Sensible Daten de-identifizieren und re-identifizieren

Sensible Daten de-identifizieren und re-identifizieren

In diesem Dokument erfahren Sie, wie Sie mit Sensitive Data Protection sensible Daten in Textinhalten de- und re-identifizieren. Dabei werden Sie durch die Verwendung des Cloud Key Management Service geführt und erstellen einen zusammengefassten Schlüssel. Sie benötigen diesen Schlüssel in Ihren De- und Re-Identifikationsanfragen.

Der in diesem Dokument beschriebene Prozess wird Pseudonymisierung (oder Tokenisierung) genannt. Bei diesem Prozess verwendet Sensitive Data Protection einen kryptografischen Schlüssel, um vertraulichen Text in ein Token umzuwandeln (zu de-identifizieren). Zum Wiederherstellen (Re-Identifizieren) dieses Textes benötigen Sie den kryptografischen Schlüssel, der bei der De-Identifikation verwendet wurde, und den Token.

Der Schutz sensibler Daten unterstützt sowohl umkehrbare als auch nicht umkehrbare kryptografische Methoden. Sie müssen eine umkehrbare Methode auswählen, um Inhalte neu zu identifizieren.

Die hier beschriebene kryptografische Methode wird als deterministische Verschlüsselung mit AES-SIV (Advanced Encryption Standard im Synthetic Initialization Vector-Modus) bezeichnet. Wir empfehlen diese Methode, da sie die höchste Sicherheit unter allen umkehrbaren kryptografischen Methoden bietet, die vom Schutz sensibler Daten unterstützt werden.

Die in diesem Dokument beschriebenen Schritte lassen sich in 10 bis 20 Minuten ausführen. Dabei sind die Schritte unter Vorbereitung nicht berücksichtigt.

Hinweis:Wenn Sie Cloud KMS für kryptografische Vorgänge verwenden, fallen Gebühren an. Wenn Sie einen Cloud HSM-Schlüssel oder einen Cloud EKM-Schlüssel verwenden, wird außerdem das Cloud KMS-Kontingent für das Projekt, das den Schlüssel enthält, in Anspruch genommen. Wenn Sie dagegen einen Software-Cloud KMS-Schlüssel mit Sensitive Data Protection verwenden, gelten keine Kontingentwerte. Weitere Informationen finden Sie in der Cloud KMS-Dokumentation unter Kontingente

.

Hinweis

Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

Installieren Sie die Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

Erstellen Sie ein Google Cloud Projekt oder wählen Sie eines aus.

Rollen, die zum Auswählen oder Erstellen eines Projekts erforderlich sind

• Projekt auswählen: Für die Auswahl eines Projekts ist keine bestimmte IAM-Rolle erforderlich. Sie können jedes Projekt auswählen, für das Ihnen eine Rolle zugewiesen wurde.
• Projekt erstellen: Zum Erstellen eines Projekts benötigen Sie die Rolle „Projektersteller“ (roles/resourcemanager.projectCreator), die die Berechtigung resourcemanager.projects.create enthält. Weitere Informationen zum Zuweisen von Rollen

Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

• So erstellen Sie ein Google Cloud -Projekt:

  gcloud projects create PROJECT_ID

  Ersetzen Sie PROJECT_ID durch einen Namen für das Google Cloud -Projekt, das Sie erstellen.

• Wählen Sie das von Ihnen erstellte Google Cloud Projekt aus:

  gcloud config set project PROJECT_ID

  Ersetzen Sie PROJECT_ID durch den Namen Ihres Projekts in Google Cloud .

Wenn Sie für diese Anleitung ein vorhandenes Projekt verwenden, prüfen Sie, ob Sie die erforderlichen Berechtigungen haben. Wenn Sie ein neues Projekt erstellt haben, haben Sie bereits die erforderlichen Berechtigungen.

Prüfen Sie, ob für Ihr Google Cloud Projekt die Abrechnung aktiviert ist.

Aktivieren Sie die Sensitive Data Protection API und die Cloud KMS API:

Rollen, die zum Aktivieren von APIs erforderlich sind

Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen

gcloud services enable dlp.googleapis.com cloudkms.googleapis.com

Installieren Sie die Google Cloud CLI.

Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren:

gcloud init

Erstellen Sie ein Google Cloud Projekt oder wählen Sie eines aus.

Rollen, die zum Auswählen oder Erstellen eines Projekts erforderlich sind

• Projekt auswählen: Für die Auswahl eines Projekts ist keine bestimmte IAM-Rolle erforderlich. Sie können jedes Projekt auswählen, für das Ihnen eine Rolle zugewiesen wurde.
• Projekt erstellen: Zum Erstellen eines Projekts benötigen Sie die Rolle „Projektersteller“ (roles/resourcemanager.projectCreator), die die Berechtigung resourcemanager.projects.create enthält. Weitere Informationen zum Zuweisen von Rollen

Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

• So erstellen Sie ein Google Cloud -Projekt:

  gcloud projects create PROJECT_ID

  Ersetzen Sie PROJECT_ID durch einen Namen für das Google Cloud -Projekt, das Sie erstellen.

• Wählen Sie das von Ihnen erstellte Google Cloud Projekt aus:

  gcloud config set project PROJECT_ID

  Ersetzen Sie PROJECT_ID durch den Namen Ihres Projekts in Google Cloud .

Wenn Sie für diese Anleitung ein vorhandenes Projekt verwenden, prüfen Sie, ob Sie die erforderlichen Berechtigungen haben. Wenn Sie ein neues Projekt erstellt haben, haben Sie bereits die erforderlichen Berechtigungen.

Prüfen Sie, ob für Ihr Google Cloud Projekt die Abrechnung aktiviert ist.

Aktivieren Sie die Sensitive Data Protection API und die Cloud KMS API:

Rollen, die zum Aktivieren von APIs erforderlich sind

Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen

gcloud services enable dlp.googleapis.com cloudkms.googleapis.com

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen eines umschlossenen AES-Schlüssels, zum Anonymisieren sensibler Daten und zum Re-Identifizieren benötigen:

• Cloud KMS-Administrator (roles/cloudkms.admin)
• Cloud KMS CryptoKey-Verschlüsseler (roles/cloudkms.cryptoKeyEncrypter)
• DLP-Nutzer (roles/dlp.user)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Schlüsselbund und Schlüssel erstellen

Entscheiden Sie vor Beginn dieses Verfahrens, wo Sensitive Data Protection Ihre De-Identifikations- und Re-Identifikationsanfragen verarbeiten soll. Wenn Sie einen Cloud KMS-Schlüssel erstellen, müssen Sie ihn entweder in global oder in derselben Region speichern, die Sie für Ihre Sensitive Data Protection-Anfragen verwenden. Andernfalls schlagen die Sensitive Data Protection-Anfragen fehl.

Eine Liste der unterstützten Standorte finden Sie unter Standorte für Sensitive Data Protection. Notieren Sie sich den Namen der ausgewählten Region (z. B. us-west1).

In diesem Verfahren wird global als Speicherort für alle API-Anfragen verwendet. Wenn Sie eine andere Region verwenden möchten, ersetzen Sie global durch den Namen der Region.

1. Erstellen Sie einen Schlüsselbund:

   gcloud kms keyrings create "dlp-keyring" \
       --location "global"
   

2. Erstellen Sie einen Schlüssel:

   gcloud kms keys create "dlp-key" \
       --location "global" \
       --keyring "dlp-keyring" \
       --purpose "encryption"
   

3. Listen Sie den Schlüsselbund und Schlüssel auf:

   gcloud kms keys list \
       --location "global" \
       --keyring "dlp-keyring"
   

   Sie erhalten folgende Ausgabe:

   NAME: projects/<var>PROJECT_ID</var>/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key
   PURPOSE: ENCRYPT_DECRYPT
   ALGORITHM: GOOGLE_SYMMETRIC_ENCRYPTION
   PROTECTION_LEVEL: SOFTWARE
   LABELS:
   PRIMARY_ID: 1
   PRIMARY_STATE: ENABLED
   

   In dieser Ausgabe ist PROJECT_ID die ID Ihres Projekts.

   Der Wert von NAME ist der vollständige Ressourcenname Ihres Cloud KMS-Schlüssels. Notieren Sie sich diesen Wert, da die De-Identifikations- und Re-Identifikationsanfragen ihn erfordern.

Base64-codierten AES-Schlüssel erstellen

In diesem Abschnitt wird beschrieben, wie Sie einen AES-Schlüssel (Advanced Encryption Standard) erstellen und im base64-Format codieren.

Hinweis: In diesen Schritten werden die Befehle openssl und base64 verwendet. Es gibt jedoch viele weitere Möglichkeiten, diese Aufgabe ausführen.

1. Erstellen Sie einen AES-Schlüssel mit 128, 192 oder 256 Bit. Der folgende Befehl verwendet openssl, um einen 256-Bit-Schlüssel im aktuellen Verzeichnis zu erstellen:

   openssl rand -out "./aes_key.bin" 32
   

   Die Datei aes_key.bin wird Ihrem aktuellen Verzeichnis hinzugefügt.

2. Codieren Sie den AES-Schlüssel als base64-String:

   base64 -i ./aes_key.bin
   

   Die Ausgabe sollte in etwa so aussehen:

   uEDo6/yKx+zCg2cZ1DBwpwvzMVNk/c+jWs7OwpkMc/s=
   

   Warnung: Verwenden Sie diesen Beispielschlüssel nicht, um tatsächliche sensible Arbeitslasten zu schützen. Dieser Schlüssel dient nur als Beispiel. Da er hier freigegeben wird, kann dieser Schlüssel nicht sicher verwendet werden.

AES-Schlüssel mit dem Cloud KMS-Schlüssel verpacken

In diesem Abschnitt wird beschrieben, wie Sie mit dem in Schlüsselbund und Schlüssel erstellen erstellten Cloud KMS-Schlüssel den base64-codierten AES-Schlüssel verpacken, den Sie in base64-codierten AES-Schlüssel erstellen erstellt haben.

Verwenden Sie zum Verpacken des AES-Schlüssels curl, um folgende Anfrage an die Cloud KMS API-Methode projects.locations.keyRings.cryptoKeys.encrypt zu senden:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key:encrypt" \
    --request "POST" \
    --header "Authorization:Bearer $(gcloud auth application-default print-access-token)" \
    --header "content-type: application/json" \
    --data "{\"plaintext\": \"BASE64_ENCODED_AES_KEY\"}"

Ersetzen Sie Folgendes:

• PROJECT_ID ist die Projekt-ID.
• BASE64_ENCODED_AES_KEY ist der in base64-codierten AES-Schlüssel erstellen zurückgegebene base64-codierte String.

Die Antwort von Cloud KMS sieht in etwa wie die folgende JSON-Datei aus:

{
  "name": "projects/<var>PROJECT_ID</var>/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key/cryptoKeyVersions/1",
  "ciphertext": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
  "ciphertextCrc32c": "901327763",
  "protectionLevel": "SOFTWARE"
}

In dieser Ausgabe ist PROJECT_ID die ID Ihres Projekts.

Notieren Sie sich den Wert von ciphertext in der Antwort. Dies ist Ihr verpackter Schlüssel.

De-Identifikationsanfrage an die DLP API senden

In diesem Abschnitt wird beschrieben, wie Sie sensible Daten in Textinhalten de-identifizieren.

Zum Durcharbeiten dieser Aufgabe benötigen Sie Folgendes:

• Der vollständige Ressourcenname des Cloud KMS-Schlüssels, den Sie unter Schlüsselbund und Schlüssel erstellen erstellt haben.
• Der verpackte Schlüssel, den Sie in AES-Schlüssel mit dem Cloud KMS-Schlüssel verpacken erstellt haben.

Sie müssen die Beispielanfrage in einer JSON-Datei speichern. Wenn Sie Cloud Shell verwenden, erstellen Sie die Datei mit dem Cloud Shell-Editor. Klicken Sie zum Starten des Editors in der Cloud Shell-Symbolleiste auf  Editor öffnen .

So de-identifizieren Sie sensible Daten in Textinhalten:

1. Erstellen Sie eine JSON-Anfragedatei mit dem Namen deidentify-request.json und dem folgenden Text.

   {
     "item": {
       "value": "My name is Alicia Abernathy, and my email address is [e-mail]."
     },
     "deidentifyConfig": {
       "infoTypeTransformations": {
         "transformations": [
           {
             "infoTypes": [
               {
                 "name": "EMAIL_ADDRESS"
               }
             ],
             "primitiveTransformation": {
               "cryptoDeterministicConfig": {
                 "cryptoKey": {
                   "kmsWrapped": {
                     "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key",
                     "wrappedKey": "WRAPPED_KEY"
                   }
                 },
                 "surrogateInfoType": {
                   "name": "EMAIL_ADDRESS_TOKEN"
                 }
               }
             }
           }
         ]
       }
     },
     "inspectConfig": {
       "infoTypes": [
         {
           "name": "EMAIL_ADDRESS"
         }
       ]
     }
   }
   

   Ersetzen Sie Folgendes:

   • PROJECT_ID: die Projekt-ID.
   • WRAPPED_KEY: Der verpackte Schlüssel, den Sie in AES-Schlüssel mit dem Cloud KMS-Schlüssel verpacken erstellt haben.

   Achten Sie darauf, dass der resultierende Wert von cryptoKeyName den vollständigen Ressourcennamen Ihres Cloud KMS-Schlüssels bildet.

   Weitere Informationen zu den Komponenten dieser JSON-Anfrage finden Sie unter projects.locations.content.deidentify. Nachdem Sie diese Aufgabe abgeschlossen haben, können Sie mit verschiedenen Eingaben für diese Anfrage experimentieren. Sie können curl wie hier beschrieben verwenden. Alternativ können Sie den API Explorer auf der entsprechenden API-Referenzseite unter Diese Methode testen verwenden.

2. Verwenden Sie curl, um eine projects.locations.content.deidentify-Anfrage zu stellen:

   curl -s \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "Content-Type: application/json" \
       https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/global/content:deidentify \
       -d @deidentify-request.json
   

   Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts.

   Um einen Dateinamen an curl zu übergeben, verwenden Sie die Option -d (für „Daten“) und setzen Sie vor den Dateinamen ein @-Zeichen. Diese Datei muss sich in demselben Verzeichnis befinden, in dem Sie den Befehl curl ausführen.

   Hinweis: Diese Beispielanfrage bezieht sich explizit auf den global-Standort. Diese Anfrage entspricht dem Aufruf der projects.content.deidentify API, die standardmäßig den Standort global hat.

   Die Antwort von Sensitive Data Protection sieht in etwa wie die folgende JSON-Datei aus:

   {
     "item": {
       "value": "My name is Alicia Abernathy, and my email address is EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q."
     },
     "overview": {
       "transformedBytes": "22",
       "transformationSummaries": [
         {
           "infoType": {
             "name": "EMAIL_ADDRESS"
           },
           "transformation": {
             "cryptoDeterministicConfig": {
               "cryptoKey": {
                 "kmsWrapped": {
                   "wrappedKey": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
                   "cryptoKeyName": "projects/<var>PROJECT_ID</var>/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key"
                 }
               },
               "surrogateInfoType": {
                 "name": "EMAIL_ADDRESS_TOKEN"
               }
             }
           },
           "results": [
             {
               "count": "1",
               "code": "SUCCESS"
             }
           ],
           "transformedBytes": "22"
         }
       ]
     }
   }
   

   Im Feld item wird die E-Mail-Adresse durch ein Token wie EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q ersetzt. Notieren Sie sich den Wert des Tokens in der Antwort. Um die anonymisierten Inhalte neu zu identifizieren, müssen Sie das gesamte Token in der Re-Identifizierungsanfrage übergeben.

Re-Identifizierungsanfrage an die DLP API senden

In diesem Abschnitt wird beschrieben, wie tokenisierte Daten in Textinhalten re-identifiziert werden.

Zum Durcharbeiten dieser Aufgabe benötigen Sie Folgendes:

• Der vollständige Ressourcenname des Cloud KMS-Schlüssels, den Sie unter Schlüsselbund und Schlüssel erstellen erstellt haben.
• Der verpackte Schlüssel, den Sie in AES-Schlüssel mit dem Cloud KMS-Schlüssel verpacken erstellt haben.
• Das Token, das Sie in De-Identifikationsanfrage an die DLP API senden erhalten haben.

So re-identifizieren Sie tokenisierte Inhalte:

1. Erstellen Sie eine JSON-Anfragedatei mit dem Namen reidentify-request.json und dem folgenden Text.

   {
     "reidentifyConfig":{
       "infoTypeTransformations":{
         "transformations":[
           {
             "infoTypes":[
               {
                 "name":"EMAIL_ADDRESS_TOKEN"
               }
             ],
             "primitiveTransformation":{
               "cryptoDeterministicConfig":{
                 "cryptoKey":{
                 "kmsWrapped": {
                   "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key",
                   "wrappedKey": "WRAPPED_KEY"
                 }
               },
                 "surrogateInfoType":{
                   "name":"EMAIL_ADDRESS_TOKEN"
                 }
               }
             }
           }
         ]
       }
     },
     "inspectConfig":{
       "customInfoTypes":[
         {
           "infoType":{
             "name":"EMAIL_ADDRESS_TOKEN"
           },
           "surrogateType":{
   
           }
         }
       ]
     },
     "item":{
       "value": "My name is Alicia Abernathy, and my email address is TOKEN."
     }
   }
   

   Ersetzen Sie Folgendes:

   • PROJECT_ID: die Projekt-ID.
   • WRAPPED_KEY: Der verpackte Schlüssel, den Sie in AES-Schlüssel mit dem Cloud KMS-Schlüssel verpacken erstellt haben.
   • TOKEN: Das Token, das Sie in Anfrage zum Anonymisieren an die DLP API senden erhalten haben, z. B. EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q.

   Achten Sie darauf, dass der resultierende Wert von cryptoKeyName den vollständigen Ressourcennamen Ihres Cloud KMS-Schlüssels bildet.

   Weitere Informationen zu den Komponenten dieser JSON-Anfrage finden Sie unter projects.locations.content.reidentify. Nachdem Sie diese Aufgabe abgeschlossen haben, können Sie mit verschiedenen Eingaben für diese Anfrage experimentieren. Sie können curl wie hier beschrieben verwenden. Alternativ können Sie den API Explorer auf der API-Referenzseite unter Diese Methode testen verwenden.

2. Verwenden Sie curl, um eine projects.locations.content.reidentify-Anfrage zu stellen:

   curl -s \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "Content-Type: application/json" \
       https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/global/content:reidentify \
       -d @reidentify-request.json
   

   Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts.

   Um einen Dateinamen an curl zu übergeben, verwenden Sie die Option -d (für „Daten“) und setzen Sie vor den Dateinamen ein @-Zeichen. Diese Datei muss sich in demselben Verzeichnis befinden, in dem Sie den Befehl curl ausführen.

   Hinweis: Diese Beispielanfrage bezieht sich explizit auf den global-Standort. Diese Anfrage entspricht dem Aufruf der projects.content.reidentify API, die standardmäßig den Standort global hat.

   Die Antwort von Sensitive Data Protection sieht in etwa wie die folgende JSON-Datei aus:

   {
     "item": {
       "value": "My name is Alicia Abernathy, and my email address is [e-mail]."
     },
     "overview": {
       "transformedBytes": "70",
       "transformationSummaries": [
         {
           "infoType": {
             "name": "EMAIL_ADDRESS"
           },
           "transformation": {
             "cryptoDeterministicConfig": {
               "cryptoKey": {
                 "kmsWrapped": {
                   "wrappedKey": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
                   "cryptoKeyName": "projects/<var>PROJECT_ID</var>/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key"
                 }
               },
               "surrogateInfoType": {
                 "name": "EMAIL_ADDRESS_TOKEN"
               }
             }
           },
           "results": [
             {
               "count": "1",
               "code": "SUCCESS"
             }
           ],
           "transformedBytes": "70"
         }
       ]
     }
   }
   

   Im item-Feld wird das E-Mail-Adresstoken durch die tatsächliche E-Mail-Adresse aus dem ursprünglichen Text ersetzt.

   Sie haben jetzt sensible Daten in Textinhalten mit der deterministischen Verschlüsselung de- und re-identifiziert.

Bereinigen

Löschen Sie das Projekt von Google Cloud zusammen mit den Ressourcen, damit Ihrem Konto von Google Cloud die auf dieser Seite verwendeten Ressourcen nicht in Rechnung gestellt werden.

Schlüsselversion löschen

Wenn Sie den in dieser Aufgabe erstellten Schlüssel nicht mehr verwenden möchten, löschen Sie die Schlüsselversion.

Warnung: Wenn Sie eine Schlüsselversion löschen, können Sie keine Inhalte mehr decodieren, die mit dieser Version des Schlüssels codiert wurden Achten Sie darauf, dass Sie eine Schlüsselversion nicht mehr benötigen, bevor Sie sie löschen.

Listen Sie die für Ihren Schlüssel verfügbaren Versionen auf:

gcloud kms keys versions list \
    --location "global" \
    --keyring "dlp-keyring" \
    --key "dlp-key"

Führen Sie folgenden Befehl aus, um eine Version zu löschen:

gcloud kms keys versions destroy KEY_VERSION \
    --location "global" \
    --keyring "dlp-keyring" \
    --key "dlp-key"

Ersetzen Sie KEY_VERSION durch die Nummer der zu löschenden Version, z. B. 1.

Projekt löschen

Wenn Sie für diese Aufgabe ein neues Projekt erstellt haben, vermeiden Sie weitere Kosten am einfachsten, indem Sie das Projekt löschen.

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:

• Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
• Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, zum Beispiel eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, anstatt das gesamte Projekt.

Wenn Sie mehrere Architekturen, Anleitungen und Kurzanleitungen durcharbeiten möchten, können Sie die Überschreitung von Projektkontingenten verhindern, indem Sie Projekte wiederverwenden.

Google Cloud -Projekt löschen:

gcloud projects delete PROJECT_ID

Anmeldedaten widerrufen

Optional: Widerrufen Sie Anmeldedaten von der gcloud-CLI.

gcloud auth revoke

Nächste Schritte

• Weitere Informationen zum De-Identifizieren sensibler Inhalte finden Sie unter Sensible Daten de-identifizieren.
• Informationen dazu, wie ein De-Identifikationsworkflow in reale Bereitstellungen passt, finden Sie unter Personenidentifizierbare Informationen in umfangreichen Datasets mit dem Schutz sensibler Daten de-identifizieren und re-identifizieren.
• Konzeptionelle Informationen zum Tokenisieren von Daten mit einem kryptografischen Schlüssel finden Sie unter Pseudonymisierung.