יצירת מדיניות תוכן

תצוגה מקדימה

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בחלק "תנאי שירות הכלליים" בתנאים הספציפיים של השירות. השימוש בתכונות בגרסת טרום-GA הוא "כפי שהן" (As is), ויכול להיות שהתמיכה בהן תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

מדיניות תוכן היא משאב שאפשר להשתמש בו שוב ושוב, והיא מכילה הגדרות בדיקה וקבוצה של כללים. כל כלל מציין תנאים שמבוססים על ממצאי הבדיקה. אם התנאים מתקיימים, המדיניות מחזירה פסק דין של ALLOW או BLOCK.

בניגוד לפעולות אחרות של בדיקה ב-Sensitive Data Protection, כמו קריאה ל-content.inspect או עבודת בדיקה, מדיניות תוכן לא מחזירה רשימה של ממצאים.

יתרונות ותרחישי שימוש

מדיניות התוכן מאפשרת לכם לפעול באופן מיידי על סמך תוצאות הבדיקה, על ידי יצירת פסק דין במקום רשימת ממצאים. תרחישים לדוגמה:

• חסימה אוטומטית של תשובות או העלאות של צ'אטבוטים שמכילות מידע רגיש, כמו מספרי כרטיסי אשראי או פרטים אישיים מזהים (PII).
• אפשר לשלב בין מדיניות תוכן של Sensitive Data Protection לבין Gemini Enterprise כדי למנוע שימוש בתוכן שמכיל מידע אישי רגיש.
• קבלת פסקי דין מיידיים וסינכרוניים לגבי תוכן כדי לאכוף את מדיניות הארגון בנושא נתונים.
• קבלת חוות דעת לגבי ההחלטה אם לאפשר סוגים מסוימים של נתונים במערך נתוני אימון של מודל AI.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.
התקינו את ה-CLI של Google Cloud.
אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.
כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:
gcloud init
מפעילים את Data Loss Prevention API:
תפקידים שנדרשים להפעלת ממשקי API
כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים
gcloud services enable dlp.googleapis.com
מעניקים תפקידים לחשבון המשתמש. מריצים את הפקודה הבאה לכל אחד מהתפקידים הבאים ב-IAM: roles/dlp.user
gcloud projects add-iam-policy-binding PROJECT_ID --member="user:USER_IDENTIFIER" --role=ROLE
מחליפים את מה שכתוב בשדות הבאים:
• ‫PROJECT_ID: מזהה הפרויקט.
• ‫USER_IDENTIFIER: המזהה של חשבון המשתמש . לדוגמה, [e-mail].
• ‫ROLE: תפקיד ה-IAM שאתם מקצים לחשבון המשתמש.

התקינו את ה-CLI של Google Cloud.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:

gcloud init

מפעילים את Data Loss Prevention API:

תפקידים שנדרשים להפעלת ממשקי API

כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

gcloud services enable dlp.googleapis.com

מעניקים תפקידים לחשבון המשתמש. מריצים את הפקודה הבאה לכל אחד מהתפקידים הבאים ב-IAM: roles/dlp.user

gcloud projects add-iam-policy-binding PROJECT_ID --member="user:USER_IDENTIFIER" --role=ROLE

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט.
• ‫USER_IDENTIFIER: המזהה של חשבון המשתמש . לדוגמה, [e-mail].
• ‫ROLE: תפקיד ה-IAM שאתם מקצים לחשבון המשתמש.

יצירת מדיניות תוכן

המסוף

1. נכנסים לדף Content Policies בכלי Sensitive Data Protection במסוף Google Cloud .

   למדיניות התוכן

2. בוחרים את הפרויקט הרצוי.

3. לוחצים על יצירה.

4. בקטע מידע בסיסי, מבצעים את הפעולות הבאות:

   1. מזינים שם למדיניות התוכן.
   2. זה שינוי אופציונלי. מזינים מזהה ייחודי של מדיניות תוכן. אם לא מזינים מזהה של מדיניות תוכן, Sensitive Data Protection מגדירה מזהה באופן אוטומטי.
   3. בוחרים את האזור או את ההגדרה של מספר אזורים שבהם רוצים לאחסן את מדיניות התוכן.
   4. לוחצים על Continue.

5. בקטע Inspection Configuration (הגדרות בדיקה), מבצעים את הפעולות הבאות:

   1. בוחרים את סוגי המידע (infoTypes) המוכללים או בהתאמה אישית שרוצים לזהות. מידע נוסף זמין במאמר ניהול סוגי מידע דרך מסוףGoogle Cloud .

      כדי להגדיר זיהוי באמצעות תבנית בדיקה קיימת, לוחצים על ייבוא מתבנית ומזינים את שם המשאב המלא של התבנית.

   2. זה שינוי אופציונלי. מוסיפים קבוצת כללים לבדיקה.

      כדי להציג את ההוראות, לוחצים כאן

      ערכות כללים לבדיקה מאפשרות לכם להתאים אישית גלאים מובנים וגלאים מותאמים אישית של infoType באמצעות כללים מבוססי הקשר. סוגי כללי הבדיקה הם:

      • כללי החרגה, שעוזרים להחריג ממצאים שגויים או לא רצויים.
      • כללים לזיהוי מילות הפעלה, שעוזרים לזהות ממצאים נוספים.
      • כללי התאמה, שמתאימים את הסבירות לממצאים על סמך ההקשר שבו הם מופיעים.

      כדי להוסיף קבוצת כללים חדשה, קודם צריך לציין גלאי infoType מובנה או מותאם אישית אחד או יותר בקטע InfoTypes. בוחרים את כל הגלאים של סוגי המידע שערכות הכללים משנות (סוגי המידע שמוגדרים כיעד) או משמשים להערכה (סוגי המידע שמוגדרים כהקשר). לאחר מכן, מבצעים את הפעולות הבאות:

      1. לוחצים על הוספת קבוצת כללים.
      2. בשדה בחירת סוגי מידע לטירגוט, בוחרים את סוגי המידע שהכללים ישנו אם התנאים שלהם יתקיימו.
      3. לוחצים על הוספת כלל כדי לפתוח תפריט עם אפשרויות, כולל כלל מילת הפעלה, כלל החרגה וכלל התאמה.

      כדי ליצור כלל למילת הפעלה, בוחרים באפשרות כלל למילת הפעלה. לאחר מכן, מבצעים את הפעולות הבאות:

      1. בשדה מילת הפעלה, מזינים ביטוי רגולרי ש-Sensitive Data Protection מחפש.
      2. בתפריט קרבה למילת ההפעלה, בוחרים אם מילת ההפעלה שהזנתם נמצאת לפני או אחרי סוג המידע שנבחר.
      3. בקטע Hotword distance from infoType (מרחק מילת ההפעלה מסוג המידע), מזינים את מספר התווים המשוער בין מילת ההפעלה לסוג המידע שנבחר.
      4. בקטע התאמה של רמת הסמך, בוחרים אם להקצות להתאמות רמת סבירות קבועה, או להגדיל או להקטין את רמת הסבירות שמוגדרת כברירת מחדל בסכום מסוים.

      כדי ליצור כלל החרגה, בוחרים באפשרות כלל החרגה ואת סוג כלל ההחרגה שרוצים ליצור, למשל ביטוי רגולרי. לאחר מכן, מבצעים את הפעולות הבאות:

      1. בהתאם לסוג כלל ההחרגה שבחרתם, מזינים את הביטוי הרגולרי, את הניסוח, את מילת ההפעלה או את סוג המידע של ההקשר שצריך למצוא כדי שהכלל יחול.
      2. בהתאם לסוג כלל ההחרגה שבחרתם, מגדירים את סוג ההתאמה או את סוג ההכלה של התמונה:
      • אם בחרתם כלל החרגה מבוסס-טקסט, בוחרים באחד מסוגי ההתאמה הבאים:
      • התאמה מלאה: הממצא חייב להיות זהה לחלוטין לטקסט או למידע על סוג ההקשר שסיפקתם.
      • התאמה חלקית: מחרוזת משנה בתוצאת החיפוש צריכה להיות זהה לטקסט או למידע על סוג ההקשר שסיפקתם.
      • התאמה הפוכה: הממצא לא יכול להיות זהה לטקסט או למידע על סוג המידע שסיפקתם.
      • אם בחרתם כלל החרגה שמבוסס על תמונה, בוחרים את היחס המרחבי הנדרש בין סוגי המידע של היעד וההקשר. לדוגמה, אם בוחרים באפשרות Encloses (מכיל), הממצא של ההקשר צריך להכיל את ממצא היעד כדי שהכלל יחול.

      כדי ליצור כלל התאמה, בוחרים באפשרות כלל התאמה ואת סוג כלל ההתאמה, לדוגמה, התאמה לפי ממצאי תמונות. לאחר מכן, מבצעים את הפעולות הבאות:

      1. בשדה Context infoTypes, בוחרים את הגלאים של סוגי המידע שמספקים הקשר לתוצאת החיפוש. ‫Sensitive Data Protection משתמש ב-infoTypes של הקשר כדי להעריך אם צריך לשנות את infoType של היעד.
      2. בשדה Minimum likelihood, בוחרים את רמת הסבירות הנמוכה ביותר שסוגי המידע של ההקשר יכולים לקבל ועדיין להפעיל את כלל ההתאמה. אם ערך הסבירות של כל ממצא של הקשר שזוהה נמוך מהערך הזה, ההגנה על נתונים רגישים לא משנה את הסבירות של ממצא היעד.
      3. בממצאים שקשורים לתמונות, בשדה סוג ההכלה של התמונה, בוחרים את היחס המרחבי הנדרש בין סוגי המידע של היעד וההקשר. לדוגמה, אם בוחרים באפשרות Encloses (מכיל), המערכת תחיל את הכלל רק אם הממצא בהקשר מכיל את ממצא היעד.
      4. בשדה Likelihood (סבירות), בוחרים את רמת הסבירות החדשה שרוצים להקצות לממצא היעד.

      אפשר להוסיף עוד קבוצות כללים כדי לשפר את תוצאות הסריקה.

   3. זה שינוי אופציונלי. הגדרת סף הביטחון לזיהוי ממצאים. מידע נוסף זמין במאמר בנושא הסתברות להתאמה.

   4. לוחצים על Continue.

6. בקטע Policy Rules (כללי מדיניות), מוסיפים כללי מדיניות כדי לציין את התוצאה (Allow (אישור) או Block (חסימה)) שמוחזרת על ידי Sensitive Data Protection כשמזוהה infoType שצוין בהגדרת הבדיקה. אתם יכולים להוסיף כלל מדיניות יחיד כדי להחזיר את אותה תוצאה לכל סוג מידע, או להוסיף כמה כללי מדיניות כדי להחזיר תוצאות שונות לסוגי מידע שונים. צריך להגדיר תנאי לכל כלל מדיניות שמוסיפים.

   כדי להוסיף כלל מדיניות:

   1. לוחצים על הוספת כלל מדיניות.
   2. בוחרים פסיקה להקצאה לממצא מסוג infoType: Allow או Block.
   3. לוחצים על הוספת תנאי. אם רוצים להגדיר פסיקות שונות לסוגי מידע שונים, צריך להגדיר את סוג התנאי לכל סוגי המידע או לסוגי מידע ספציפיים.
   4. אם בחרתם באפשרות Specific infoTypes (סוגי מידע ספציפיים), מזינים את סוגי המידע שצריכים להתגלות כדי ש-Sensitive Data Protection יחזיר את התוצאה שבחרתם.
   5. אם צריך, מוסיפים עוד כללי מדיניות ותנאים תואמים.
   6. לוחצים על Continue.

7. זה שינוי אופציונלי. בקטע פעולות ברירת מחדל, מציינים את הפסיקות שיוחלו במצבים הבאים:

   • פסק דין להקצאה לקבצים שלא נתמכים. מידע נוסף זמין במאמר בנושא סוגי קבצים נתמכים ומצבי סריקה.
   • פסק דין להקצאה לקבצים נתמכים שגדולים מדי לסריקה.
   • פסק דין להקצאה לקבצים שלא ניתן לסרוק, למשל, קבצים פגומים או מוצפנים.
   • פסק דין להקצאה אם אף אחד מהכללים לא תואם לתוכן שנסרק.

   לוחצים על Continue.

8. זה שינוי אופציונלי. בקטע הגדרת רישום ביומן, מפעילים את רישום היומן כדי לתעד את ההחלטות שהתקבלו על ידי מדיניות התוכן לגבי הנתונים שסורקים. צריך לבצע את הפעולות הבאות:

   1. בוחרים באפשרות Log policy execution to BigQuery (רישום ביומן של ביצוע מדיניות ב-BigQuery).
   2. מזינים את הפרטים של טבלת BigQuery קיימת שבה הכלי להגנה על נתונים רגישים צריך לרשום את התוצאות.

9. לוחצים על יצירה.

REST

כדי ליצור מדיניות תוכן, שולחים בקשת POST אל ה-method‏ projects.locations.contentPolicies.create. הבקשה מגדירה אובייקט content_policy שמכיל את הגדרות הבדיקה והכללים שקובעים את התוצאה על סמך הממצאים.

לאובייקט content_policy יש את המאפיינים הבאים:

{
  "contentPolicy": {
    "displayName": "DISPLAY_NAME",
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "INFOTYPE_DETECTOR"
        }
      ],
      "ruleSet": "LIST_OF_RULES"
    },
    "rules": [
      {
        "conditions": [
          {
            "infoTypeCondition": {
              "anyInfoType": {}
            }
          }
        ],
        "action": {
          "returnVerdict": "INFOTYPE_CONDITION_VERDICT"
        }
      }
    ],
    "unsupportedFileType": {
      "returnVerdict": "UNSUPPORTED_FILE_TYPE_VERDICT"
    },
    "inputTooLarge": {
      "returnVerdict": "INPUT_TOO_LARGE_VERDICT"
    },
    "failedToScanSupportedFileType": {
      "returnVerdict": "FAILED_TO_SCAN_VERDICT"
    },
    "defaultAction": {
      "returnVerdict": "DEFAULT_ACTION_VERDICT"
    }
  },
  "contentPolicyId": "CONTENT_POLICY_ID"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫DISPLAY_NAME: אופציונלי. שם של מדיניות התוכן שקריא לאנשים.
• ‫INFOTYPE_DETECTOR: סוג מידע מוכן מראש או בהתאמה אישית.
• ‫LIST_OF_RULES: אופציונלי. רשימה של כללי בדיקה כפי שמוגדרים במאמר שינוי של מזהי Infotype כדי לשפר את תוצאות הסריקה. הקוד הזה קוצר כדי להיות תמציתי. דוגמה להגדרת קבוצת כללים במדיניות תוכן מופיעה במאמר דוגמה מורחבת.
• ‫INFOTYPE_CONDITION_VERDICT: פסק דין להקצאה לממצא של infoType: ‏ ALLOW או BLOCK.
• ‫UNSUPPORTED_FILE_TYPE_VERDICT: אופציונלי. פסק דין להקצאה לקבצים לא נתמכים: ALLOW או BLOCK. מידע נוסף זמין במאמר סוגי קבצים נתמכים ומצבי סריקה.
• ‫INPUT_TOO_LARGE_VERDICT: אופציונלי. פסק דין להקצאה לקבצים נתמכים שגדולים מדי לסריקה: ALLOW או BLOCK.
• ‫FAILED_TO_SCAN_VERDICT: אופציונלי. פסק דין להקצאה לקבצים שלא ניתן לסרוק, לדוגמה, קבצים פגומים או מוצפנים: ALLOW או BLOCK.
• ‫DEFAULT_ACTION_VERDICT: אופציונלי. פסק דין להקצאה אם אף אחד מהכללים לא תואם לתוכן שנסרק: ALLOW או BLOCK.
• ‫CONTENT_POLICY_ID: מזהה ייחודי של מדיניות התוכן.

איך מקבלים את הפרטים של מדיניות תוכן

המסוף

1. נכנסים לדף Content Policies בכלי Sensitive Data Protection במסוף Google Cloud .

   למדיניות התוכן

2. בוחרים את הפרויקט הרצוי.

3. לוחצים על שם המשאב של מדיניות התוכן כדי להציג אותה.

4. בכרטיסייה פרטים, אפשר לראות פרטים על מדיניות התוכן.

REST

כדי לקבל מדיניות תוכן, שולחים בקשת GET ל-method‏ projects.locations.contentPolicies.get.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫REGION: אזור שבו זמין endpoint אזורי ל-Sensitive Data Protection, לדוגמה: us-west2. רשימה מלאה של האזורים זמינה במאמר מיקומים של Sensitive Data Protection.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud . מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו example-project.
• ‫CONTENT_POLICY_ID: המזהה של מדיניות התוכן שרוצים לקבל את הפרטים שלה.

ה-method של ה-HTTP וכתובת ה-URL:

GET https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

מריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/example-project/locations/us-west1/contentPolicies/block-credit-cards-policy",
  "rules": [
    {
      "conditions": [
        {
          "infoTypeCondition": {
            "anyInfoType": {}
          }
        }
      ],
      "action": {
        "returnVerdict": "BLOCK"
      }
    }
  ],
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "CREDIT_CARD_NUMBER"
      }
    ],
    "minLikelihood": "LIKELY",
    "limits": {}
  }
}

עדכון מדיניות תוכן

המסוף

1. נכנסים לדף Content Policies בכלי Sensitive Data Protection במסוף Google Cloud .

   למדיניות התוכן

2. בוחרים את הפרויקט הרצוי.

3. לוחצים על שם המשאב של מדיניות התוכן שרוצים לערוך.

4. לוחצים על Edit.

5. עורכים את פרטי מדיניות התוכן.

REST

כדי לעדכן מדיניות תוכן, שולחים בקשת PATCH לשיטה projects.locations.contentPolicies.update. הבקשה מגדירה את האובייקט content_policy המעודכן.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫REGION: אזור שבו זמין endpoint אזורי ל-Sensitive Data Protection, לדוגמה: us-west2. רשימה מלאה של האזורים זמינה במאמר מיקומים של Sensitive Data Protection.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud . מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו example-project.
• ‫CONTENT_POLICY_ID: המזהה של מדיניות התוכן שרוצים לעדכן.

ה-method של ה-HTTP וכתובת ה-URL:

PATCH https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID

תוכן בקשת JSON:

{
  "contentPolicy": {
    "displayName": "displayName",
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "CREDIT_CARD_NUMBER"
        }
      ],
      "minLikelihood": "LIKELY"
    },
    "rules": [
      {
        "conditions": [
          {
            "infoTypeCondition": {
              "anyInfoType": {}
            }
          }
        ],
        "action": {
          "returnVerdict": "BLOCK"
        }
      }
    ]
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-update-request.json ומריצים את הפקודה הבאה:

curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @content-policy-update-request.json \
     "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-update-request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method PATCH `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile content-policy-update-request.json `
    -Uri "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies/CONTENT_POLICY_ID" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/example-project/locations/us-west1/contentPolicies/block-credit-cards-policy",
  "rules": [
    {
      "conditions": [
        {
          "infoTypeCondition": {
            "anyInfoType": {}
          }
        }
      ],
      "action": {
        "returnVerdict": "BLOCK"
      }
    }
  ],
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "CREDIT_CARD_NUMBER"
      }
    ],
    "minLikelihood": "LIKELY",
    "limits": {}
  }
}

דוגמאות ל-REST

בדוגמאות הבאות של API בארכיטקטורת REST אפשר לראות איך יוצרים מדיניות תוכן באמצעות ה-API בארכיטקטורת REST.

דוגמה פשוטה

בדוגמה הבאה נוצרת מדיניות שמזהה ממצאים של CREDIT_CARD_NUMBER עם סבירות של POSSIBLE ומעלה. אם נמצא מספר כרטיס אשראי, Sensitive Data Protection מחזיר BLOCK.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫REGION: אזור שבו זמין endpoint אזורי ל-Sensitive Data Protection, לדוגמה: us-west2. רשימה מלאה של האזורים זמינה במאמר מיקומים של Sensitive Data Protection.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud . מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו example-project.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies

תוכן בקשת JSON:

{
  "contentPolicy": {
    "displayName": "displayName",
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "CREDIT_CARD_NUMBER"
        }
      ],
      "minLikelihood": "POSSIBLE"
    },
    "rules": [
      {
        "conditions": [
          {
            "infoTypeCondition": {
              "anyInfoType": {}
            }
          }
        ],
        "action": {
          "returnVerdict": "BLOCK"
        }
      }
    ]
  },
  "contentPolicyId": "block-credit-cards-policy"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-create-request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @content-policy-create-request.json \
     "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-create-request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile content-policy-create-request.json `
    -Uri "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/example-project/locations/us-west1/contentPolicies/block-credit-cards-policy",
  "rules": [
    {
      "conditions": [
        {
          "infoTypeCondition": {
            "anyInfoType": {}
          }
        }
      ],
      "action": {
        "returnVerdict": "BLOCK"
      }
    }
  ],
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "CREDIT_CARD_NUMBER"
      }
    ],
    "minLikelihood": "POSSIBLE",
    "limits": {}
  }
}

דוגמה מורחבת

בדוגמה הבאה נוצרת מדיניות שמזהה ממצאים של CREDIT_CARD_NUMBER עם סבירות של POSSIBLE ומעלה. היא כוללת כלל הרחבה (Hotword) שמגדיל את ערך הסבירות של הממצא ל-VERY_LIKELY אם המילה credit card מזוהה בקרבת הממצא.

• אם Sensitive Data Protection מזהה מספר כרטיס אשראי אפשרי, היא מחזירה BLOCK פסק דין.
• אם הקובץ שרוצים לסרוק לא נתמך, גדול מדי, פגום, מוצפן או שלא ניתן לסרוק אותו מסיבה אחרת, Sensitive Data Protection מחזירה פסק דין BLOCK.
• אם אף אחד מהכללים לא תואם לתוכן שנסרק, Sensitive Data Protection מחזיר פסק דין ALLOW.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫REGION: אזור שבו זמין endpoint אזורי ל-Sensitive Data Protection, לדוגמה: us-west2. רשימה מלאה של האזורים זמינה במאמר מיקומים של Sensitive Data Protection.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud . מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו example-project.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies

תוכן בקשת JSON:

{
  "contentPolicy": {
    "displayName": "displayName",
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "CREDIT_CARD_NUMBER"
        }
      ],
      "ruleSet": [
        {
          "infoTypes": [
            {
              "name": "CREDIT_CARD_NUMBER"
            }
          ],
          "rules": [
            {
              "hotwordRule": {
                "hotwordRegex": {
                  "pattern": "credit\\scard"
                },
                "proximity": {
                  "windowBefore": 10,
                  "windowAfter": 10
                },
                "likelihoodAdjustment": {
                  "fixedLikelihood": "VERY_LIKELY"
                }
              }
            }
          ]
        }
      ]
    },
    "rules": [
      {
        "conditions": [
          {
            "infoTypeCondition": {
              "anyInfoType": {}
            }
          }
        ],
        "action": {
          "returnVerdict": "BLOCK"
        }
      }
    ],
    "unsupportedFileType": {
      "returnVerdict": "BLOCK"
    },
    "inputTooLarge": {
      "returnVerdict": "BLOCK"
    },
    "failedToScanSupportedFileType": {
      "returnVerdict": "BLOCK"
    },
    "defaultAction": {
      "returnVerdict": "ALLOW"
    }
  },
  "contentPolicyId": "block-credit-cards-policy"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-create-request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @content-policy-create-request.json \
     "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם content-policy-create-request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile content-policy-create-request.json `
    -Uri "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/example-project/locations/us-west2/contentPolicies/block-credit-cards-policy",
  "rules": [
    {
      "conditions": [
        {
          "infoTypeCondition": {
            "anyInfoType": {}
          }
        }
      ],
      "action": {
        "returnVerdict": "BLOCK"
      }
    }
  ],
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "CREDIT_CARD_NUMBER"
      }
    ],
    "limits": {},
    "ruleSet": [
      {
        "infoTypes": [
          {
            "name": "CREDIT_CARD_NUMBER"
          }
        ],
        "rules": [
          {
            "hotwordRule": {
              "hotwordRegex": {
                "pattern": "credit\\scard"
              },
              "proximity": {
                "windowBefore": 10,
                "windowAfter": 10
              },
              "likelihoodAdjustment": {
                "fixedLikelihood": "VERY_LIKELY"
              }
            }
          }
        ]
      }
    ]
  },
  "unsupportedFileType": {
    "returnVerdict": "BLOCK"
  },
  "inputTooLarge": {
    "returnVerdict": "BLOCK"
  },
  "failedToScanSupportedFileType": {
    "returnVerdict": "BLOCK"
  },
  "defaultAction": {
    "returnVerdict": "ALLOW"
  }
}

דוגמה לסריקה של תוויות מטא-נתונים

בדוגמה הבאה מוסבר איך להגדיר ל-Sensitive Data Protection לסרוק מספרי כרטיסי אשראי ותוויות של מטא-נתונים עם המפתח MSIP_Label_12345-12345-1234-12345_Enabled. אם נמצא מידע אישי רגיש, Sensitive Data Protection מחזיר BLOCK פסק דין.

מידע נוסף על סריקת תוויות מטא-נתונים זמין במאמר יצירת כלי מותאם אישית לזיהוי תוויות מטא-נתונים.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫REGION: אזור שבו זמין endpoint אזורי ל-Sensitive Data Protection, לדוגמה: us-west2. רשימה מלאה של האזורים זמינה במאמר מיקומים של Sensitive Data Protection.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud . מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו example-project.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies

תוכן בקשת JSON:

{
  "contentPolicy": {
    "displayName": "displayName",
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "CREDIT_CARD_NUMBER"
        }
      ],
      "customInfoTypes": [
        {
          "infoType": {
            "name": "CUSTOM_MSIP1"
          },
          "likelihood": "VERY_LIKELY",
          "fileLabelInfoType": {
            "sensitivityLabel": {
              "guid": "12345678-1234-1234-1234-123456789012"
            }
          }
        }
      ],
      "minLikelihood": "POSSIBLE"
    },
    "rules": [
      {
        "conditions": [
          {
            "infoTypeCondition": {
              "anyInfoType": {}
            }
          }
        ],
        "action": {
          "returnVerdict": "BLOCK"
        }
      }
    ]
  },
  "contentPolicyId": "block-credit-cards-policy-metadata-scanning"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

‫Curl (Linux,‏ macOS או Cloud Shell)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies"

‎PowerShell (Windows)

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://dlp.REGION.rep.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/contentPolicies" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/example-project/locations/us-west1/contentPolicies/block-credit-cards-policy-metadata-scanning",
  "rules": [
    {
      "conditions": [
        {
          "infoTypeCondition": {
            "anyInfoType": {}
          }
        }
      ],
      "action": {
        "returnVerdict": "BLOCK"
      }
    }
  ],
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "CREDIT_CARD_NUMBER"
      }
    ],
    "minLikelihood": "POSSIBLE",
    "limits": {},
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_MSIP1"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "sensitivityLabel": {
            "guid": "12345678-1234-1234-1234-123456789012"
          }
        }
      }
    ]
  }
}