Profila i dati di Azure Blob Storage

Questa pagina descrive come configurare il discovery di Sensitive Data Protection per Azure Blob Storage. Questa funzionalità è disponibile solo per i clienti che hanno attivato Security Command Center nel livello Enterprise.

Il rilevamento di Sensitive Data Protection ti aiuta a conoscere i tipi di dati che archivi in Blob Storage e i livelli di sensibilità dei tuoi dati. Quando profili i dati di Blob Storage, generi profili di dati dell'archivio file, che forniscono approfondimenti e metadati sui container Blob Storage. Per ogni container Blob Storage, un profilo di dati del file store include le seguenti informazioni:

• I tipi di file che stai archiviando nel container, classificati in cluster di file
• Il livello di sensibilità dei dati nel contenitore
• Un riepilogo di ogni cluster di file rilevato, inclusi i tipi di informazioni sensibili trovate

Per un elenco completo degli insight e dei metadati in ogni profilo dati dell'archivio file, consulta Profili dati dell'archivio file.

Per saperne di più sul servizio di rilevamento, consulta Profili di dati.

Workflow

Il flusso di lavoro generale per la profilazione dei dati di Azure Blob Storage è il seguente:

1. In Security Command Center, crea un connettore per Microsoft Azure. Assicurati di selezionare Concedi le autorizzazioni per il rilevamento di Sensitive Data Protection.

2. Crea un template di ispezione nella regione global o nella regione in cui prevedi di archiviare la configurazione di scansione di rilevamento e tutti i profili dei dati generati.

3. Crea una configurazione di scansione di rilevamento per Azure Blob Storage.

   Sensitive Data Protection profila i dati in base alla pianificazione che specifichi.

Considerazioni sulla residenza dei dati

Quando pianifichi di profilare i dati di altri cloud provider, tieni presente quanto segue:

• I profili di dati vengono archiviati insieme alla configurazione della scansione di rilevamento. Al contrario, quando esegui la profilazione dei dati Google Cloud , i profili vengono archiviati nella stessa regione dei dati da profilare.
• Se memorizzi il modello di ispezione nella regione global, viene letta una copia in memoria del modello nella regione in cui memorizzi la configurazione della scansione di rilevamento.
• I tuoi dati non vengono modificati. Una copia in memoria dei tuoi dati viene letta nella regione in cui memorizzi la configurazione della scansione di rilevamento. Tuttavia, Sensitive Data Protection non fornisce alcuna garanzia sul percorso dei dati dopo che hanno raggiunto la rete internet pubblica. I dati vengono criptati con SSL.

File e container vuoti

Il rilevamento non analizza i file e i container Blob Storage vuoti e non li prende in considerazione quando elenca le estensioni dei file visualizzate. Anche un container che contiene solo file vuoti è considerato vuoto.

Prima di iniziare

1. In Security Command Center, crea un connettore per Microsoft Azure. Per saperne di più, consulta Connettiti a Microsoft Azure per la raccolta dei dati di configurazione e delle risorse nella documentazione di Security Command Center.

2. Verifica di disporre delle autorizzazioni IAM necessarie per configurare i profili dati a livello di organizzazione.

   Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), puoi comunque creare una configurazione di scansione. Tuttavia, dopo aver creato la configurazione di scansione, un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati al tuo service agent.

3. Verifica di avere un modello di ispezione nella regione global o nella regione in cui prevedi di archiviare la configurazione di scansione del rilevamento e tutti i profili dei dati generati.

   Questa attività consente di creare automaticamente un template di ispezione solo nella regione global. Se le policy dell'organizzazione ti impediscono di creare un template di ispezione nella regione global, prima di eseguire questa attività devi creare un template di ispezione nella regione in cui prevedi di archiviare la configurazione di scansione del rilevamento.

4. Per inviare notifiche Pub/Sub a un argomento quando si verificano determinati eventi, ad esempio quando Sensitive Data Protection profila un nuovo contenitore, crea un argomento Pub/Sub prima di eseguire questa attività.

Per generare profili dei dati, devi disporre di un container dell'agente di servizio e di un agente di servizio al suo interno. Questa attività ti consente di crearli automaticamente.

Creazione di una configurazione di scansione

1. Vai alla pagina Crea configurazione di scansione.

   Vai a Crea configurazione di scansione

2. Vai alla tua organizzazione. Nella barra degli strumenti, fai clic sul selettore di progetti e seleziona la tua organizzazione.

Le sezioni seguenti forniscono ulteriori informazioni sui passaggi della pagina Crea configurazione di scansione. Al termine di ogni sezione, fai clic su Continua.

Seleziona un tipo di rilevamento

Seleziona Azure Blob Storage.

Seleziona ambito

Esegui una delle seguenti operazioni:

• Per analizzare tutti gli asset Blob Storage a cui ha accesso il connettore Azure, seleziona Analizza tutti gli asset Azure disponibili tramite il connettore.
• Per analizzare i dati di Blob Storage in un singolo abbonamento Azure, seleziona Analizza un abbonamento Azure. Inserisci l'ID abbonamento.
• Per scansionare un singolo container Blob Storage, seleziona Scansiona un container Azure Blob Storage. Inserisci i dettagli del container che vuoi scansionare.

Gestisci pianificazioni

Se la frequenza di profilazione predefinita soddisfa le tue esigenze, puoi saltare questa sezione della pagina Crea configurazione di analisi.

Configura questa sezione per i seguenti motivi:

• Per apportare modifiche granulari alla frequenza di profilazione di tutti i dati o di determinati sottoinsiemi di dati.
• Per specificare i contenitori di cui non vuoi creare un profilo.
• Per specificare i contenitori per i quali non vuoi creare profili più di una volta.

Per apportare modifiche granulari alla frequenza di profilazione, segui questi passaggi:

1. Fai clic su Aggiungi pianificazione.

   Nota :se hai selezionato un singolo contenitore come ambito di questa configurazione, non puoi aggiungere una pianificazione. Puoi modificare solo la programmazione catch-all. Inoltre, non puoi specificare filtri. Puoi solo modificare la frequenza e le condizioni per la profilazione.

2. Nella sezione Filtri, definisci uno o più filtri che specificano quali container rientrano nell'ambito della pianificazione. Un container è considerato nell'ambito della pianificazione se corrisponde ad almeno uno dei filtri definiti.

   Per configurare un filtro, specifica almeno uno dei seguenti elementi:

   • Un ID abbonamento o un'espressione regolare che specifica uno o più ID abbonamento
   • Un nome container o un'espressione regolare che specifica uno o più container

   Le espressioni regolari devono seguire la sintassi RE2.

   Ad esempio, se vuoi che tutti i container di un account siano inclusi nel filtro, inserisci l'ID abbonamento nel campo ID abbonamento.

   Per corrispondere a un filtro, un container deve soddisfare tutte le espressioni regolari specificate all'interno del filtro.

   Per aggiungere altri filtri, fai clic su Aggiungi filtro e ripeti questo passaggio.

3. Fai clic su Frequenza.

4. Nella sezione Frequenza, specifica se profilare i contenitori che hai selezionato e, in caso affermativo, con quale frequenza:

   • Se non vuoi mai che i container vengano profilati, disattiva l'opzione Profila questi dati.

   • Se vuoi che i container vengano profilati almeno una volta, lascia attiva l'opzione Profila questi dati.

     Specifica se eseguire nuovamente la profilazione dei dati e quali eventi devono attivare un'operazione di riprofilazione. Per saperne di più, consulta Frequenza di generazione dei profili dei dati.

     1. Per In base a una pianificazione, specifica la frequenza con cui vuoi che i container vengano riprofilati. I container vengono riprofilati indipendentemente dal fatto che abbiano subito modifiche.
     2. Per Quando si esaminano le modifiche al modello, specifica se vuoi che i dati vengano riprofilati quando il modello di ispezione associato viene aggiornato e, in caso affermativo, con quale frequenza.
        Nota:specifica i modelli di ispezione da utilizzare nel passaggio Seleziona modello di ispezione di questa pagina.

        Una modifica al modello di ispezione viene rilevata quando si verifica una delle seguenti condizioni:

        • Il nome di un template di ispezione cambia nella configurazione di scansione.
        • updateTime di un template di ispezione cambia.

     Ad esempio, se imposti un template di ispezione per la regione us-west1 e lo aggiorni, verrà eseguita la nuova profilazione solo dei dati nella regione us-west1.

5. (Facoltativo) Fai clic su Condizioni.

   Nella sezione Condizioni, specifica le condizioni che i container, definiti nei filtri, devono soddisfare prima che Sensitive Data Protection li profili.

   Per impostazione predefinita, Sensitive Data Protection analizza tutti gli oggetti in un container. Se vuoi analizzare solo gli oggetti in un particolare livello di accesso blob, seleziona questi livelli. Per includere i blob che non hanno un livello di accesso, seleziona Non applicabile.

6. Fai clic su Fine.

7. (Facoltativo) Per aggiungere altre pianificazioni, fai clic su Aggiungi pianificazione e ripeti i passaggi precedenti.

8. Per specificare la precedenza tra le pianificazioni, riordinali utilizzando le frecce su e giù .

   L'ordine delle pianificazioni specifica come vengono risolti i conflitti tra le pianificazioni. Se un container corrisponde ai filtri di due pianificazioni diverse, la pianificazione più in alto nell'elenco delle pianificazioni determina la frequenza di profilazione per quel container.

   Nota :se la modalità di determinazione dei prezzi per la scoperta è la modalità di abbonamento, la velocità con cui Sensitive Data Protection profila i tuoi dati è influenzata dalla capacità che hai acquistato. Per determinare la capacità di profilazione giornaliera, consulta Monitoraggio dell'utilizzo. Se hai eseguito un provisioning insufficiente della capacità, le frequenze di profilazione impostate nelle pianificazioni potrebbero non essere rispettate. Se esiste un backlog di dati da profilare, l'ordine di pianificazione non determina l'ordine in cui Sensitive Data Protection profila i dati nel backlog. Al contrario, tutte le risorse di dati nell'ambito ricevono uno slot assegnato in modo casuale nella coda.

9. (Facoltativo) Modifica o disattiva la pianificazione generica.

   L'ultima pianificazione nell'elenco è la pianificazione generica. Questa pianificazione copre i container nell'ambito selezionato che non corrispondono a nessuna delle pianificazioni che hai creato. La pianificazione generica segue la frequenza di profilazione predefinita del sistema.

   • Per modificare la programmazione generica, fai clic su Modifica programmazione, quindi modifica le impostazioni in base alle esigenze.
   • Per impedire a Sensitive Data Protection di profilare qualsiasi risorsa coperta dalla pianificazione generica, disattiva l'opzione Profila le risorse che non corrispondono a nessuna pianificazione personalizzata.

Seleziona un modello di ispezione

A seconda di come vuoi fornire una configurazione di ispezione, scegli una delle seguenti opzioni. Indipendentemente dall'opzione scelta, Sensitive Data Protection analizza i dati nella regione in cui sono archiviati. In altre parole, i tuoi dati non lasciano la regione di origine.

Opzione 1: crea un modello di ispezione

Scegli questa opzione se vuoi creare un nuovo template di ispezione nella regione global.

1. Fai clic su Crea nuovo modello di ispezione.

2. (Facoltativo) Per modificare la selezione predefinita degli infoType, fai clic su Gestisci infoType.

   Per saperne di più su come gestire gli infoType integrati e personalizzati, consulta Gestisci gli infoType tramite la console Google Cloud .

   Per continuare, devi selezionare almeno un infoType.

3. (Facoltativo) Configura ulteriormente il template di ispezione aggiungendo set di regole e impostando una soglia di confidenza. Per saperne di più, consulta Configura il rilevamento.

Quando Sensitive Data Protection crea la configurazione di scansione, archivia questo nuovo template di ispezione nella regione global.

Opzione 2: utilizza un modello di ispezione esistente

Scegli questa opzione se hai modelli di ispezione esistenti che vuoi utilizzare.

1. Fai clic su Seleziona template di ispezione esistente.
2. Inserisci il nome risorsa completo del modello di ispezione che vuoi utilizzare. Il campo Regione viene compilato automaticamente con il nome della regione in cui è archiviato il modello di ispezione.

   Il modello di ispezione che inserisci deve trovarsi nella stessa regione in cui prevedi di archiviare questa configurazione di scansione del rilevamento e tutti i profili di dati generati.

   Per rispettare la residenza dei dati, Sensitive Data Protection non utilizza un template di ispezione al di fuori della regione in cui è archiviato.

   Per trovare il nome risorsa completo di un modello di ispezione, segui questi passaggi:

   1. Vai all'elenco dei modelli di ispezione. Questa pagina si apre in una scheda separata.

      Vai ai modelli di ispezione

   2. Seleziona il progetto che contiene il modello di ispezione che vuoi utilizzare.
   3. Seleziona Configurazione > Modelli > Ispeziona, quindi fai clic sull'ID del modello che vuoi utilizzare.
   4. Nella pagina che si apre, copia il nome completo della risorsa del template. Il nome completo della risorsa segue questo formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Nella pagina Crea configurazione di scansione, nel campo Nome template, incolla il nome completo della risorsa del template.

Aggiungi azioni

Questa sezione descrive come specificare le azioni che vuoi che Sensitive Data Protection esegua dopo la profilazione di un container. Queste azioni sono utili se vuoi inviare insight raccolti dai profili dei dati ad altri serviziGoogle Cloud .

Nota: per informazioni su come altri servizi Google Cloud potrebbero addebitarti costi per la configurazione delle azioni, consulta Prezzi per l'esportazione dei profili di dati.

Pubblica in Google Security Operations

Le metriche raccolte dai profili dei dati possono aggiungere contesto ai risultati di Google Security Operations. Il contesto aggiuntivo può aiutarti a determinare i problemi di sicurezza più importanti da risolvere.

Ad esempio, se stai esaminando un determinato service agent, Google Security Operations può determinare a quali risorse ha eseguito l'accesso e se alcune di queste risorse contengono dati ad alta sensibilità.

Per inviare i profili dei dati all'istanza di Google Security Operations, attiva Pubblica in Google Security Operations.

Se non hai un'istanza Google Security Operations abilitata per la tua organizzazione, tramite il prodotto autonomo o tramite Security Command Center Enterprise, l'attivazione di questa opzione non ha alcun effetto.

Pubblica su Security Command Center

I risultati dei profili dati forniscono il contesto per la valutazione e lo sviluppo di piani di risposta per i risultati relativi a vulnerabilità e minacce in Security Command Center.

Nota: puoi anche configurare Security Command Center in modo che assegni automaticamente la priorità alle risorse per la funzionalità di simulazione del percorso di attacco in base alla sensibilità calcolata dei dati contenuti nelle risorse. Per saperne di più, consulta Imposta automaticamente i valori di priorità delle risorse in base alla sensibilità dei dati.

Per inviare i risultati dei profili di dati a Security Command Center, assicurati che l'opzione Pubblica in Security Command Center sia attivata.

Per saperne di più, consulta Pubblicare profili di dati in Security Command Center.

Salva le copie dei profili dati in BigQuery

Sensitive Data Protection salva una copia di ogni profilo dati generato in una tabella BigQuery. Se non fornisci i dettagli della tabella che preferisci, Sensitive Data Protection crea un set di dati e una tabella nel container del service agent. Per impostazione predefinita, il set di dati è denominato sensitive_data_protection_discovery e la tabella è denominata discovery_profiles.

Importante: la tabella di output utilizza DataProfileBigQueryRowSchema come schema. Questo schema può cambiare man mano che Sensitive Data Protection aggiunge funzionalità. Assicurati che i tuoi flussi di lavoro possano gestire le modifiche dello schema, ad esempio ignorando i campi sconosciuti.

In questo modo, puoi conservare una cronologia di tutti i profili generati. Questa cronologia può essere utile per creare report di audit e visualizzare i profili dei dati. Puoi anche caricare queste informazioni in altri sistemi.

Inoltre, questa opzione ti consente di visualizzare tutti i profili dati in un'unica visualizzazione, indipendentemente dalla regione in cui si trovano i dati. Anche se puoi visualizzare i profili dei dati tramite la consoleGoogle Cloud , la console mostra i profili in una sola regione alla volta.

Quando Sensitive Data Protection non riesce a profilare un contenitore, esegue periodicamente nuovi tentativi. Per ridurre al minimo il rumore nei dati esportati, Sensitive Data Protection esporta in BigQuery solo i profili generati correttamente.

Sensitive Data Protection inizia a esportare i profili dal momento in cui attivi questa opzione. I profili generati prima dell'attivazione dell'esportazione non vengono salvati in BigQuery.

Nota : il service agent deve disporre dell'accesso in scrittura alla tabella in cui verranno salvate le copie dei profili. Se non hai ancora un service agent, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Crea configurazione di scansione.

Per esempi di query che puoi utilizzare durante l'analisi dei profili di dati, consulta Analizza i profili di dati.

Salva i risultati del rilevamento di esempio in BigQuery

Sensitive Data Protection può aggiungere risultati di esempio a una tabella BigQuery a tua scelta. I risultati di esempio rappresentano un sottoinsieme di tutti i risultati e potrebbero non rappresentare tutti i tipi di informazioni rilevati. Normalmente, il sistema genera circa 10 risultati di esempio per container, ma questo numero può variare per ogni esecuzione del rilevamento.

Ogni risultato include la stringa effettiva (chiamata anche citazione) rilevata e la sua posizione esatta.

Questa azione è utile se vuoi valutare se la configurazione di ispezione corrisponde correttamente al tipo di informazioni che vuoi contrassegnare come sensibili. Utilizzando i profili dati esportati e i risultati di esempio esportati, puoi eseguire query per ottenere ulteriori informazioni sugli elementi specifici contrassegnati, sugli infoType corrispondenti, sulle loro posizioni esatte, sui livelli di sensibilità calcolati e su altri dettagli.

Importante: la tabella di output utilizza DataProfileFinding come schema. Questo schema può cambiare man mano che Sensitive Data Protection aggiunge funzionalità. Assicurati che i tuoi flussi di lavoro possano gestire le modifiche allo schema, ad esempio ignorando i campi sconosciuti.

Query di esempio: mostra i risultati di esempio relativi ai profili dati dell'archivio file

Questo esempio richiede l'attivazione sia di Salva le copie dei profili dati in BigQuery sia di Salva i risultati del rilevamento di esempio in BigQuery.

La seguente query utilizza un'operazione INNER JOIN sia sulla tabella dei profili dati esportati sia sulla tabella dei risultati di esempio esportati. Nella tabella risultante, ogni record mostra la citazione del risultato, l'infoType corrispondente, la risorsa che contiene il risultato e il livello di sensibilità calcolato della risorsa.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

Per salvare i risultati di esempio in una tabella BigQuery, segui questi passaggi:

1. Attiva Salva i risultati del rilevamento di esempio in BigQuery.

2. Inserisci i dettagli della tabella BigQuery in cui vuoi salvare i risultati di esempio.

   La tabella specificata per questa azione deve essere diversa da quella utilizzata per l'azione Salva le copie dei profili di dati in BigQuery.

   • In ID progetto, inserisci l'ID di un progetto esistente in cui vuoi esportare i risultati.

   • In ID set di dati, inserisci il nome di un set di dati esistente nel progetto.

   • In ID tabella, inserisci il nome della tabella BigQuery in cui vuoi salvare i risultati. Se questa tabella non esiste, Sensitive Data Protection la crea automaticamente utilizzando il nome che fornisci.

Nota: il tuo service agent deve avere l'accesso in scrittura alla tabella. Se non hai ancora un agente di servizio, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Crea configurazione di scansione.

Per informazioni sui contenuti di ogni risultato salvato nella tabella BigQuery, consulta DataProfileFinding.

Pubblica in Pub/Sub

L'attivazione di Pubblica in Pub/Sub ti consente di intraprendere azioni programmatiche in base ai risultati della profilazione. Puoi utilizzare le notifiche Pub/Sub per sviluppare un flusso di lavoro per rilevare e correggere i risultati con rischi o sensibilità dei dati significativi.

Per inviare notifiche a un argomento Pub/Sub:

1. Attiva Pubblica in Pub/Sub.

   Viene visualizzato un elenco di opzioni. Ogni opzione descrive un evento che fa sì che Sensitive Data Protection invii una notifica a Pub/Sub.

2. Seleziona gli eventi che devono attivare una notifica Pub/Sub.

   Se selezioni Invia una notifica Pub/Sub ogni volta che un profilo viene aggiornato, Sensitive Data Protection invia una notifica quando si verifica una modifica del livello di sensibilità, del livello di rischio dei dati, degli infoType rilevati, dell'accesso pubblico e di altre metriche importanti nel profilo.

3. Per ogni evento selezionato:

   1. Inserisci il nome dell'argomento. Il nome deve essere nel seguente formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del progetto associato all'argomento Pub/Sub.
      • TOPIC_ID: l'ID dell'argomento Pub/Sub.

   2. Specifica se includere il profilo completo del container nella notifica o solo il nome completo della risorsa del container profilato.

   3. Imposta i livelli minimi di rischio e sensibilità dei dati che devono essere soddisfatti affinché Sensitive Data Protection invii una notifica.

   4. Specifica se deve essere soddisfatta solo una o entrambe le condizioni di rischio e sensibilità dei dati. Ad esempio, se scegli AND, devono essere soddisfatte sia le condizioni di rischio dei dati sia quelle di sensibilità prima che Sensitive Data Protection invii una notifica.

Nota: il tuo service agent deve avere accesso in pubblicazione all'argomento Pub/Sub. Un esempio di ruolo con accesso in pubblicazione è il ruolo Publisher Pub/Sub (roles/pubsub.publisher). Se non hai ancora un service agent, Sensitive Data Protection ti consente di crearne uno in un secondo momento nella pagina Crea configurazione di scansione. Se si verificano problemi di configurazione o autorizzazione con l'argomento Pub/Sub, Sensitive Data Protection riprova a inviare la notifica Pub/Sub per un massimo di due settimane. Dopo due settimane, la notifica viene ignorata.

Gestisci il container dell'agente di servizio gestito e la fatturazione

In questa sezione, specifica il progetto da utilizzare come container dell'agente di servizio. Puoi fare in modo che Sensitive Data Protection crei automaticamente un nuovo progetto oppure puoi sceglierne uno esistente.

Indipendentemente dal fatto che tu stia utilizzando un service agent appena creato o che ne stia riutilizzando uno esistente, assicurati che abbia l'accesso in lettura ai dati da profilare.

Crea automaticamente un progetto

Se non disponi delle autorizzazioni necessarie per creare un progetto nell'organizzazione, devi selezionare un progetto esistente o ottenere le autorizzazioni richieste. Per informazioni sulle autorizzazioni richieste, consulta Ruoli richiesti per lavorare con i profili dati a livello di organizzazione o cartella.

Per creare automaticamente un progetto da utilizzare come container dell'agente di servizio, segui questi passaggi:

1. Nel campo Container dell'agente di servizio, rivedi l'ID progetto suggerito e modificalo se necessario.
2. Fai clic su Crea.
3. (Facoltativo) Aggiorna il nome del progetto predefinito.

4. Seleziona l'account a cui fatturare tutte le operazioni fatturabili relative a questo nuovo progetto, incluse quelle non correlate alla scoperta.

   Nota: anche se hai già un abbonamento discovery a livello di organizzazione, questo account di fatturazione è comunque necessario per creare il progetto. Tuttavia, per tutte le operazioni di discovery, la fatturazione avviene tramite il progetto associato al tuo abbonamento.

5. Fai clic su Crea.

Sensitive Data Protection crea il nuovo progetto. L'agente di servizio all'interno di questo progetto verrà utilizzato per l'autenticazione a Sensitive Data Protection e ad altre API.

Seleziona un progetto esistente

Per selezionare un progetto esistente come container dell'agente di servizio, fai clic sul campo Container dell'agente di servizio e seleziona il progetto.

Imposta la posizione in cui archiviare la configurazione

Fai clic sull'elenco Località della risorsa e seleziona la regione in cui vuoi archiviare questa configurazione di scansione. Anche tutte le configurazioni di scansione che creerai in un secondo momento verranno archiviate in questa località.

La posizione in cui scegli di archiviare la configurazione della scansione non influisce sui dati da scansionare. I tuoi dati vengono analizzati nella stessa regione in cui sono archiviati. Per saperne di più, consulta Considerazioni sulla residenza dei dati.

Nota: se hai già una configurazione di analisi esistente, non puoi modificare il valore impostato in questo campo. Tutte le configurazioni della scansione sono archiviate nella stessa posizione. Se vuoi modificare la posizione di tutte le configurazioni di scansione, devi eliminarle, ricrearle e archiviarle nella nuova posizione.

Rivedi e crea la configurazione

1. Se vuoi assicurarti che la profilazione non venga avviata automaticamente dopo aver creato la configurazione della scansione, seleziona Crea analisi in modalità in pausa.

   Questa opzione è utile nei seguenti casi:

   • L'amministratore di Google Cloud deve comunque concedere l'accesso alla profilazione dei dati all'agente di servizio.
   • Vuoi creare più configurazioni di scansione e vuoi che alcune configurazioni eseguano l'override di altre.
   • Hai scelto di salvare i profili dati in BigQuery e vuoi assicurarti che l'agente di servizio disponga dell'accesso in scrittura alla tabella BigQuery in cui verranno salvate le copie dei profili dati.
   • Hai scelto di salvare i risultati del rilevamento di esempio in BigQuery e vuoi assicurarti che il service agent disponga dell'accesso in scrittura alla tabella BigQuery in cui verranno salvati i risultati di esempio.
   • Hai configurato le notifiche Pub/Sub e vuoi concedere l'accesso alla pubblicazione al service agent.
2. Rivedi le impostazioni e fai clic su Crea.

   Sensitive Data Protection crea la configurazione di scansione e la aggiunge all'elenco delle configurazioni di scansione del discovery.

Per visualizzare o gestire le configurazioni di scansione, consulta Gestisci le configurazioni di scansione.

Nota: miglioriamo regolarmente il nostro algoritmo di rilevamento. Se rileviamo che la tua organizzazione o il tuo progetto potrebbero trarre vantaggio da un nuovo miglioramento da noi implementato, potremmo rigenerare automaticamente i tuoi profili di dati e ripetere le azioni nella configurazione di scansione. Per questa operazione non ti verrà addebitato alcun costo di Sensitive Data Protection. Tuttavia, dal momento che ripetiamo le azioni, potrebbero esserti addebitati i costi per l'utilizzo di altri servizi Google Cloud . Ad esempio, se hai configurato Sensitive Data Protection per salvare i profili di dati in BigQuery, potrebbero esserti addebitati i costi di BigQuery.

Passaggi successivi

• Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati al tuo agente di servizio.
• Scopri come gestire i profili dei dati.
• Scopri come gestire le configurazioni di scansione.
• Scopri come ricevere e analizzare i messaggi Pub/Sub pubblicati dal profiler dei dati.
• Scopri come risolvere i problemi relativi ai profili dei dati.
• Consulta i limiti della profilazione dei dati.
• Esamina i cluster di file che il rilevamento di dati sensibili può scansionare.