Créer un détecteur de libellés de métadonnées personnalisés

Ce document explique comment configurer Sensitive Data Protection pour détecter des libellés de métadonnées spécifiques dans votre contenu.

Dans ce document, les libellés de métadonnées sont des libellés de fichiers intégrés dans des fichiers compatibles ou des métadonnées fournies par votre application cliente dans la requête d'inspection. Si Sensitive Data Protection trouve du contenu qui correspond à vos critères de métadonnées, il génère un résultat.

Pour rechercher des libellés de métadonnées, créez un infoType de libellé de métadonnées personnalisé. Configurez ensuite votre inspection ou votre analyse de découverte pour rechercher cet infoType.

Avantages et cas d'utilisation

Cette fonctionnalité vous permet d'utiliser vos taxonomies de classification existantes pour l'inspection du contenu et l'application des règles. Si vous utilisez un système de classification personnalisé ou tiers qui applique des libellés de métadonnées à vos documents, vous pouvez configurer Sensitive Data Protection pour détecter ces libellés de métadonnées lors de vos opérations d'inspection ou de découverte.

Voici quelques exemples de cas d'utilisation :

  • Analyser les fichiers pour détecter la présence de libellés Google Drive ou de libellés de sensibilité Microsoft contenant des métadonnées spécifiques.
  • Combiner la détection des libellés de métadonnées avec la détection standard des infoTypes pour une approche multicouche.
  • Analyser les métadonnées que votre application cliente transmet avec le contenu, même si elles ne sont pas intégrées au fichier. Dans ce document, ce type de métadonnées est appelé métadonnées fournies par le client.
  • Nettoyer les documents à l'aide de Model Armor en fonction de libellés de métadonnées spécifiques. Pour utiliser cette fonctionnalité avec Model Armor (ou des services qui utilisent Model Armor comme Gemini Enterprise), vous devez créer une configuration avancée de Sensitive Data Protection dans Model Armor qui référence ce détecteur de libellés de métadonnées personnalisé.

Formats de métadonnées compatibles

Cette fonctionnalité peut détecter les types de métadonnées suivants :

  • Libellés Google Drive

  • Libellés de sensibilité Microsoft sur les types de fichiers suivants :

    • DOCX
    • PDF
    • PPTX
    • XLSX

  • Métadonnées fournies par le client

Configurations non compatibles

Les détecteurs de libellés de métadonnées personnalisés ne sont pas compatibles avec les éléments suivants :

Créer un détecteur de libellés de métadonnées

Pour créer un détecteur de libellés de métadonnées, définissez un CustomInfoType dans un InspectConfig objet. En fonction du type de métadonnées que vous souhaitez analyser, définissez l'un des éléments suivants :

Créer un détecteur de libellés de métadonnées pour analyser les libellés de fichiers

Pour analyser les libellés Google Drive ou les libellés de sensibilité Microsoft, définissez un CustomInfoType qui comporte un FileLabelInfoType :

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "LABEL_ID",
            "labelFieldsToMatch": [
              {
                "id": "FIELD_ID",
                "value": "FIELD_VALUE"
              }
            ]
          },
          "sensitivityLabel": {
            "guid": "GUID"
          }
        }
      }
    ]
  }
}

Remplacez les éléments suivants :

  • CUSTOM_METADATA_LABEL_NAME: nom à attribuer au détecteur d'infoType personnalisé.
  • LIKELIHOOD : facultatif. La Likelihood valeur à attribuer à tous les résultats correspondant à cet infoType personnalisé. Si vous omettez ce champ, le niveau de probabilité par défaut est VERY_LIKELY.

  • SENSITIVITY_SCORE : facultatif. Valeur SensitivityScore à attribuer à tous les résultats correspondant à cet infoType personnalisé. Si vous omettez ce champ, le score de sensibilité par défaut est HIGH.

    Les scores de sensibilité sont utilisés dans les profils de données. Lors du profilage de vos données, Sensitive Data Protection utilise les scores de sensibilité des infoTypes pour calculer le niveau de sensibilité.

  • LABEL_ID : facultatif. ID d'un libellé Google Drive à faire correspondre. Si vous ne spécifiez qu'un LABEL_ID, le détecteur correspond à n'importe quel fichier auquel ce libellé Google Drive est appliqué, quelles que soient ses valeurs de champ. Pour faire correspondre des valeurs de champ spécifiques dans un libellé, incluez un objet labelFieldsToMatch.

  • FIELD_ID: obligatoire si vous spécifiez un objet labelFieldsToMatch. ID d'un champ de libellé Google Drive à faire correspondre.

  • FIELD_VALUE: obligatoire si vous spécifiez un objet labelFieldsToMatch. Valeur d'un champ de libellé Google Drive à faire correspondre.

  • GUID : facultatif. GUID d'un libellé de sensibilité Microsoft à faire correspondre.

Exemple de détecteur pour un libellé Google Drive

Cet exemple inspectConfig définit un infoType personnalisé nommé CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL. Cet infoType personnalisé détecte un libellé Google Drive qui présente les caractéristiques suivantes :

  • L'ID de libellé mydrive-label-id
  • Dans ce libellé, un champ avec l'ID sensitivity-field-id et la valeur confidential.

Si vous ne spécifiez pas d'ID ni de valeur de champ dans labelFieldsToMatch, cet infoType personnalisé détecte les fichiers qui comportent le libellé mydrive-label-id, quelle que soit la présence de champs de libellé.

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "googleDriveLabel": {
            "labelId": "mydrive-label-id",
            "labelFieldsToMatch": [
              {
                "id": "sensitivity-field-id",
                "value": "confidential"
              }
            ]
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Lorsque vous utilisez cette configuration dans un job d'inspection, Sensitive Data Protection génère un résultat CUSTOM_GOOGLE_DRIVE_LABEL_CONFIDENTIAL s'il trouve une correspondance.

Exemple de détecteur pour un libellé de sensibilité Microsoft

Cet exemple inspectConfig définit un infoType personnalisé nommé CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL. Cet infoType personnalisé détecte un libellé de sensibilité Microsoft qui contient le GUID 12345678-9012-3456-7890-123456789012 :

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL"
        },
        "likelihood": "VERY_LIKELY",
        "fileLabelInfoType": {
          "sensitivityLabel": {
            "guid": "12345678-9012-3456-7890-123456789012"
          }
        }
      }
    ],
    "minLikelihood": "POSSIBLE"
  }
}

Lorsque vous utilisez cette configuration dans un job d'inspection, Sensitive Data Protection génère un résultat CUSTOM_SENSITIVITY_LABEL_CONFIDENTIAL s'il trouve une correspondance.

Créer un détecteur de libellés de métadonnées pour analyser les paires clé/valeur personnalisées

Pour utiliser des expressions régulières afin d'analyser des paires clé/valeur personnalisées dans les métadonnées fournies par le client, procédez comme suit :

  1. Définissez un CustomInfoType qui comporte un MetadataKeyValueExpression :

    {
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_LABEL_NAME"
        },
        "likelihood": "LIKELIHOOD",
        "sensitivityScore": {
          "score": "SENSITIVITY_SCORE"
        },
        "metadataKeyValueExpression": {
          "keyRegex": "KEY_REGULAR_EXPRESSION",
          "valueRegex": "VALUE_REGULAR_EXPRESSION"
        }
      }
    ]
  }
}

    Remplacez les éléments suivants :

    • CUSTOM_METADATA_LABEL_NAME: nom à attribuer au détecteur d'infoType personnalisé.
    • LIKELIHOOD : facultatif. La Likelihood valeur à attribuer à tous les résultats correspondant à cet infoType personnalisé. Si vous omettez ce champ, le niveau de probabilité par défaut est VERY_LIKELY.

    • SENSITIVITY_SCORE : facultatif. Valeur SensitivityScore à attribuer à tous les résultats correspondant à cet infoType personnalisé. Si vous omettez ce champ, le score de sensibilité par défaut est HIGH.

      Les scores de sensibilité sont utilisés dans les profils de données. Lors du profilage de vos données, Sensitive Data Protection utilise les scores de sensibilité des infoTypes pour calculer le niveau de sensibilité.

    • KEY_REGULAR_EXPRESSION: expression régulière à rechercher dans les clés des libellés de métadonnées.

    • VALUE_REGULAR_EXPRESSION: expression régulière à rechercher dans les valeurs des libellés de métadonnées.

  2. Dans votre content.inspect requête, spécifiez les métadonnées fournies par le client dans le ContentMetadata champ du ContentItem.

Exemple de requête pour analyser les métadonnées fournies par le client

L'exemple suivant illustre une requête content.inspect qui inclut à la fois un fichier PDF et des métadonnées fournies par le client. La requête utilise un infoType personnalisé nommé CUSTOM_METADATA_CLASSIFICATION pour analyser les fichiers marqués comme "Confidential" (Confidentiel) ou "Internal Use" (Usage interne).

{
  "inspectConfig": {
    "customInfoTypes": [
      {
        "infoType": {
          "name": "CUSTOM_METADATA_CLASSIFICATION"
        },
        "likelihood": "VERY_LIKELY",
        "metadataKeyValueExpression": {
          "keyRegex": "classification",
          "valueRegex": "Confidential|Internal Use"
        }
      }
    ]
  },
  "item": {
    "byteItem": {
      "type": "PDF",
      "data": "BASE64_ENCODED_PDF"
    },
    "contentMetadata": {
      "properties": [
        {
          "key": "classification",
          "value": "Confidential"
        }
      ]
    }
  }
}

Remplacez BASE64_ENCODED_PDF par un fichier encodé en base64 à analyser.

Sensitive Data Protection génère un résultat s'il trouve une correspondance dans le contenu. Le résultat's MetadataType pour MetadataLocation est renseigné selon que la correspondance est intégrée au fichier (CONTENT_METADATA) ou fournie par le client (CLIENT_PROVIDED_METADATA).

Étape suivante