In diesem Dokument wird beschrieben, wie Sie eine BigQuery-Tabelle auf vertrauliche Daten prüfen und die Prüfungsergebnisse an Knowledge Catalog senden. Durch diese Aktion wird dem Knowledge Catalog-Eintrag, der mit Ihrer BigQuery-Tabelle verknüpft ist, automatisch ein Aspekt hinzugefügt.
In diesem Dokument finden Sie auch Beispielabfragen, mit denen Sie Daten in Ihrer Organisation und Ihren Projekten mit bestimmten Aspektwerten finden können.
Diese Funktion ist nützlich, wenn Sie Ihre Metadaten in Knowledge Catalog mit Klassifizierungen für vertrauliche Daten aus Sensitive Data Protection-Prüfjobs anreichern möchten.
Die generierten Aspekte enthalten die folgenden Details:
- Der Name des Inspektionsjobs
- Die in der Tabelle erkannten Informationstypen (infoTypes)
Knowledge Catalog
Knowledge Catalog bietet ein einheitliches Inventar von Google Cloud Ressourcen.
Mit Knowledge Catalog können Sie Aspekte verwenden, um Ihren Daten geschäftliche und technische Metadaten hinzuzufügen und so Kontext und Wissen zu Ihren Ressourcen zu erfassen. Anschließend können Sie Daten in Ihrer Organisation suchen und ermitteln und die Datenverwaltung für Ihre Daten-Assets aktivieren. Weitere Informationen finden Sie unter Aspekte.
Funktionsweise
So erstellen Sie automatisch Knowledge Catalog-Aspekte basierend auf den Ergebnissen von Prüfaufträgen:
Prüfjob zum Prüfen einer BigQuery-Tabelle erstellen oder bearbeiten Eine Anleitung finden Sie unter BigQuery-Tabelle untersuchen.
Aktivieren Sie im Schritt Aktionen hinzufügen die Option In Dataplex Universal Catalog veröffentlichen.
Sensitive Data Protection fügt dem Knowledge Catalog-Eintrag, der der BigQuery-Tabelle zugeordnet ist, den Aspekt Sensitive Data Protection job result hinzu oder aktualisiert ihn. Anschließend können Sie im Knowledge Catalog nach allen Daten in Ihrer Organisation oder Ihrem Projekt mit bestimmten Aspektwerten suchen. Beispielabfragen finden Sie im Abschnitt Beispielhafte Suchanfragen in diesem Dokument.
Der resultierende Knowledge Catalog-Aspekt wird im selben Projekt und in derselben Region wie die BigQuery-Tabelle gespeichert.
Aspektfelder
Der Aspekt Sensitive Data Protection job result hat die folgenden Felder:
- Jobname
- Der vollständige Ressourcenname des Prüfjobs, z. B.
projects/example-project/locations/us/dlpJobs/i-8992079400000000000. - InfoType-Anzahl
- Namen der infoTypes, nach denen im Prüfjob gesucht wurde (wie in der Prüfungskonfiguration angegeben), und die Anzahl der Ergebnisse für jeden infoType.
Ein infoType ohne Ergebnisse hat den Wert
0. - Ende
- Datum und Uhrzeit, zu der der Inspektionsjob beendet wurde.
- Vollständiger Scan
- Ob beim Prüfjob alle Zeilen in der Tabelle gescannt wurden. Wenn im Inspektionsjob beispielsweise Sampling aktiviert ist, ist der Wert dieses Felds
False. - Mit Ergebnissen
- Gibt an, ob beim Inspektionsjob einer der infoTypes erkannt wurde, nach denen gesucht wurde.
Dataplex API aktivieren
Die Dataplex API muss in jedem Projekt aktiviert sein, das Daten enthält, für die Sie Aspekte hinzufügen möchten. In diesem Abschnitt wird beschrieben, wie Sie die Dataplex API in einem einzelnen Projekt oder in allen Projekten einer Organisation oder eines Ordners aktivieren.
Dataplex API in einem einzelnen Projekt aktivieren
Wählen Sie das Projekt aus, in dem Sie die Dataplex API aktivieren möchten.
-
Aktivieren Sie die Dataplex API, falls sie noch nicht aktiviert ist.
Rollen, die zum Aktivieren von APIs erforderlich sind
Zum Aktivieren von APIs benötigen Sie die Berechtigung
serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen
Dataplex API in allen Projekten einer Organisation oder eines Ordners aktivieren
In diesem Abschnitt finden Sie ein Script, mit dem alle Projekte in einer Organisation oder einem Ordner gesucht und die Dataplex API in jedem dieser Projekte aktiviert wird.
Um die Berechtigungen zu erhalten, die Sie zum Aktivieren der Dataplex API in allen Projekten in einer Organisation oder einem Ordner benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen:
- Cloud Asset Viewer (
roles/cloudasset.viewer) für die Organisation oder den Ordner - DLP-Nutzer (
roles/dlp.user) für jedes Projekt, in dem Sie die Dataplex API aktivieren möchten
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Aktivieren der Dataplex API in allen Projekten einer Organisation oder eines Ordners erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind erforderlich, um die Dataplex API in allen Projekten in einer Organisation oder einem Ordner zu aktivieren:
-
So suchen Sie nach allen Projekten in einer Organisation oder einem Ordner:
cloudasset.assets.searchAllResourcesfür die Organisation oder den Ordner -
So aktivieren Sie die Dataplex API:
serviceusage.services.usefür jedes Projekt, in dem Sie die Dataplex API aktivieren möchten
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
So aktivieren Sie die Dataplex API in allen Projekten in einer Organisation oder einem Ordner:
-
Aktivieren Sie Cloud Shell in der Google Cloud Console.
Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.
Führen Sie das folgende Skript aus:
#!/bin/bash RESOURCE_ID="RESOURCE_ID" gcloud asset search-all-resources \ --scope="RESOURCE_TYPE/$RESOURCE_ID" \ --asset-types="cloudresourcemanager.googleapis.com/Project" \ --format="value(name)" | while read project_name; do project_id=$(echo "$project_name" | sed 's|.*/||') gcloud services enable "dataplex.googleapis.com" --project="$project_id" doneErsetzen Sie Folgendes:
RESOURCE_ID: die Organisationsnummer oder Ordnernummer der Ressource, die die Projekte enthältRESOURCE_TYPE: der Typ der Ressource, die die Projekte enthält:organizationsoderfolders
Rollen und Berechtigungen zum Ansehen von Aspekten
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Tabelle zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Suchen nach Aspekten benötigen, die mit Ihrer BigQuery-Tabelle verknüpft sind:
- Dataplex Catalog-Betrachter (
roles/dataplex.catalogViewer) - BigQuery Data Viewer (
roles/bigquery.dataViewer)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Suchen nach Aspekten erforderlich sind, die mit Ihrer BigQuery-Tabelle verknüpft sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind erforderlich, um nach Aspekten zu suchen, die mit Ihrer BigQuery-Tabelle verknüpft sind:
-
Knowledge Catalog-Einträge ansehen:
-
dataplex.entries.list -
dataplex.entries.get
-
-
BigQuery-Datasets und ‑Tabellen ansehen:
-
bigquery.datasets.get -
bigquery.tables.get
-
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Weitere Informationen zu den Berechtigungen, die für die Verwendung von Knowledge Catalog erforderlich sind, finden Sie unter IAM-Berechtigungen für Knowledge Catalog.
Prüfjob für Sensitive Data Protection konfigurieren und ausführen
Sie können einen Sensitive Data Protection-Inspektionsjob mit der Google Cloud Console oder der DLP API konfigurieren und ausführen.
Console
-
Rufen Sie in der Google Cloud Console die Seite Job oder Job-Trigger erstellen auf.
- Wählen Sie Ihr Projekt aus.
- Geben Sie die erforderlichen Details für den Inspektionsjob und die Details der BigQuery-Tabelle ein, die Sie prüfen möchten. Eine Anleitung finden Sie unter BigQuery-Tabelle untersuchen. Eine vollständige Liste der Informationstypen, die von Sensitive Data Protection geprüft werden können, finden Sie in der infoType-Detektorreferenz.
- Aktivieren Sie unter Aktionen hinzufügen die Option In Dataplex Universal Catalog veröffentlichen.
- Klicken Sie auf Erstellen. Der Job wird sofort ausgeführt.
REST
Im folgenden Beispiel wird eine projects.locations.dlpJobs.create-Anfrage gesendet, um eine BigQuery-Tabelle zu prüfen und die Ergebnisse an Knowledge Catalog zu senden.
Ersetzen Sie diese Werte in den folgenden Anfragedaten:
-
PROJECT_ID: Projekt-ID in Google Cloud . Projekt-IDs sind alphanumerische Strings. -
LOCATION: die Region oder Multiregion, in der Sie die Anfrage verarbeiten möchten, z. B.europe-west1oderus. Eine Liste der verfügbaren Standorte finden Sie unter Sensitive Data Protection-Standorte. -
BIGQUERY_DATASET_NAME: Name des BigQuery-Datasets, das die zu untersuchende Tabelle enthält -
BIGQUERY_TABLE_NAME: Name der BigQuery-Tabelle, die geprüft werden soll
HTTP-Methode und URL:
POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dlpJobs
JSON-Text anfordern:
{
"inspectJob":
{
"storageConfig":
{
"bigQueryOptions":
{
"tableReference":
{
"projectId": "PROJECT_ID",
"datasetId": "BIGQUERY_DATASET_NAME",
"tableId": "BIGQUERY_TABLE_NAME"
}
}
},
"inspectConfig":
{
"infoTypes":
[
{
"name": "EMAIL_ADDRESS"
},
{
"name": "PERSON_NAME"
},
{
"name": "US_SOCIAL_SECURITY_NUMBER"
},
{
"name": "PHONE_NUMBER"
}
],
"includeQuote": true,
"minLikelihood": "UNLIKELY",
"limits":
{
"maxFindingsPerRequest": 100
}
},
"actions":
[
{
"publishFindingsToDataplexCatalog": {}
}
]
}
}
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:
{
"name": "projects/PROJECT_ID/locations/LOCATION/dlpJobs/JOB_ID",
"type": "INSPECT_JOB",
"state": "PENDING",
"inspectDetails": {
"requestedOptions": {
"snapshotInspectTemplate": {},
"jobConfig": {
"storageConfig": {
"bigQueryOptions": {
"tableReference": {
"projectId": "PROJECT_ID",
"datasetId": "BIGQUERY_DATASET_NAME",
"tableId": "BIGQUERY_TABLE_NAME"
}
}
},
"inspectConfig": {
"infoTypes": [
{
"name": "EMAIL_ADDRESS"
},
{
"name": "PERSON_NAME"
},
{
"name": "US_SOCIAL_SECURITY_NUMBER"
},
{
"name": "PHONE_NUMBER"
}
],
"minLikelihood": "UNLIKELY",
"limits": {
"maxFindingsPerRequest": 100
},
"includeQuote": true
},
"actions": [
{
"publishFindingsToDataplexCatalog": {}
}
]
}
},
"result": {}
},
"createTime": "2025-09-09T00:29:55.951374Z",
"lastModified": "2025-09-09T00:29:58.022967Z"
}
Informationen zum Abrufen der Ergebnisse von Inspektionsjobs mit der DLP API finden Sie unter Job abrufen.
Beispiele für Suchanfragen
In diesem Abschnitt finden Sie Beispielsuchanfragen, mit denen Sie im Knowledge Catalog Daten in Ihrer Organisation oder Ihrem Projekt mit bestimmten Aspektwerten finden können.
Sie können nur auf die Daten zugreifen, für die Sie eine Berechtigung haben. Der Datenzugriff wird über IAM-Berechtigungen gesteuert. Weitere Informationen finden Sie in diesem Dokument unter Rollen und Berechtigungen zum Ansehen von Aspekten.
Sie können diese Beispielanfragen auf der Seite Suchen im Knowledge Catalog in das Feld Suchen eingeben.
Informationen zum Erstellen der Abfragen finden Sie unter Suchsyntax für Knowledge Catalog.
Einträge aller Tabellen mit dem Aspekt „Sensitive Data Protection-Job-Ergebnis“ finden
aspect:sensitive-data-protection-job-result
Einträge der geprüften Tabellen mit Ergebnissen finden
aspect:sensitive-data-protection-job-result.hasFindings=True
Einträge der geprüften Tabellen ohne Ergebnisse finden
aspect:sensitive-data-protection-job-result.hasFindings=False
Einträge von Tabellen finden, die vollständig geprüft wurden
Die folgende Abfrage gibt die Einträge von Tabellen zurück, die von Sensitive Data Protection zeilenweise geprüft wurden.
aspect:sensitive-data-protection-job-result.isFullScan=True
Einträge von Tabellen finden, die nicht vollständig geprüft wurden
Die folgende Abfrage gibt die Einträge von Tabellen zurück, die von Sensitive Data Protection durch Stichproben untersucht wurden.
aspect:sensitive-data-protection-job-result.isFullScan=False
Zur Aktion „In Dataplex Universal Catalog veröffentlichen“ migrieren
So migrieren Sie einen Jobtrigger, der für die Verwendung der eingestellten Aktion In Data Catalog veröffentlichen konfiguriert ist:
- Bearbeiten Sie den Job-Trigger, der so konfiguriert ist, dass die Prüfungsergebnisse in Data Catalog veröffentlicht werden. Informationen zum Öffnen und Bearbeiten eines Job-Triggers finden Sie unter Vorhandenen Job-Trigger aktualisieren.
- Deaktivieren Sie im Bereich Aktionen die Option In Data Catalog veröffentlichen.
- Aktivieren Sie In Dataplex Universal Catalog veröffentlichen.
- Klicken Sie auf Speichern.