本文說明 Sensitive Data Protection 在執行檢查工作或風險分析後，可執行的動作。
「動作」是指 Sensitive Data Protection 在完成檢查工作或風險分析後執行的工作。舉例來說，您可以將調查結果儲存至 BigQuery 資料表、將通知發布至 Pub/Sub 主題，或在作業順利完成或因錯誤停止時傳送電子郵件。
機密資料探索作業有一組不同的動作。如要進一步瞭解探索動作，請參閱「啟用探索動作」。
工作動作的使用時機
以下是一些常見用途：
- 將發現項目發布至數據分析資料倉儲：直接將詳細的檢查發現項目匯出至 BigQuery，執行 SQL 式趨勢分析、彙整資產中繼資料，或建構自訂數據分析資訊主頁。
- 通知安全應變系統：將掃描完成快訊和發現項目摘要串流至 Pub/Sub，觸發自動開立支援單、Cloud Run functions，或 SIEM 平台中的事件應變工作流程。
- 與集中式防護機制管理功能整合：直接將發現項目傳送至 Security Command Center，匯總資料風險和雲端基礎架構安全漏洞。
- 在掃描失敗或完成時通知營運團隊：設定電子郵件通知，在大型批次檢查工作完成或需要處理時，立即通知安全管理員。
- 封存原始發現項目記錄，以進行法規遵循稽核：將 Protobuf 或結構化掃描記錄寫入 Cloud Storage，以維護法規標準要求的防竄改稽核追蹤記錄。
可執行的動作
執行 Sensitive Data Protection 工作時，系統預設會將發現項目的摘要儲存在 Sensitive Data Protection 中。您可以在 Google Cloud 控制台中使用 Sensitive Data Protection 查看這份摘要。您也可以使用 projects.dlpJobs.get 方法，在 DLP API 中擷取摘要資訊。
以下各節說明檢查和風險分析工作可執行的動作。
將發現項目儲存至 BigQuery
將 Sensitive Data Protection 工作結果儲存至 BigQuery 資料表。查看或分析結果前，請先確認工作已完成。
每次執行掃描作業時，Sensitive Data Protection 都會將掃描結果儲存至您指定的 BigQuery 資料表。匯出的發現項目包含每個發現項目的位置和相符可能性詳細資料。
如要讓每個發現項目都包含與 infoType 偵測工具相符的字串，請啟用「Include quote」(包含引號) 選項。引述內容可能含有機密資訊，因此 Sensitive Data Protection 預設不會將其納入發現項目。
如未指定資料表 ID，BigQuery 會在首次執行掃描作業時，為新資料表指派預設名稱。這個名稱與 dlpgoogleapisDATE_1234567890 類似，其中 DATE 代表掃描的執行日期。如果您指定現有資料表，Sensitive Data Protection 會將掃描結果附加至該資料表。
將資料寫入 BigQuery 資料表時，費用與配額用量會計入目的地資料表所屬專案。
將發現項目儲存至 Cloud Storage
將 Sensitive Data Protection 工作結果儲存至現有的 Cloud Storage bucket 或資料夾。查看或分析結果前，請先確認工作已完成。
如要檢查 Cloud Storage bucket，您指定匯出發現項目的 bucket 不得為您檢查的 bucket。
每次執行掃描時，Sensitive Data Protection 都會將掃描結果儲存至您指定的 Cloud Storage 位置。匯出的發現項目包含各發現項目的位置和相符可能性詳細資料。
如要讓每項發現項目都包含與 infoType 偵測工具相符的字串，請啟用「Include quote」(包含引述) 選項。引述內容可能含有機密資訊，因此 Sensitive Data Protection 預設不會將其納入發現項目。
系統會以 Protobuf 文字格式將發現項目匯出為 SaveToGcsFindingsOutput 物件。如要瞭解如何剖析這個格式的發現項目，請參閱「剖析以 Protobuf 文字格式儲存的發現項目」。
發布至 Pub/Sub
將含有 Sensitive Data Protection 工作名稱的通知發布至 Pub/Sub 管道。您可以指定一或多個主題，將通知訊息傳送至這些主題。請確認執行掃描工作的 Sensitive Data Protection 服務帳戶具備主題的發布存取權。
如果 Pub/Sub 主題有設定或權限問題，Sensitive Data Protection 最多會重試傳送 Pub/Sub 通知兩週。兩週後，系統會捨棄通知。
發布至 Security Command Center
將工作結果摘要發布至 Security Command Center。詳情請參閱「將 Sensitive Data Protection 掃描結果傳送至 Security Command Center」。
如要使用這項動作，專案必須屬於某個機構，且必須在機構層級啟用 Security Command Center。否則 Sensitive Data Protection 發現項目不會顯示在 Security Command Center。詳情請參閱「查看 Security Command Center 的啟用層級」。
發布至 Knowledge Catalog
將 BigQuery 檢查工作的結果傳送至 Knowledge Catalog。詳情請參閱「將檢查結果以切面的形式傳送至 Knowledge Catalog」。
電子郵件通知
工作完成時傳送電子郵件。電子郵件會傳送給 IAM 專案擁有者和技術重要聯絡人。
發布至 Cloud Monitoring
將檢查結果傳送至 Google Cloud Observability 中的 Cloud Monitoring。
建立去識別化副本
將檢查資料中的所有發現項目去識別化，然後將去識別化的內容寫入新檔案。接著，您可以在業務流程中使用去識別化副本，取代含有機密資訊的資料。詳情請參閱「使用Google Cloud 控制台中的 Sensitive Data Protection，建立 Cloud Storage 資料的去識別化副本」。
支援的操作
下表列出 Sensitive Data Protection 作業，以及各項動作的適用位置。
| 動作 | BigQuery 檢查 | Cloud Storage 檢查 | 資料儲存庫檢查 | 混合式檢查 | 風險分析 |
|---|---|---|---|---|---|
| 將發現項目儲存至 BigQuery | ✓ | ✓ | ✓ | ✓ | ✓ |
| 將發現項目儲存至 Cloud Storage | ✓ | ✓ | ✓ | ✓ | |
| 發布至 Pub/Sub | ✓ | ✓ | ✓ | ✓ | ✓ |
| 發布至 Security Command Center | ✓ | ✓ | ✓ | ||
| 發布至 Knowledge Catalog | ✓ | ||||
| 電子郵件通知 | ✓ | ✓ | ✓ | ✓ | ✓ |
| 發布至 Cloud Monitoring | ✓ | ✓ | ✓ | ✓ | |
| 將發現項目去識別化 | ✓ |
指定動作
設定工作時，您可以指定一或多個動作：
- 使用 Google Cloud 控制台中的 Sensitive Data Protection 建立新的檢查或風險分析工作時，請在工作建立工作流程的「新增動作」部分指定動作。
- 設定要傳送至 DLP API 的新工作要求時，請在
Action物件中指定動作。
如需詳細資訊和多種語言的程式碼範例，請參閱：
動作情境範例
您可以根據 Sensitive Data Protection 掃描結果，使用 Sensitive Data Protection 動作自動執行程序。假設您有一個與外部合作夥伴共用的 BigQuery 表格，您要確保這個資料表不含任何敏感 ID (例如美國身分證字號，即 infoType US_SOCIAL_SECURITY_NUMBER)，並在發現這類 ID 時撤銷合作夥伴的存取權。以下是使用動作的工作流程大致輪廓：
- 建立 Sensitive Data Protection 工作觸發條件，每 24 小時對 BigQuery 資料表執行一次檢查掃描。
- 將這些工作的動作設為將 Pub/Sub 通知發布至「projects/foo/scan_notifications」主題。
- 建立 Cloud 函式，監聽「projects/foo/scan_notifications」的傳入訊息。這個 Cloud Function 會每 24 小時接收一次 Sensitive Data Protection 工作名稱，呼叫 Sensitive Data Protection 取得這項工作的摘要結果，並在發現任何身分證字號時，變更 BigQuery 或 Identity and Access Management (IAM) 中的設定，限制資料表的存取權。
後續步驟
- 瞭解檢查工作可執行的動作。
- 瞭解風險分析作業可執行的動作。
- 瞭解機密資料探索作業可執行的動作。