Cloud Data Loss Prevention (Cloud DLP) ist jetzt Teil des Schutzes sensibler Daten. Der Name der API bleibt unverändert: Cloud Data Loss Prevention API (DLP API). Informationen zu den Diensten, die zum Schutz sensibler Daten gehören, finden Sie unter Schutz sensibler Daten.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cloud SQL-Daten in einem einzelnen Projekt profilieren

Auf dieser Seite wird beschrieben, wie Sie die Cloud SQL-Datenerkennung auf Projektebene konfigurieren. Wenn Sie ein Profil für eine Organisation oder einen Ordner erstellen möchten, lesen Sie den Abschnitt Cloud SQL-Daten in einer Organisation oder einem Ordner profilieren.

Weitere Informationen zum Discovery-Dienst finden Sie unter Datenprofile.

Funktionsweise

Im Folgenden finden Sie einen allgemeinen Workflow für das Erstellen von Profilen für Cloud SQL-Daten:

Scankonfiguration erstellen

Nachdem Sie eine Scankonfiguration erstellt haben, identifiziert Sensitive Data Protection Ihre Cloud SQL-Instanzen und erstellt für jede Instanz eine Standardverbindung. Je nach Anzahl der Instanzen im Bereich der Erkennung kann dieser Vorgang einige Stunden dauern. Sie können dieGoogle Cloud -Console schließen und Ihre Verbindungen später prüfen.
Weisen Sie dem Dienst-Agenten, der mit Ihrer Scankonfiguration verknüpft ist, die erforderlichen IAM-Rollen zu.
Wenn die Standardverbindungen bereit sind, gewähren Sie Sensitive Data Protection Zugriff auf Ihre Cloud SQL-Instanzen, indem Sie jede Verbindung mit den richtigen Datenbank-Nutzeranmeldedaten aktualisieren. Sie können vorhandene Datenbanknutzerkonten angeben oder Datenbanknutzer erstellen.

Hinweis: Bei Cloud SQL for PostgreSQL-Instanzen haben Sie die Möglichkeit, stattdessen den Dienst-Agent als Datenbanknutzer zu verwenden.
Empfohlen: Erhöhen Sie die maximale Anzahl von Verbindungen, die Sensitive Data Protection zum Erstellen von Profilen für Ihre Daten verwenden kann. Wenn Sie die Anzahl der Verbindungen erhöhen, kann die Suche beschleunigt werden.

Unterstützte Dienste

Diese Funktion unterstützt Folgendes:

Cloud SQL for MySQL
Cloud SQL for PostgreSQL

Cloud SQL for SQL Server wird nicht unterstützt.

Verarbeitungs- und Speicherregionen

Sensitive Data Protection ist ein regionaler und multiregionaler Dienst, bei dem nicht zwischen Zonen unterschieden wird. Wenn Sensitive Data Protection ein Profil für eine Cloud SQL-Instanz erstellt, werden die Daten in der aktuellen Region, aber nicht unbedingt in der aktuellen Zone verarbeitet. Wenn eine Cloud SQL-Instanz beispielsweise in der Zone us-central1-a gespeichert ist, verarbeitet und speichert Sensitive Data Protection die Datenprofile in der Region us-central1.

Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Hinweis

Wenn Sie ein Discovery-Abo auf Organisationsebene haben, einschließlich eines über Security Command Center, beachten Sie, dass diese Discovery-Konfiguration auf Projektebene nicht in Ihrem Abo enthalten ist und separat abgerechnet wird. Wir empfehlen, zum Erstellen des Profils für das Projekt eine Discovery-Konfiguration auf Organisationsebene zu verwenden. Weitere Informationen finden Sie unter Ausgewählte Projekte oder Daten-Assets in einer Organisation oder einem Ordner profilieren.
Prüfen Sie, ob die Cloud Data Loss Prevention API in Ihrem Projekt aktiviert ist:
Prüfen Sie, ob Sie die IAM-Berechtigungen haben, die zum Konfigurieren von Datenprofilen auf Projektebene erforderlich sind.
Sie benötigen eine Inspektionsvorlage in jeder Region, in der Sie Daten haben, für die ein Profil erstellt werden soll. Wenn Sie eine einzelne Vorlage für mehrere Regionen verwenden möchten, können Sie eine Vorlage verwenden, die in der Region global gespeichert ist. Wenn Organisationsrichtlinien verhindern, dass Sie eine Prüfvorlage in der Region global erstellen, müssen Sie für jede Region eine dedizierte Prüfvorlage festlegen. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Mit dieser Aufgabe können Sie eine Inspektionsvorlage nur in der Region global erstellen. Wenn Sie spezielle Inspektionsvorlagen für eine oder mehrere Regionen benötigen, müssen Sie diese Vorlagen erstellen, bevor Sie diese Aufgabe ausführen.
Sie können Sensitive Data Protection so konfigurieren, dass Benachrichtigungen an Pub/Sub gesendet werden, wenn bestimmte Ereignisse auftreten, z. B. wenn Sensitive Data Protection ein Profil für eine neue Tabelle erstellt. Wenn Sie diese Funktion verwenden möchten, müssen Sie zuerst ein Pub/Sub-Thema erstellen.
Sie können Sensitive Data Protection so konfigurieren, dass Tags automatisch an Ihre Ressourcen angehängt werden. Mit dieser Funktion können Sie den Zugriff auf diese Ressourcen basierend auf den berechneten Vertraulichkeitsstufen bedingt gewähren. Wenn Sie diese Funktion verwenden möchten, müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.
Sie können Sensitive Data Protection so konfigurieren, dass den profilierten Cloud SQL-Ressourcen basierend auf den Erkennungsergebnissen automatisch Aspekte angehängt werden. Wenn Sie diese Funktion verwenden möchten, müssen Sie die Einbindung des universellen Katalogs in Ihrer Cloud SQL for MySQL-Instanz oder Cloud SQL for PostgreSQL-Instanz aktivieren.

Scankonfiguration erstellen

Rufen Sie die Seite Scankonfiguration erstellen auf.

Zur Seite „Scankonfiguration erstellen”
Rufen Sie Ihr Projekt auf. Klicken Sie in der Symbolleiste auf die Projektauswahl und wählen Sie Ihr Projekt aus.

In den folgenden Abschnitten finden Sie weitere Informationen zu den Schritten auf der Seite Scankonfiguration erstellen. Klicken Sie am Ende jedes Abschnitts auf Weiter.

Erkennungstyp auswählen

Wählen Sie Cloud SQL aus.

Bereich auswählen

Führen Sie einen der folgenden Schritte aus:

Wenn Sie eine einzelne Tabelle scannen möchten, wählen Sie Einzelne Tabelle scannen aus.

Für jede Tabelle kann nur eine Einzelressourcen-Scankonfiguration vorhanden sein. Weitere Informationen finden Sie unter Profil für eine einzelne Datenressource erstellen.

Geben Sie die Details der Tabelle ein, die Sie analysieren möchten.
Wenn Sie ein Standardprofiling auf Projektebene durchführen möchten, wählen Sie Ausgewähltes Projekt scannen aus.

Pläne verwalten

Wenn die Standardhäufigkeit für die Profilerstellung Ihren Anforderungen entspricht, können Sie diesen Abschnitt der Seite Scankonfiguration erstellen überspringen.

Konfigurieren Sie diesen Abschnitt aus folgenden Gründen:

Sie können die Häufigkeit der Profilerstellung für alle Ihre Daten oder bestimmte Teilmengen Ihrer Daten detailliert anpassen.
Geben Sie die Tabellen an, für die Sie kein Profil erstellen möchten.
Geben Sie die Tabellen an, für die nicht mehr als einmal ein Profil erstellt werden soll.

So nehmen Sie detaillierte Anpassungen an der Profilerstellungshäufigkeit vor:

Klicken Sie auf Zeitplan hinzufügen.
Im Abschnitt Filter definieren Sie einen oder mehrere Filter, die angeben, welche Tabellen im Zeitplan enthalten sind. Eine Tabelle wird als im Bereich des Zeitplans betrachtet, wenn sie mindestens einem der definierten Filter entspricht.

Wenn Sie einen Filter konfigurieren möchten, geben Sie mindestens eine der folgenden Optionen an:
- Eine Projekt-ID oder ein regulärer Ausdruck, der ein oder mehrere Projekte angibt.
- Eine Instanz-ID oder ein regulärer Ausdruck, der eine oder mehrere Instanzen angibt.
- Eine Datenbank-ID oder ein regulärer Ausdruck, der eine oder mehrere Datenbanken angibt.
- Eine Tabellen-ID oder ein regulärer Ausdruck, der eine oder mehrere Tabellen angibt. Geben Sie diesen Wert in das Feld Name der Datenbankressource oder regulärer Ausdruck ein.
Reguläre Ausdrücke müssen der RE2-Syntax entsprechen.

Wenn Sie beispielsweise alle Tabellen in einer Datenbank in den Filter aufnehmen möchten, geben Sie die Datenbank-ID in das Feld Database ID ein.

Damit eine Tabelle einem Filter entspricht, muss sie alle regulären Ausdrücke erfüllen, die in diesem Filter angegeben sind.

Wenn Sie weitere Filter hinzufügen möchten, klicken Sie auf Filter hinzufügen und wiederholen Sie diesen Schritt.
Klicken Sie auf Häufigkeit.
Geben Sie im Bereich Häufigkeit an, ob und wie oft der Discovery-Dienst die ausgewählten Tabellen profilieren soll:
- Wenn Sie nicht möchten, dass die Tabellen jemals profiliert werden, deaktivieren Sie Profil für diese Daten erstellen.
- Wenn die Tabellen mindestens einmal profiliert werden sollen, lassen Sie Profil für diese Daten erstellen aktiviert.
  
  In den folgenden Feldern in diesem Abschnitt geben Sie an, ob das System Ihre Daten neu profilieren soll und welche Ereignisse einen Neuprofilierungsvorgang auslösen sollen. Weitere Informationen finden Sie unter Häufigkeit der Datenprofilerstellung.
  1. Geben Sie für Nach Zeitplan an, wie oft das Profil für die Tabellen neu erstellt werden soll. Die Tabellen werden unabhängig davon, ob sie geändert wurden, neu profiliert.
  2. Geben Sie unter Wenn sich das Schema ändert an, wie oft Sensitive Data Protection prüfen soll, ob sich das Schema der ausgewählten Tabellen nach der letzten Profilerstellung geändert hat. Nur für Tabellen mit Schemaänderungen wird ein neues Profil erstellt.
  3. Geben Sie unter Arten von Schemaänderungen an, welche Arten von Schemaänderungen einen Vorgang zum Neuerstellen des Profils auslösen sollen. Wählen Sie eine der folgenden Optionen aus:
    - Neue Spalten: Erstellen Sie ein neues Profil für die Tabellen, die neue Spalten erhalten haben.
    - Entfernte Spalten: Erstellen Sie für die Tabellen, aus denen Spalten entfernt wurden, neue Profile.
    Angenommen, Sie haben Tabellen, die jeden Tag neue Spalten erhalten, und Sie müssen deren Inhalte jedes Mal profilieren. Sie können Bei Schemaänderungen auf Profil täglich neu erstellen und Arten von Schemaänderungen auf Neue Spalten festlegen.
  4. Geben Sie unter Wenn sich die Prüfungsvorlage ändert an, ob für Ihre Daten ein neues Profil erstellt werden soll, wenn die zugehörige Prüfungsvorlage aktualisiert wird, und wenn ja, wie oft.
    Hinweis: Sie geben die zu verwendenden Inspektionsvorlagen im Schritt Inspektionsvorlage auswählen auf dieser Seite an.
    
    Eine Änderung an der Inspektionsvorlage wird erkannt, wenn einer der folgenden Fälle eintritt:
    - Der Name einer Inspektionsvorlage in Ihrer Scankonfiguration ändert sich.
    - Die updateTime einer Inspektionsvorlage ändert sich.
Klicken Sie auf Bedingungen.

Im Abschnitt Bedingungen geben Sie die Typen von Datenbankressourcen an, für die Sie ein Profil erstellen möchten. Standardmäßig ist Sensitive Data Protection so konfiguriert, dass für alle unterstützten Typen von Datenbankressourcen Profile erstellt werden. Wenn Sensitive Data Protection in Zukunft weitere Typen von Datenbankressourcen unterstützt, werden auch für diese automatisch Profile erstellt.
Optional: Wenn Sie die Datenbankressourcentypen, für die Sie ein Profil erstellen möchten, explizit festlegen möchten, gehen Sie so vor:
1. Klicken Sie auf das Feld Typen von Datenbankressourcen.
2. Wählen Sie die Typen von Datenbankressourcen aus, für die ein Profil erstellt werden soll.
Wenn Sensitive Data Protection später die Unterstützung für weitere Cloud SQL-Datenbankressourcentypen hinzufügt, werden diese Typen nur profiliert, wenn Sie zu dieser Liste zurückkehren und sie auswählen.
Klicken Sie auf Fertig.
Optional: Wenn Sie weitere Zeitpläne hinzufügen möchten, klicken Sie auf Zeitplan hinzufügen und wiederholen Sie die vorherigen Schritte.
Wenn Sie die Priorität zwischen Zeitplänen festlegen möchten, ordnen Sie sie mit den Aufwärts- und Abwärtspfeilen neu an.

Die Reihenfolge der Zeitpläne gibt an, wie Konflikte zwischen Zeitplänen gelöst werden. Wenn eine Tabelle den Filtern von zwei verschiedenen Zeitplänen entspricht, bestimmt der Zeitplan, der in der Zeitplanliste weiter oben steht, die Profiling-Häufigkeit für diese Tabelle.

Hinweis: Wenn Ihr Preismodell für die Erkennung der Abomodus ist, hängt die Rate, mit der Sensitive Data Protection Profile für Ihre Daten erstellt, davon ab, wie viel Kapazität Sie erworben haben. Informationen zur Ermittlung Ihrer täglichen Profiling-Kapazität finden Sie unter Nutzung überwachen. Wenn Sie eine zu geringe Kapazität festgelegt haben, werden die in Ihren Zeitplänen festgelegten Profilerstellungshäufigkeiten möglicherweise nicht eingehalten. Wenn ein Rückstand an Daten vorhanden ist, für die ein Profil erstellt werden muss, bestimmt die Reihenfolge im Zeitplan nicht die Reihenfolge, in der Sensitive Data Protection die Daten im Rückstand profiliert. Stattdessen wird allen infrage kommenden Datenressourcen ein zufälliger Slot in der Warteschlange zugewiesen.
Optional: Bearbeiten oder deaktivieren Sie den Auffangzeitplan.

Der letzte Zeitplan in der Liste ist der Catch-all-Zeitplan. Dieser Zeitplan gilt für die Tabellen im ausgewählten Bereich, die mit keinem der von Ihnen erstellten Zeitpläne übereinstimmen. Der Catch-all-Zeitplan folgt der Standardhäufigkeit für die Profilerstellung des Systems.
- Wenn Sie den Catch-all-Zeitplan anpassen möchten, klicken Sie auf Zeitplan bearbeiten und passen Sie die Einstellungen nach Bedarf an.
- Wenn Sie verhindern möchten, dass Sensitive Data Protection ein Profil für Ressourcen erstellt, die vom Catch-all-Zeitplan abgedeckt werden, deaktivieren Sie Profil der Ressourcen erstellen, die keinem benutzerdefinierten Zeitplan entsprechen.

Inspektionsvorlage auswählen

Je nachdem, wie Sie eine Inspektionskonfiguration bereitstellen möchten, wählen Sie eine der folgenden Optionen aus. Unabhängig davon, welche Option Sie auswählen, werden Ihre Daten von Sensitive Data Protection in der Region gescannt, in der sie gespeichert sind. Das bedeutet, dass Ihre Daten die Ursprungsregion nicht verlassen.

Option 1: Inspektionsvorlage erstellen

Wählen Sie diese Option aus, wenn Sie eine neue Inspektionsvorlage in der Region global erstellen möchten.

Klicken Sie auf Neue Inspektionsvorlage erstellen.
Optional: Klicken Sie auf infoTypes verwalten, um die Standardauswahl der infoTypes zu ändern.

Weitere Informationen zum Verwalten von integrierten und benutzerdefinierten infoTypes finden Sie unter infoTypes über dieGoogle Cloud Console verwalten.

Sie müssen mindestens einen infoType auswählen, um fortzufahren.
Optional: Konfigurieren Sie die Inspektionsvorlage weiter, indem Sie Regelsätze hinzufügen und einen Konfidenzschwellenwert festlegen. Weitere Informationen finden Sie unter Erkennung konfigurieren.

Wenn Sensitive Data Protection die Scankonfiguration erstellt, wird diese neue Inspektionsvorlage in der Region global gespeichert.

Option 2: Vorhandene Inspektionsvorlage verwenden

Wählen Sie diese Option aus, wenn Sie vorhandene Inspektionsvorlagen verwenden möchten.

Klicken Sie auf Vorhandene Inspektionsvorlage wählen.
Geben Sie den vollständigen Ressourcennamen der Inspektionsvorlage ein, die Sie verwenden möchten. Das Feld Region wird automatisch mit dem Namen der Region ausgefüllt, in der Ihre Inspektionsvorlage gespeichert ist.
Die von Ihnen eingegebene Inspektionsvorlage muss sich in derselben Region wie die zu profilierenden Daten befinden.

Um den Datenstandort zu berücksichtigen, verwendet Sensitive Data Protection keine Inspektionsvorlage außerhalb der Region, in der diese Vorlage gespeichert ist.

So finden Sie den vollständigen Ressourcennamen einer Inspektionsvorlage:
1. Rufen Sie die Liste der Inspektionsvorlagen auf. Diese Seite wird in einem separaten Tab geöffnet.
  
  Inspektionsvorlagen aufrufen
2. Wählen Sie das Projekt mit der Inspektionsvorlage aus, die Sie verwenden möchten.
3. Wählen Sie Konfiguration > „Vorlagen“ > „Überprüfen“ aus und klicken Sie dann auf die Vorlagen-ID der Vorlage, die Sie verwenden möchten.
4. Kopieren Sie auf der daraufhin angezeigten Seite den vollständigen Ressourcennamen der Vorlage. Der vollständige Ressourcenname hat folgendes Format:
```
projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
```
5. Fügen Sie auf der Seite Scankonfiguration erstellen im Feld Vorlagenname den vollständigen Ressourcennamen der Vorlage ein.
Wenn Sie eine Inspektionsvorlage für eine andere Region hinzufügen möchten, klicken Sie auf Inspektionsvorlage hinzufügen und geben Sie den vollständigen Ressourcennamen der Vorlage ein. Wiederholen Sie diesen Vorgang für jede Region, in der Sie eine dedizierte Inspektionsvorlage haben.
Optional: Fügen Sie eine Inspektionsvorlage hinzu, die in der Region global gespeichert ist. Sensitive Data Protection verwendet diese Vorlage automatisch für Daten in Regionen, für die Sie keine dedizierte Inspektionsvorlage haben.

Achtung: Wenn Sie keine Inspektionsvorlage angeben, die in der Region global gespeichert ist, kann Sensitive Data Protection keine Profile für Daten in Regionen erstellen, die keine dedizierte Inspektionsvorlage haben. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Aktionen hinzufügen

In diesem Abschnitt wird beschrieben, wie Sie Aktionen angeben, die Sensitive Data Protection nach der Profilerstellung für eine Tabelle ausführen soll. Diese Aktionen sind nützlich, wenn Sie aus Datenprofilen gewonnene Statistiken an andereGoogle Cloud -Dienste senden möchten.

In Security Command Center veröffentlichen

Ergebnisse aus Datenprofilen liefern Kontext, wenn Sie Reaktionspläne für Ihre Sicherheitslücken- und Bedrohungsergebnisse im Security Command Center sichten und entwickeln.

Bevor Sie diese Aktion verwenden können, muss Security Command Center auf Organisationsebene aktiviert werden. Wenn Sie Security Command Center auf Organisationsebene aktivieren, können Ergebnisse aus integrierten Diensten wie Sensitive Data Protection übertragen werden. Sensitive Data Protection funktioniert mit allen Dienststufen von Security Command Center.

Wenn Security Command Center nicht auf Organisationsebene aktiviert ist, werden die Ergebnisse von Sensitive Data Protection nicht in Security Command Center angezeigt. Weitere Informationen finden Sie unter Aktivierungsstufe von Security Command Center prüfen.

Wenn Sie die Ergebnisse Ihrer Datenprofile an Security Command Center senden möchten, muss die Option In Security Command Center veröffentlichen aktiviert sein.

Weitere Informationen finden Sie unter Datenprofile in Security Command Center veröffentlichen.

Datenprofilkopien in BigQuery speichern

Sensitive Data Protection speichert eine Kopie jedes generierten Datenprofils in einer BigQuery-Tabelle. Wenn Sie keine Details zur bevorzugten Tabelle angeben, erstellt Sensitive Data Protection ein Dataset und eine Tabelle im Projekt. Standardmäßig heißt das Dataset sensitive_data_protection_discovery und die Tabelle discovery_profiles.

So können Sie einen Verlauf aller generierten Profile speichern. Dieser Verlauf kann nützlich sein, um Prüfberichte zu erstellen und Datenprofile zu visualisieren. Sie können diese Informationen auch in andere Systeme laden.

Außerdem können Sie mit dieser Option alle Ihre Datenprofile in einer einzigen Ansicht sehen, unabhängig davon, in welcher Region sich Ihre Daten befinden. Sie können die Datenprofile auch über dieGoogle Cloud Console aufrufen. In der Console werden die Profile jedoch jeweils nur in einer Region angezeigt.

Wenn Sensitive Data Protection kein Profil für eine Tabelle erstellen kann, wird der Vorgang in regelmäßigen Abständen wiederholt. Um das Rauschen in den exportierten Daten zu minimieren, exportiert Sensitive Data Protection nur die erfolgreich generierten Profile nach BigQuery.

Sensitive Data Protection beginnt mit dem Exportieren von Profilen, sobald Sie diese Option aktivieren. Profile, die vor dem Aktivieren des Exports generiert wurden, werden nicht in BigQuery gespeichert.

Beispielabfragen, die Sie beim Analysieren von Datenprofilen verwenden können, finden Sie unter Datenprofile analysieren.

Beispielergebnisse für die Erkennung in BigQuery speichern

Sensitive Data Protection kann einer BigQuery-Tabelle Ihrer Wahl Beispielergebnisse hinzufügen. Die Stichprobenergebnisse stellen eine Teilmenge aller Ergebnisse dar und enthalten möglicherweise nicht alle erkannten infoTypes. Normalerweise generiert das System etwa 10 Beispielergebnisse pro Tabelle. Diese Anzahl kann jedoch bei jedem Erkennungslauf variieren.

Jedes Ergebnis enthält den tatsächlichen String (auch Zitat genannt), der erkannt wurde, und seinen genauen Speicherort.

Diese Aktion ist nützlich, wenn Sie prüfen möchten, ob Ihre Prüfungskonfiguration dem Typ der Informationen entspricht, die Sie als vertraulich kennzeichnen möchten. Mithilfe der exportierten Datenprofile und der exportierten Beispielergebnisse können Sie Abfragen ausführen, um weitere Informationen zu den gekennzeichneten Elementen, den übereinstimmenden InfoTypes, den genauen Speicherorten, den berechneten Sensitivitätsstufen und anderen Details zu erhalten.

Für dieses Beispiel müssen sowohl Datenprofilkopien in BigQuery speichern als auch Beispielergebnisse für die Erkennung in BigQuery speichern aktiviert sein.

In der folgenden Abfrage wird ein INNER JOIN-Vorgang sowohl für die Tabelle mit exportierten Datenprofilen als auch für die Tabelle mit exportierten Beispielergebnissen verwendet. In der resultierenden Tabelle enthält jeder Datensatz das Zitat des Ergebnisses, den infoType, mit dem es übereinstimmt, die Ressource, die das Ergebnis enthält, und das berechnete Sensibilitätsniveau der Ressource.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

So speichern Sie Beispielergebnisse in einer BigQuery-Tabelle:

Aktivieren Sie Beispielergebnisse für die Erkennung in BigQuery speichern.
Geben Sie die Details der BigQuery-Tabelle ein, in der Sie die Beispielergebnisse speichern möchten.

Die Tabelle, die Sie für diese Aktion angeben, muss sich von der Tabelle unterscheiden, die für die Aktion Datenprofilkopien in BigQuery speichern verwendet wird.
- Geben Sie für Projekt-ID die ID eines vorhandenen Projekts ein, in das Sie die Ergebnisse exportieren möchten.
- Geben Sie für die Dataset-ID den Namen eines vorhandenen Datasets im Projekt ein.
- Geben Sie unter Tabellen-ID den Namen der BigQuery-Tabelle ein, in der die Ergebnisse gespeichert werden sollen. Wenn diese Tabelle nicht vorhanden ist, wird sie von Sensitive Data Protection automatisch mit dem von Ihnen angegebenen Namen erstellt.

Informationen zum Inhalt der einzelnen Ergebnisse, die in der BigQuery-Tabelle gespeichert werden, finden Sie unter DataProfileFinding.

Tags an Ressourcen anhängen

Wenn Sie Tags an Ressourcen anhängen aktivieren, weist Sensitive Data Protection Ihren Daten automatisch Tags entsprechend dem berechneten Vertraulichkeitsgrad zu. Für diesen Abschnitt müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.

So taggen Sie eine Ressource automatisch entsprechend ihrer berechneten Vertraulichkeitsstufe:

Aktivieren Sie die Option Ressourcen taggen.
Geben Sie für jede Vertraulichkeitsstufe (hoch, moderat, niedrig und unbekannt) den Pfad des Tag-Werts ein, den Sie für die jeweilige Vertraulichkeitsstufe erstellt haben.

Wenn Sie eine Vertraulichkeitsstufe überspringen, wird kein Tag dafür angehängt.
Wenn Sie das Datenrisiko einer Ressource automatisch senken möchten, wenn das Tag für die Vertraulichkeitsstufe vorhanden ist, wählen Sie Beim Anwenden eines Tags auf eine Ressource das Datenrisiko ihres Profils auf NIEDRIG setzen aus. Mit dieser Option können Sie die Verbesserung Ihrer Datensicherheit und Ihres Datenschutzes messen.

Wichtig :Mit dieser Option wird das berechnete Datenrisiko der profilierten Ressource überschrieben.
Wählen Sie eine oder beide der folgenden Optionen aus:
- Ressource taggen, wenn zum ersten Mal ein Profil für sie erstellt wird.
- Ressource taggen, wenn ihr Profil aktualisiert wird. Wählen Sie diese Option aus, wenn Sensitive Data Protection den Tag-Wert für die Vertraulichkeitsstufe bei nachfolgenden Erkennungsläufen überschreiben soll. Folglich ändert sich der Zugriff eines Principals auf eine Ressource automatisch, wenn sich der berechnete Grad der Datensensibilität für diese Ressource erhöht oder verringert.
  
  Wählen Sie diese Option nicht aus, wenn Sie die Tag-Werte für die Vertraulichkeitsstufe, die der Erkennungsdienst Ihren Ressourcen zugewiesen hat, manuell aktualisieren möchten. Wenn Sie diese Option auswählen, kann Sensitive Data Protection Ihre manuellen Aktualisierungen überschreiben.

In Pub/Sub veröffentlichen

Wenn Sie In Pub/Sub veröffentlichen aktivieren, können Sie programmatische Aktionen basierend auf Profilerstellungsergebnissen ausführen. Sie können Pub/Sub-Benachrichtigungen verwenden, um einen Workflow zu entwickeln, mit dem Sie Ergebnisse mit erheblichem Datenrisiko oder hoher Sensibilität erfassen und beheben können.

So senden Sie Benachrichtigungen an ein Pub/Sub-Thema:

Aktivieren Sie In Pub/Sub veröffentlichen.

Eine Liste mit Optionen wird angezeigt. Jede Option beschreibt ein Ereignis, das dazu führt, dass Sensitive Data Protection eine Benachrichtigung an Pub/Sub sendet.
Wählen Sie die Ereignisse aus, die eine Pub/Sub-Benachrichtigung auslösen sollen.

Wenn Sie Bei jeder Aktualisierung eines Profils eine Pub/Sub-Benachrichtigung senden auswählen, sendet Sensitive Data Protection eine Benachrichtigung, wenn sich die Vertraulichkeitsstufe, die Datenrisikostufe, die erkannten infoTypes, der öffentliche Zugriff und andere wichtige Messwerte im Profil ändern.
Gehen Sie für jedes ausgewählte Ereignis so vor:
1. Geben Sie den Namen des Themas ein. Der Name muss das folgende Format haben:
```
projects/PROJECT_ID/topics/TOPIC_ID
```
  Ersetzen Sie Folgendes:
  - PROJECT_ID: die ID des Projekts, das dem Pub/Sub-Thema zugeordnet ist.
  - TOPIC_ID: die ID des Pub/Sub-Themas.
2. Geben Sie an, ob das vollständige Tabellenprofil in die Benachrichtigung aufgenommen werden soll oder nur der vollständige Ressourcenname der Tabelle, für die ein Profil erstellt wurde.
3. Legen Sie die Mindestwerte für Datenrisiko und Sensitivität fest, die erfüllt sein müssen, damit Sensitive Data Protection eine Benachrichtigung sendet.
4. Geben Sie an, ob nur eine oder beide Bedingungen für Datenrisiko und Sensitivität erfüllt sein müssen. Wenn Sie beispielsweise AND auswählen, müssen sowohl die Bedingungen für das Datenrisiko als auch die für die Vertraulichkeit erfüllt sein, bevor Sensitive Data Protection eine Benachrichtigung sendet.

Hinweis: Der mit Ihrem Projekt verknüpfte Dienst-Agent muss Veröffentlichungszugriff auf das Pub/Sub-Thema haben. Ein Beispiel für eine Rolle mit Veröffentlichungszugriff ist die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher). Wenn es Konfigurations- oder Berechtigungsprobleme mit dem Pub/Sub-Thema gibt, versucht Sensitive Data Protection bis zu zwei Wochen lang, die Pub/Sub-Benachrichtigung zu senden. Nach zwei Wochen wird die Benachrichtigung verworfen.

Als Aspekte an Knowledge Catalog senden

Mit dieser Aktion können Sie profilierten Tabellen Knowledge Catalog-Aspekte hinzufügen, die auf Erkenntnissen aus Datenprofilen basieren. Diese Aktion wird nur auf neue und aktualisierte Profile angewendet. Vorhandene Profile, die nicht aktualisiert werden, werden nicht an Knowledge Catalog gesendet.

Wenn Sie diese Aktion aktivieren, hängt Sensitive Data Protection den Aspekt Sensitive Data Protection profile an den Knowledge Catalog-Eintrag für jede neue oder aktualisierte Tabelle an, für die Sie ein Profil erstellen. Die generierten Aspekte enthalten Statistiken, die aus den Datenprofilen stammen. Anschließend können Sie in Ihrer Organisation und Ihren Projekten nach Einträgen mit bestimmten Sensitive Data Protection profile-Aspektwerten suchen.

Wenn Sie die Datenprofile an Knowledge Catalog senden möchten, muss die Option Als Aspekte an Dataplex Catalog senden aktiviert sein.

Weitere Informationen finden Sie unter Knowledge Catalog-Aspekte basierend auf Statistiken aus Datenprofilen hinzufügen.

Speicherort für Konfiguration festlegen

Klicken Sie auf die Liste Ressourcenstandort und wählen Sie die Region aus, in der Sie diese Scankonfiguration speichern möchten. Alle Scankonfigurationen, die Sie später erstellen, werden ebenfalls an diesem Ort gespeichert.

Der Speicherort der Scankonfiguration hat keinen Einfluss auf die zu scannenden Daten. Ihre Daten werden in derselben Region gescannt, in der sie gespeichert sind. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Überprüfen und erstellen

Wenn Sie verhindern möchten, dass die Profilerstellung automatisch nach dem Erstellen der Scankonfiguration gestartet wird, wählen Sie Scan im pausierten Modus erstellen aus.
Diese Option ist in folgenden Fällen nützlich:
- Sie haben sich dafür entschieden, Datenprofile in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Datenprofilkopien gespeichert werden.
- Sie haben sich dafür entschieden, Beispielergebnisse für die Erkennung in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Beispielergebnisse gespeichert werden.
- Sie haben Pub/Sub-Benachrichtigungen konfiguriert und möchten dem Dienst-Agent Veröffentlichungszugriff gewähren.
- Sie haben die Aktion Tags an Ressourcen anhängen aktiviert und müssen dem Dienst-Agent Zugriff auf das Tag für die Vertraulichkeitsstufe gewähren.
Prüfen Sie Ihre Einstellungen und klicken Sie auf Erstellen.
Sensitive Data Protection erstellt die Scankonfiguration und fügt sie der Liste der Scankonfigurationen für die Erkennung hinzu.

Informationen zum Aufrufen oder Verwalten Ihrer Scankonfigurationen finden Sie unter Scankonfigurationen verwalten.

Sensitive Data Protection beginnt mit der Identifizierung Ihrer Cloud SQL-Instanzen und erstellt für jede Instanz eine Standardverbindung. Je nach Anzahl der Instanzen im Bereich der Erkennung kann dieser Vorgang einige Stunden dauern. Sie können die Google Cloud Console schließen und Ihre Verbindungen später prüfen.

Wenn die Standardverbindungen bereit sind, aktualisieren Sie sie mit den Datenbank-Nutzeranmeldedaten, die Sensitive Data Protection zum Erstellen von Profilen Ihrer Cloud SQL-Instanzen verwenden soll. Weitere Informationen finden Sie unter Verbindungen für die Verwendung mit Discovery verwalten.

Nächste Schritte

Informationen zum Aktualisieren von Verbindungen