊 (PII) 或其他私人客戶內容。您可以使用 Monitoring 儲存匯總、無法識別的使用者活動資料，或以事件為準的二階匯總資訊，例如要求數量和其他類似指標。

不過，您可能會在 Monitoring 的某些位置不小心插入敏感的客戶資料。Cloud Monitoring 會儲存中繼資料和資源標籤，因此當您命名設定或執行中繼資料動作 (例如標記資源、註解執行個體，或使用 Google Kubernetes Engine 中的自訂資源定義 (CRD) 儲存自訂資源) 時，客戶資料可能會進入 Monitoring。

本文件其餘部分會說明可能插入這類資料的時間點，以及如何尋找這類資料的擷取。

可能的插入點

下表說明機密資料可能傳送至 Cloud Monitoring 的時間點。

	Google 生成的資料 例如系統定義的指標 和內建資訊主頁	客戶產生的資料 例如自訂或記錄指標 和自訂資訊主頁
資源標籤	衍生自客戶資料的值 (例如 VM 執行個體名稱)，或與客戶資料無關的值 (例如專案編號)	含有機密資料的值，例如尚未發布的硬體名稱
指標標籤	衍生自客戶資料的值 (例如 VM 執行個體名稱)，或與客戶資料無關的值 (例如專案編號)	金鑰，例如顯示軟體的特定維度存在 含有機密資料的值，例如尚未發布的硬體名稱
時間序列中的資料點	無法採取任何行動，也無法遮蔽	如果應用程式刻意收集敏感客戶資料，使用者定義指標 (自訂和記錄指標) 中的時間序列可能會包含這類資料。
指標描述元	無法採取任何行動，也無法遮蔽	顯示名稱 說明 標籤鍵，例如顯示軟體的特定維度是否存在
警告政策	無法採取任何行動，也無法遮蔽	政策和內嵌條件的顯示名稱 標籤鍵和值，用於將警告篩選至特定時間序列 以文件形式提供的資訊 如果您的政策是以服務水準目標為依據，設定可能包括： 顯示名稱 使用者指定的標籤鍵和值
資訊主頁	無法採取任何行動，也無法遮蔽	顯示名稱 資訊主頁項目中的文字 篩選器和其他查詢維度，用於選取資訊主頁上圖表和其他項目的時間序列資料
通知管道	無法採取任何行動；無法遮蔽	顯示名稱 說明 用於定義管道的標籤和值
資源群組	無法採取任何行動，也無法遮蔽	顯示名稱 用於指定群組成員資格的篩選器
運作時間檢查	無法採取任何行動，也無法遮蔽	顯示名稱 IP 位址和路徑 任何選用的內容比對器字串
指標範圍	不適用	僅限中繼資料

保護機密中繼資料

如果您希望所有資料都受到 CMEK 保護，請勿將機密資訊放入 Google Cloud中的資源設定或中繼資料。如果必須在資源設定、資源中繼資料或標籤值中使用機密資料，建議您在 Google Cloud 中使用模糊 ID，並在 Google Cloud外部使用對應表，藉此保護機密資料。

重要事項： 無法遮蓋運作時間檢查中使用的 IP 位址、路徑和內容比對器字串。

如果您將機密時間序列資料傳送至 Monitoring，確保資料刪除的唯一方法是刪除Google Cloud 專案。否則，時間序列資料只有在達到資料保留上限後才會刪除，使用者定義指標的上限為 24 個月。

檢查資料以確保符合法規

您可以在 Cloud Monitoring 中手動檢查資料，確保資料符合安全性標準。

設定資料

為確保警告政策等設定構件中使用的標籤和篩選器已正確遮蓋，您可以擷取並檢查設定資料。檢查下列項目：

• 警告政策，如「列出及取得警告政策」所述。依據服務水準目標設定的警告政策，會包含參照 SLO 的篩選器，例如：

  filter: select_slo_burn_rate("projects/PROJECT_NUMBER/services/SERVICE_ID/serviceLevelObjectives/SLO_ID")
  

  您可以將篩選器中 SLO 的完整名稱提供給 serviceLevelObjectives.get 方法，藉此擷取 SLO 的設定。

• 通知管道，如「列出專案中的通知管道」所述。

• 運作時間檢查設定，如「管理運作時間檢查」所述。

• 自訂資訊主頁，如「列出資訊主頁」所述。

• 資源群組：使用 groups.list 方法。

指標資料

如要檢查指標資料，您必須同時考量使用者定義指標的指標描述元，以及針對這些描述元寫入的時間序列資料。

指標描述元

為確保任何指標描述元中的顯示名稱、說明和標籤鍵都已正確遮蓋，請按照「列出指標描述元」中的說明檢查描述元。

• 如要搜尋自訂指標，請使用以下篩選器： metric.type = starts_with("custom.googleapis.com")

• 如要搜尋記錄指標，請使用下列篩選器： metric.type = starts_with("logging.googleapis.com/user")

時間序列資料

為確保時間序列資料本身已妥善遮蓋，請擷取時間序列資料，並檢查指標和資源標籤的值，以及其他儲存的資料。請特別留意自訂指標或記錄指標收集的時間序列資料。如要瞭解如何擷取時間序列資料，請參閱「擷取時間序列資料」。