根據資料剖析的洞察資訊新增 Knowledge Catalog 切面

本頁面說明如何在 Sensitive Data Protection 剖析資源後，自動將 Knowledge Catalog 切面新增至資料。這個頁面也提供查詢範例，可用於在整個組織和專案中，尋找具有特定切面值的資料。

如果您想使用從 Sensitive Data Protection 資料剖析收集到的深入分析，充實 Knowledge Catalog 中的中繼資料，這項功能就非常實用。生成的面向包含下列洞察資訊：

  • 資料表或資料集的計算敏感度等級
  • 資料表或資料集的資料風險等級
  • 在資料表或資料集中偵測到的資訊類型 (infoTypes)

您可以運用 Sensitive Data Protection 資料剖析檔的洞察資訊，透過 Knowledge Catalog 探索貴機構中的機密和高風險資料。您可以依據這些洞察資料，制定明智的資料管理和控管決策。

關於資料剖析檔

您可以設定 Sensitive Data Protection，自動產生組織、資料夾或專案中資料的剖析檔。資料剖析檔包含資料的指標和中繼資料，可協助您判斷機密和高風險資料的存放位置。Sensitive Data Protection 會以不同詳細程度回報這些指標。

您可以將資料剖析檔傳送至其他 Google Cloud 服務，例如 Knowledge Catalog、Pub/Sub、Security Command Center 和 Google Security Operations，強化資料治理、警告和安全防護工作流程。

關於 Knowledge Catalog

Knowledge Catalog 提供統一的 Google Cloud 資源目錄。

您可以使用 Knowledge Catalog 的切面，在資料中新增業務和技術中繼資料，擷取資源的脈絡和相關知識。接著，您可以在整個組織中搜尋及探索資料，並對資料資產啟用資料治理。詳情請參閱「切面」。

支援的資源

Sensitive Data Protection 可自動將切面附加至下列資源的 Knowledge Catalog 項目：

Knowledge Catalog 不會擷取 Cloud Storage bucket，因此在剖析 Cloud Storage 資料時無法使用這項功能。

運作方式

根據資料剖析檔自動建立 Knowledge Catalog 切面的高階工作流程如下：

  1. 為支援的資源類型建立或編輯掃描設定。

  2. 在「Add actions」(新增動作) 步驟中，確認已啟用「Send to Dataplex Catalog as aspects」(傳送至 Dataplex Catalog 做為切面) 動作。

    建立掃描設定時，系統預設會啟用這項動作。

    如果您要編輯掃描設定，請啟用這項動作。

針對您剖析的每個支援資源，Sensitive Data Protection 會新增或更新 Knowledge Catalog 項目的 Sensitive Data Protection profile 切面。接著，您可以在 Knowledge Catalog 中，搜尋組織或專案內所有具有特定切面值的資料。

啟用「傳送至 Dataplex Catalog 做為切面」動作後，Sensitive Data Protection 只會將這項動作套用至新的和更新的設定檔。如果現有設定檔未更新，系統就不會傳送至 Knowledge Catalog。

頂層欄位

剖析資料表後產生的層面可能包含下列頂層欄位：

顯示名稱 範例值 說明
Sensitivity MODERATE 資料表的計算機密程度
Risk MODERATE 資料表的計算資料風險等級
InfoTypes
  • infoType：CREDIT_CARD_NUMBER
  • infoType：PHONE_NUMBER
  • infoType：US_SOCIAL_SECURITY_NUMBER
 資料表中所有 infoType 的清單，包括預測的 infoType 和其他 infoType。如果資料表中偵測到至少一個 infoType，就會包含這個欄位。
Column InfoTypes
  • infoType：CREDIT_CARD_NUMBER
  • infoType：PHONE_NUMBER
 資料表所有資料欄中找到的所有預測 infoType 清單。如果系統在資料表中偵測到至少一個預測的 infoType，就會納入這個欄位。
Project Profile 請參閱本頁的「專案設定檔和組織設定檔」一節。 如果資源是透過專案層級掃描設定建立設定檔，則會包含這項資訊。
Organization Profile 請參閱本頁的「專案設定檔和組織設定檔」。 如果資源是透過機構或資料夾層級的掃描設定進行剖析，就會納入其中。

如果資源同時在專案層級和組織或資料夾層級剖析，Sensitive Data Protection 會彙整這兩個設定檔的值。該面向會提供偵測到的 infoType 聯集，並使用兩個剖析檔中最高的機密程度和資料風險評等。

舉例來說，假設專案層級設定檔將資源的機密程度評為 MODERATE，而機構層級設定檔則評為 LOW。在本例中，該層面頂層 Sensitivity 欄位的值為 MODERATE。

專案簡介和機構簡介欄位

視資源的剖析層級而定，產生的 Sensitive Data Protection profile 方面會包含下列一或多個頂層欄位：

Project Profile
如果資源是透過專案層級掃描設定剖析，則會包含在切面中
Organization Profile
如果資源是透過組織層級或資料夾層級的掃描設定剖析，則會包含在切面中

如果資源在專案層級和組織或資料夾層級都經過剖析，則產生的切面會同時包含 Project Profile 和 Organization Profile 欄位。

每個 Project Profile 或 Organization Profile 欄位都包含巢狀 Sensitivity 和 Risk 欄位，以及資料設定檔中列出的值。如果資料剖析包含預測的 infoType 和其他 infoType，這些也會以巢狀 Column InfoTypes 和 InfoTypes 欄位提供。此外，每個 Project Profile 或 Organization Profile 欄位都包含下列巢狀欄位：

Profile

資料設定檔的完整資源名稱。範例：

  • 專案層級設定檔：projects/PROJECT_ID/locations/LOCATION/tableDataProfiles/PROFILE_ID
  • 組織層級或資料夾層級設定檔：organizations/ORGANIZATION_ID/locations/LOCATION/tableDataProfiles/PROFILE_ID
Profile Link

Google Cloud 控制台中的設定檔連結。範例：

  • 專案層級設定檔：https://console.cloud.google.com/security/sensitive-data-protection/projects/PROJECT_ID/locations/LOCATION/tableDataProfiles/PROFILE_ID
  • 組織層級或資料夾層級設定檔：https://console.cloud.google.com/security/sensitive-data-protection/organizations/ORGANIZATION_ID/locations/LOCATION/tableDataProfiles/PROFILE_ID

啟用 Dataplex API

您必須在每個包含要新增層面資料的專案中啟用 Dataplex API。本節說明如何在單一專案或組織或資料夾中的所有專案啟用 Dataplex API。

在單一專案中啟用 Dataplex API

  1. 選取要啟用 Dataplex API 的專案。

    前往專案選取器

  2. 如果尚未啟用，請啟用 Dataplex API。

    啟用 API 時所需的角色

    如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

    啟用 API

在機構或資料夾的所有專案中啟用 Dataplex API

本節提供的指令碼會搜尋組織或資料夾中的所有專案，並在各專案啟用 Dataplex API。

如要取得在組織或資料夾的所有專案中啟用 Dataplex API 所需的權限，請要求管理員授予您下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這些預先定義的角色具備在組織或資料夾的所有專案中啟用 Dataplex API 的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

如要在組織或資料夾的所有專案中啟用 Dataplex API，必須具備下列權限：

  • 如要搜尋組織或資料夾中的所有專案： cloudasset.assets.searchAllResources 組織或資料夾
  • 如要啟用 Dataplex API： serviceusage.services.use 在要啟用 Dataplex API 的各項專案中

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

如要在機構或資料夾的所有專案中啟用 Dataplex API，請按照下列步驟操作：

  1. 在 Google Cloud 控制台中啟用 Cloud Shell。

    啟用 Cloud Shell

    Google Cloud 控制台底部會開啟 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已設定適用於您目前專案的值。工作階段可能要幾秒鐘的時間才能初始化。

  2. 執行下列指令碼：

    #!/bin/bash

RESOURCE_ID="RESOURCE_ID"

gcloud asset search-all-resources \
    --scope="RESOURCE_TYPE/$RESOURCE_ID" \
    --asset-types="cloudresourcemanager.googleapis.com/Project" \
    --format="value(name)" |
    while read project_name; do
      project_id=$(echo "$project_name" | sed 's|.*/||')
      gcloud services enable "dataplex.googleapis.com" --project="$project_id"
    done

    更改下列內容：

    • RESOURCE_ID：包含專案的資源組織編號或資料夾編號
    • RESOURCE_TYPE：包含專案的資源類型，例如 organizations 或 folders

查看各個層面的角色和權限

如要取得搜尋資源相關切面所需的權限，請要求管理員授予您下列資源 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這些預先定義的角色具備必要權限，可搜尋與資源相關聯的切面。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

所需權限

必須具備下列權限，才能搜尋與資源相關聯的切面：

  • 查看 Knowledge Catalog 項目：
    • dataplex.entries.list
    • dataplex.entries.get
  • 查看 BigQuery 資料集和資料表：
    • bigquery.datasets.get
    • bigquery.tables.get
  • 查看 Vertex AI 資料集：aiplatform.datasets.get

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

如要進一步瞭解使用 Knowledge Catalog 所需的權限，請參閱「Knowledge Catalog IAM 權限」。

找出特定資料表資料剖析檔產生的切面

  1. 前往 Google Cloud 控制台的 Knowledge Catalog「Search」(搜尋) 頁面。

    前往「Search」(搜尋) 頁面

  2. 選取您的機構或專案。

  3. 在「選擇搜尋平台」部分，選取「Knowledge Catalog」做為搜尋模式。

  4. 在「搜尋」欄位中輸入下列內容：

    name:TABLE_ID

    將 TABLE_ID 替換為已剖析資料表的 ID。

  5. 在顯示的清單中，按一下資料表名稱。BigQuery 資料表的詳細資料隨即顯示。與該項目相關聯的任何Sensitive Data Protection profile切面都會顯示在「選用切面」部分。

如要進一步瞭解如何搜尋資源，請參閱「在 Knowledge Catalog 中搜尋資源」。

搜尋查詢範例

本節提供搜尋查詢範例，您可以在 Knowledge Catalog 中使用這些查詢，在組織或專案中尋找具有特定切面值的資料。

您只能找到有權存取的資料。資料存取權是透過 IAM 權限控管。詳情請參閱本頁的「查看面向的角色和權限」一節。

您可以在 Knowledge Catalog 的「Search」(搜尋) 頁面，在「Search」(搜尋) 欄位中輸入這些範例查詢。

前往「Search」(搜尋) 頁面

如要瞭解如何建立查詢，請參閱「Knowledge Catalog 的搜尋語法」。

找出所有具備 Sensitive Data Protection 設定檔切面的資源

aspect:sensitive-data-protection-profile

找出具有特定敏感度分數的所有資源

aspect:sensitive-data-protection-profile.sensitivity=SENSITIVITY_SCORE

將 SENSITIVITY_SCORE 替換為 HIGH、MODERATE、UNKNOWN 或 LOW。

詳情請參閱「機密程度和資料風險等級」。

找出所有具有特定風險分數的資源

aspect:sensitive-data-protection-profile.risk=DATA_RISK_LEVEL

將 DATA_RISK_LEVEL 替換為 HIGH、MODERATE、UNKNOWN 或 LOW。

詳情請參閱「機密程度和資料風險等級」。

尋找所有具備專案層級設定檔的資源

aspect:sensitive-data-protection-profile.projectProfile

找出所有具備組織層級設定檔的資源

aspect:sensitive-data-protection-profile.organizationProfile

改用「傳送至 Dataplex Catalog 做為切面」動作

如要遷移設定為使用已淘汰「以標記形式傳送至 Dataplex」動作的探索設定，請按照下列步驟操作：

  1. 編輯探索設定，將探索結果以標記的形式傳送至 Data Catalog。
  2. 啟用「傳送至 Dataplex Catalog 做為切面」。
  3. 按一下「儲存」。