Agenti di servizio Sensitive Data Protection

Questa pagina descrive gli agenti di servizio pertinenti a Sensitive Data Protection.

Agenti di servizio

I service agent sono service account creati e gestiti da Google. Gli agenti di servizio fungono da identità per i servizi Google Cloud per accedere alle risorse all'interno del tuo progetto per tuo conto.

Gli agenti di servizio vengono creati a un certo punto dopo l'attivazione e l'utilizzo di un'API Google Cloud . Al momento della creazione, Google spesso concede un ruolo IAM specifico e predefinito all'agente di servizio del tuo progetto. Questi ruoli contengono le autorizzazioni minime necessarie per il corretto funzionamento del service agent. Per un elenco completo degli agenti di servizio a cui vengono concessi i ruoli, consulta Agenti di servizio nella documentazione di IAM.

Per accedere a entrambe le risorse Google Cloud ed effettuare chiamate a Sensitive Data Protection, quest'ultima utilizza le credenziali del service agent Cloud Data Loss Prevention per l'autenticazione ad altre API. Un agente di servizio è un tipo speciale di account di servizio che esegue processi interni di Google per tuo conto. L'agente di servizio è identificabile dal seguente indirizzo email:

[e-mail]

L'agente di servizio Cloud Data Loss Prevention viene creato quando è necessario per la prima volta. Puoi crearlo in anticipo chiamando InspectContent:

curl --request POST \
  "https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/us-central1/content:inspect" \
  --header "X-Goog-User-Project: PROJECT_ID" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --data '{"item":{"value":"[e-mail]"}}' \
  --compressed

Sostituisci PROJECT_ID con l'ID progetto.

Al service agent Cloud Data Loss Prevention vengono concesse automaticamente le autorizzazioni comuni sul progetto necessarie per l'ispezione delle risorse ed è elencato nella sezione Identity and Access Management della console Google Cloud . L'agente di servizio esiste per tutta la durata del progetto e viene eliminato solo quando il progetto viene eliminato. Sensitive Data Protection si basa su questo agente di servizio, quindi non rimuoverlo.

Nota: se utilizzi Sensitive Data Protection per analizzare le risorse critiche, ad esempio quelle protette da ruoli Identity and Access Management personalizzati aggiuntivi, assegna questi ruoli IAM aggiuntivi all'agente di servizio Cloud Data Loss Prevention. Ad esempio, se vuoi utilizzare Sensitive Data Protection per ispezionare i file in Google Cloud che sono limitati solo a un sottoinsieme di persone, concedi il ruolo appropriato al service agent Cloud Data Loss Prevention.

Avviso: se rimuovi il service agent Cloud Data Loss Prevention o revochi i suoi ruoli, tutti i job, i trigger dei job e le operazioni di rilevamento che lo utilizzano non vanno a buon fine.

Per saperne di più sul service agent di Cloud Data Loss Prevention nelle operazioni di rilevamento, consulta Contenitore del service agent e service agent.

Passaggi successivi

• Per saperne di più sui service account, consulta la panoramica dei service account nella documentazione IAM.
• Per saperne di più sui service agent, consulta la sezione Service agent nella documentazione di IAM.
• Per scoprire come utilizzare i service account in modo sicuro, consulta Best practice per l'utilizzo dei service account in modo sicuro nella documentazione IAM.
• Scopri di più su come il servizio di rilevamento di dati sensibili utilizza i service agent container e i service agent per profilare le tue risorse di dati.