Profiler des données Cloud SQL dans un seul projet

Cette page explique comment configurer la découverte de données Cloud SQL au niveau du projet. Si vous souhaitez profiler une organisation ou un dossier, consultez Profiler des données Cloud SQL dans une organisation ou un dossier.

Pour en savoir plus sur le service de découverte, consultez Profils de données.

Fonctionnement

Voici un workflow général pour le profilage des données Cloud SQL :

1. Créer une configuration d'analyse

   Après avoir créé une configuration d'analyse, Sensitive Data Protection commence à identifier vos instances Cloud SQL et à créer une connexion par défaut pour chaque instance. Selon le nombre d'instances dans le champ d'application de la découverte, ce processus peut prendre quelques heures. Vous pouvez quitter la consoleGoogle Cloud et vérifier vos connexions plus tard.

2. Attribuez les rôles IAM requis à l'agent de service associé à votre configuration d'analyse.

3. Une fois les connexions par défaut prêtes, autorisez Sensitive Data Protection à accéder à vos instances Cloud SQL en mettant à jour chaque connexion avec les identifiants utilisateur de base de données appropriés. Vous pouvez fournir des comptes utilisateur de base de données existants ou créer des utilisateurs de base de données.

   Remarque : Pour les instances Cloud SQL pour PostgreSQL, vous pouvez utiliser l'agent de service comme utilisateur de la base de données.

4. Recommandé : Augmentez le nombre maximal de connexions que Sensitive Data Protection peut utiliser pour profiler vos données. Augmenter le nombre de connexions peut accélérer la découverte.

Services compatibles

Cette fonctionnalité est compatible avec les éléments suivants :

• Cloud SQL pour MySQL
• Cloud SQL pour PostgreSQL

Cloud SQL pour SQL Server n'est pas compatible.

Régions de traitement et de stockage

Sensitive Data Protection est un service régional et multirégional. Il ne fait pas de distinction entre les zones. Lorsque Sensitive Data Protection profile une instance Cloud SQL, les données sont traitées dans leur région actuelle, mais pas nécessairement dans leur zone actuelle. Par exemple, si une instance Cloud SQL est stockée dans la zone us-central1-a, Sensitive Data Protection traite et stocke les profils de données dans la région us-central1.

Pour en savoir plus, consultez Considérations relatives à la résidence des données.

Avant de commencer

1. Si vous disposez d'un abonnement de découverte au niveau de l'organisation, y compris d'un abonnement fourni par Security Command Center, sachez que cette configuration de découverte au niveau du projet n'est pas comprise dans votre abonnement et est facturée séparément. Nous vous recommandons d'utiliser une configuration de découverte au niveau de l'organisation pour profiler le projet. Pour en savoir plus, consultez Profiler des projets ou des éléments de données sélectionnés dans une organisation ou un dossier.

2. Assurez-vous que l'API Cloud Data Loss Prevention est activée dans votre projet :

   Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. Vérifiez que vous disposez des autorisations IAM requises pour configurer les profils de données au niveau du projet.

4. Vous devez disposer d'un modèle d'inspection dans chaque région où vous avez des données à profiler. Si vous souhaitez utiliser un seul modèle pour plusieurs régions, vous pouvez utiliser un modèle stocké dans la région global. Si des règles d'administration vous empêchent de créer un modèle d'inspection dans la région global, vous devez définir un modèle d'inspection dédié pour chaque région. Pour en savoir plus, consultez Considérations sur la résidence des données.

   Cette tâche vous permet de créer un modèle d'inspection dans la région global uniquement. Si vous avez besoin de modèles d'inspection dédiés pour une ou plusieurs régions, vous devez créer ces modèles avant d'effectuer cette tâche.

5. Vous pouvez configurer Sensitive Data Protection pour envoyer des notifications à Pub/Sub lorsque certains événements se produisent, par exemple lorsque Sensitive Data Protection profile une nouvelle table. Si vous souhaitez utiliser cette fonctionnalité, vous devez d'abord créer un sujet Pub/Sub.

6. Vous pouvez configurer Sensitive Data Protection pour qu'il associe automatiquement des tags à vos ressources. Cette fonctionnalité vous permet d'accorder l'accès à ces ressources de manière conditionnelle en fonction de leur niveau de sensibilité calculé. Si vous souhaitez utiliser cette fonctionnalité, vous devez d'abord effectuer les tâches décrites dans Contrôler l'accès IAM aux ressources en fonction de la sensibilité des données.

7. Vous pouvez configurer Sensitive Data Protection pour qu'il associe automatiquement des aspects aux ressources Cloud SQL profilées en fonction des insights de découverte. Si vous souhaitez utiliser cette fonctionnalité, vous devez activer l'intégration du catalogue universel sur votre instance Cloud SQL pour MySQL ou Cloud SQL pour PostgreSQL.

Créer une configuration d'analyse

1. Accédez à la page Créer une configuration d'analyse.

   Accéder à la page "Créer une configuration d'analyse"

2. Accédez à votre projet. Dans la barre d'outils, cliquez sur le sélecteur de projet et sélectionnez votre projet.

Les sections suivantes fournissent plus d'informations sur les étapes de la page Créer une configuration d'analyse. À la fin de chaque section, cliquez sur Continuer.

Sélectionner un type de détection

Sélectionnez Cloud SQL.

Sélectionner un niveau d'accès

Effectuez l'une des opérations suivantes :

• Si vous souhaitez analyser une seule table, sélectionnez Analyser une table.

  Pour chaque table, vous ne pouvez avoir qu'une seule configuration d'analyse de ressource unique. Pour en savoir plus, consultez Profiler une seule ressource de données.

  Saisissez les détails de la table dont vous souhaitez créer le profil.

• Si vous souhaitez effectuer un profilage standard au niveau du projet, sélectionnez Analyser le projet sélectionné.

Gérer les planifications

Si la fréquence de profilage par défaut vous convient, vous pouvez ignorer cette section de la page Créer une configuration d'analyse.

Configurez cette section pour les raisons suivantes :

• Pour ajuster précisément la fréquence de profilage de toutes vos données ou de certains sous-ensembles de données.
• Pour spécifier les tables que vous ne souhaitez pas profiler.
• Pour spécifier les tables que vous ne souhaitez pas profiler plusieurs fois.

Pour ajuster précisément la fréquence de profilage, procédez comme suit :

1. Cliquez sur Ajouter une programmation.

2. Dans la section Filtres, vous définissez un ou plusieurs filtres qui spécifient les tables incluses dans le champ d'application de la programmation. Une table est considérée comme faisant partie du champ d'application de la programmation si elle correspond à au moins l'un des filtres définis.

   Pour configurer un filtre, spécifiez au moins l'un des éléments suivants :

   • ID du projet ou expression régulière spécifiant un ou plusieurs projets.
   • ID d'instance ou expression régulière spécifiant une ou plusieurs instances.
   • ID de base de données ou expression régulière spécifiant une ou plusieurs bases de données.
   • ID de table ou expression régulière spécifiant une ou plusieurs tables. Saisissez cette valeur dans le champ Nom de ressource ou expression régulière de la base de données.

   Les expressions régulières doivent suivre la syntaxe RE2.

   Par exemple, si vous souhaitez que toutes les tables d'une base de données soient incluses dans le filtre, saisissez l'ID de la base de données dans le champ ID de la base de données.

   Pour qu'une table corresponde à un filtre, elle doit répondre à toutes les expressions régulières spécifiées dans ce filtre.

   Si vous souhaitez ajouter d'autres filtres, cliquez sur Ajouter un filtre et répétez cette étape.

3. Cliquez sur Fréquence.

4. Dans la section Fréquence, indiquez si le service de découverte doit profiler les tables que vous avez sélectionnées et, le cas échéant, à quelle fréquence :

   • Si vous ne souhaitez jamais profiler les tables, désactivez l'option Profiler ces données.

   • Si vous souhaitez que les tables soient profilées au moins une fois, laissez l'option Profiler ces données activée.

     Dans les champs suivants de cette section, vous indiquez si le système doit reprofiler vos données et quels événements doivent déclencher une opération de reprofilage. Pour en savoir plus, consultez Fréquence de génération des profils de données.

     1. Pour Selon une programmation, spécifiez la fréquence à laquelle vous souhaitez que les tables soient reprofilées. Les tables sont reprofilées, qu'elles aient été modifiées ou non.
     2. Pour En cas de modification du schéma, spécifiez la fréquence à laquelle Sensitive Data Protection doit vérifier si le schéma des tables sélectionnées a été modifié depuis leur dernier profilage. Seules les tables dont le schéma a été modifié seront reprofilées.
     3. Pour Types de modifications du schéma, spécifiez les types de modifications du schéma qui doivent déclencher une opération de re-profilage. Sélectionnez l'une des options suivantes :
        • Nouvelles colonnes : reprofilez les tables qui ont gagné de nouvelles colonnes.
        • Colonnes supprimées : reprofilez les tables dont des colonnes ont été supprimées.

        Par exemple, supposons que vous disposiez de tables qui gagnent de nouvelles colonnes chaque jour et que vous deviez profiler leur contenu à chaque fois. Vous pouvez définir Lors des modifications de schéma sur Reprofiler tous les jours et Types de modification de schéma sur Nouvelles colonnes.

     4. Pour Fréquence d'inspection des modifications apportées au modèle, indiquez si vous souhaitez que vos données soient reprofilées lorsque le modèle d'inspection associé est mis à jour et, le cas échéant, à quelle fréquence.
        Remarque : Vous spécifiez les modèles d'inspection à utiliser à l'étape Sélectionner un modèle d'inspection de cette page.

        Une modification du modèle d'inspection est détectée dans l'un des cas suivants :

        • Le nom d'un modèle d'inspection change dans votre configuration d'analyse.
        • Le updateTime d'un modèle d'inspection change.

     Par exemple, si vous définissez un modèle d'inspection pour la région us-west1 et que vous le mettez à jour, seules les données de la région us-west1 seront reprofilées.

5. Cliquez sur Conditions.

   Dans la section Conditions, vous spécifiez les types de ressources de base de données que vous souhaitez profiler. Par défaut, Sensitive Data Protection est configuré pour profiler tous les types de ressources de base de données compatibles. Lorsque Sensitive Data Protection prendra en charge d'autres types de ressources de base de données, ces types seront également profilés automatiquement.

6. Facultatif : Si vous souhaitez définir explicitement les types de ressources de base de données que vous voulez profiler, procédez comme suit :

   1. Cliquez sur le champ Types de ressources de base de données.
   2. Sélectionnez les types de ressources de base de données que vous souhaitez profiler.

   Si Sensitive Data Protection ajoute ultérieurement la prise en charge de la découverte pour d'autres types de ressources de base de données Cloud SQL, ces types ne seront profilés que si vous revenez à cette liste et les sélectionnez.

7. Cliquez sur OK.

8. Facultatif : Pour ajouter d'autres programmations, cliquez sur Ajouter une programmation et répétez les étapes précédentes.

9. Pour spécifier la priorité entre les plannings, réorganisez-les à l'aide des flèches vers le haut  et vers le bas .

   L'ordre des plannings indique comment les conflits entre les plannings sont résolus. Si une table correspond aux filtres de deux programmations différentes, la programmation située plus haut dans la liste des programmations dicte la fréquence de profilage de cette table.

   Remarque : Si votre mode de tarification Discovery est mode abonnement, le taux auquel Sensitive Data Protection profile vos données dépend de la capacité que vous avez achetée. Pour déterminer votre capacité de profilage quotidienne, consultez Surveiller l'utilisation. Si vous avez sous-provisionné la capacité, il est possible que les fréquences de profilage que vous avez définies dans vos plannings ne soient pas respectées. S'il existe un backlog de données à profiler, l'ordre de planification ne détermine pas l'ordre dans lequel Sensitive Data Protection profile les données du backlog. En revanche, toutes les ressources de données concernées se voient attribuer un emplacement aléatoire dans la file d'attente.

10. Facultatif : Modifiez ou désactivez la programmation globale.

    Le dernier programme de la liste est le programme général. Cette planification couvre les tables de votre champ d'application sélectionné qui ne correspondent à aucune des planifications que vous avez créées. La programmation globale suit la fréquence de profilage par défaut du système.

    • Pour ajuster la programmation de l'option "Tout intercepter", cliquez sur Modifier la programmation, puis ajustez les paramètres si nécessaire.
    • Pour empêcher Sensitive Data Protection de profiler une ressource couverte par la programmation globale, désactivez l'option Profiler les ressources qui ne correspondent à aucune programmation personnalisée.

Sélectionner un modèle d'inspection

Selon la manière dont vous souhaitez fournir une configuration d'inspection, choisissez l'une des options suivantes. Quelle que soit l'option choisie, Sensitive Data Protection analyse vos données dans la région où elles sont stockées. En d'autres termes, vos données ne quittent pas leur région d'origine.

Option 1 : Créer un modèle d'inspection

Choisissez cette option si vous souhaitez créer un modèle d'inspection dans la région global.

1. Cliquez sur Créer un modèle d'inspection.

2. Facultatif : Pour modifier la sélection par défaut des infoTypes, cliquez sur Gérer les infoTypes.

   Pour savoir comment gérer les infoTypes intégrés et personnalisés, consultez Gérer les infoTypes dans la consoleGoogle Cloud .

   Vous devez sélectionner au moins un infoType pour continuer.

3. Facultatif : poursuivez la configuration du modèle d'inspection en ajoutant des ensembles de règles et en définissant un seuil de confiance. Pour en savoir plus, consultez la section Configurer la détection.

Lorsque Sensitive Data Protection crée la configuration d'analyse, il stocke ce nouveau modèle d'inspection dans la région global.

Option 2 : Utiliser un modèle d'inspection existant

Choisissez cette option si vous disposez de modèles d'inspection existants que vous souhaitez utiliser.

1. Cliquez sur Sélectionner un modèle d'inspection existant.
2. Saisissez le nom de ressource complet du modèle d'inspection que vous souhaitez utiliser. Le champ Région est automatiquement renseigné avec le nom de la région dans laquelle votre modèle d'inspection est stocké.

   Le modèle d'inspection que vous saisissez doit se trouver dans la même région que les données à profiler.

   Pour respecter la résidence des données, Sensitive Data Protection n'utilise pas de modèle d'inspection en dehors de la région où il est stocké.

   Pour trouver le nom complet de la ressource d'un modèle d'inspection, procédez comme suit :

   1. Accédez à la liste de vos modèles d'inspection. Cette page s'ouvre dans un nouvel onglet.

      Accéder aux modèles d'inspection

   2. Sélectionnez le projet contenant le modèle d'inspection que vous souhaitez utiliser.
   3. Sélectionnez Configuration> Modèles> Inspecter, puis cliquez sur l'ID du modèle que vous souhaitez utiliser.
   4. Sur la page qui s'affiche, copiez le nom complet de la ressource du modèle. Le nom complet de la ressource suit le format suivant :

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Sur la page Créer une configuration d'analyse, dans le champ Nom du modèle, collez le nom complet de la ressource du modèle.
3. Pour ajouter un modèle d'inspection pour une autre région, cliquez sur Ajouter un modèle d'inspection, puis saisissez le nom complet de la ressource du modèle. Répétez cette opération pour chaque région dans laquelle vous disposez d'un modèle d'inspection dédié.
4. Facultatif : Ajoutez un modèle d'inspection stocké dans la région global. Sensitive Data Protection utilise automatiquement ce modèle pour les données des régions pour lesquelles vous n'avez pas de modèle d'inspection dédié.
Attention : Si vous n'incluez pas de modèle d'inspection stocké dans la région global, Sensitive Data Protection ne peut pas profiler les données dans les régions qui ne disposent pas d'un modèle d'inspection dédié. Pour en savoir plus, consultez Considérations relatives à la résidence des données.

Ajouter des actions

Cette section explique comment spécifier les actions que vous souhaitez que Sensitive Data Protection effectue après le profilage d'une table. Ces actions sont utiles si vous souhaitez envoyer des insights recueillis à partir de profils de données à d'autres servicesGoogle Cloud .

Remarque : Pour en savoir plus sur la façon dont d'autres services Google Cloud peuvent vous facturer la configuration d'actions, consultez Tarifs d'exportation des profils de données.

Publier dans Security Command Center

Les résultats des profils de données fournissent du contexte lorsque vous triez et développez des plans de réponse pour vos résultats de failles et de menaces dans Security Command Center.

Remarque : Vous pouvez également configurer Security Command Center pour qu'il hiérarchise automatiquement les ressources pour la fonctionnalité de simulation de chemin d'attaque en fonction de la sensibilité calculée des données qu'elles contiennent. Pour en savoir plus, consultez Définir automatiquement les valeurs de priorité des ressources en fonction de la sensibilité des données.

Pour pouvoir utiliser cette action, Security Command Center doit être activé au niveau de l'organisation. L'activation de Security Command Center au niveau de l'organisation permet le flux de résultats provenant de services intégrés tels que Sensitive Data Protection. Sensitive Data Protection est compatible avec Security Command Center dans tous les niveaux de service.

Si Security Command Center n'est pas activé au niveau de l'organisation, les résultats de Sensitive Data Protection n'apparaissent pas dans Security Command Center. Pour en savoir plus, consultez Vérifier le niveau d'activation de Security Command Center.

Pour envoyer les résultats de vos profils de données à Security Command Center, assurez-vous que l'option Publier dans Security Command Center est activée.

Pour en savoir plus, consultez Publier des profils de données dans Security Command Center.

Enregistrer des copies des profils de données dans BigQuery

Sensitive Data Protection enregistre une copie de chaque profil de données généré dans une table BigQuery. Si vous ne fournissez pas les détails de la table de votre choix, Sensitive Data Protection crée un ensemble de données et une table dans le projet. Par défaut, l'ensemble de données est nommé sensitive_data_protection_discovery et la table est nommée discovery_profiles.

Important : La table de sortie utilise DataProfileBigQueryRowSchema comme schéma. Ce schéma peut changer à mesure que Sensitive Data Protection ajoute des fonctionnalités. Assurez-vous que vos workflows peuvent gérer les modifications de schéma, par exemple en ignorant les champs inconnus.

Cette action vous permet de conserver un historique de tous les profils que vous avez générés. Cet historique peut être utile pour créer des rapports d'audit et visualiser les profils de données. Vous pouvez également charger ces informations dans d'autres systèmes.

Cette option vous permet également d'afficher tous vos profils de données dans une même vue, quelle que soit la région dans laquelle vos données résident. Bien que vous puissiez également afficher les profils de données dans la consoleGoogle Cloud , celle-ci n'affiche les profils que dans une seule région à la fois.

Lorsque Sensitive Data Protection ne parvient pas à profiler une table, il réessaie régulièrement. Pour minimiser le bruit dans les données exportées, Sensitive Data Protection n'exporte que les profils générés avec succès vers BigQuery.

Sensitive Data Protection commence à exporter les profils à partir du moment où vous activez cette option. Les profils générés avant l'activation de l'exportation ne sont pas enregistrés dans BigQuery.

Remarque  : L'agent de service associé à votre projet doit disposer d'un accès en écriture à la table dans laquelle les copies de profil seront enregistrées.

Pour obtenir des exemples de requêtes que vous pouvez utiliser lors de l'analyse des profils de données, consultez Analyser les profils de données.

Enregistrer un échantillon des résultats de la découverte dans BigQuery

Sensitive Data Protection peut ajouter des exemples de résultats à une table BigQuery de votre choix. Les exemples de résultats représentent un sous-ensemble de tous les résultats et peuvent ne pas représenter tous les infoTypes découverts. En règle générale, le système génère environ 10 exemples de résultats par table, mais ce nombre peut varier pour chaque exécution de découverte.

Chaque résultat inclut la chaîne réelle (également appelée citation) qui a été détectée et son emplacement exact.

Cette action est utile si vous souhaitez évaluer si votre configuration d'inspection correspond correctement au type d'informations que vous souhaitez signaler comme sensibles. À l'aide des profils de données exportés et des exemples de résultats exportés, vous pouvez exécuter des requêtes pour obtenir plus d'informations sur les éléments spécifiques qui ont été signalés, les types d'informations auxquels ils correspondent, leurs emplacements exacts, leurs niveaux de sensibilité calculés et d'autres détails.

Important : La table de sortie utilise DataProfileFinding comme schéma. Ce schéma peut changer à mesure que Sensitive Data Protection ajoute des fonctionnalités. Assurez-vous que vos workflows peuvent gérer les modifications de schéma, par exemple en ignorant les champs inconnus.

Exemple de requête : afficher des exemples de résultats liés aux profils de données de table

Cet exemple nécessite que les options Enregistrer des copies des profils de données dans BigQuery et Enregistrer un échantillon des résultats de la découverte dans BigQuery soient activées.

La requête suivante utilise une opération INNER JOIN sur la table des profils de données exportés et sur la table des résultats d'échantillon exportés. Dans la table obtenue, chaque enregistrement affiche la citation du résultat, l'infoType auquel il correspond, la ressource qui contient le résultat et le niveau de sensibilité calculé de la ressource.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

Pour enregistrer un échantillon de résultats dans une table BigQuery, procédez comme suit :

1. Activez l'option Enregistrer un échantillon des résultats de la découverte dans BigQuery.

2. Saisissez les détails de la table BigQuery dans laquelle vous souhaitez enregistrer les exemples de résultats.

   La table que vous spécifiez pour cette action doit être différente de celle utilisée pour l'action Enregistrer des copies des profils de données dans BigQuery.

   • Dans le champ ID du projet, saisissez l'ID d'un projet existant vers lequel vous souhaitez exporter les résultats.

   • Pour ID de l'ensemble de données, saisissez le nom d'un ensemble de données existant dans le projet.

   • Dans le champ ID de table, saisissez le nom de la table BigQuery dans laquelle vous souhaitez enregistrer les résultats. Si cette table n'existe pas, Sensitive Data Protection la crée automatiquement pour vous en utilisant le nom que vous fournissez.

Remarque  : L'agent de service associé à votre projet doit disposer d'un accès en écriture à la table.

Pour en savoir plus sur le contenu de chaque résultat enregistré dans la table BigQuery, consultez DataProfileFinding.

Associer des tags à des ressources

L'activation de l'option Associer des tags aux ressources indique à Sensitive Data Protection d'ajouter automatiquement des tags à vos données en fonction de leur niveau de sensibilité calculé. Cette section nécessite que vous effectuiez d'abord les tâches décrites dans Contrôler l'accès IAM aux ressources en fonction de la sensibilité des données.

Pour ajouter automatiquement un tag à une ressource en fonction de son niveau de sensibilité calculé, procédez comme suit :

1. Activez l'option Taguer des ressources.

2. Pour chaque niveau de sensibilité (élevé, modéré, faible et inconnu), saisissez le chemin d'accès à la valeur du tag que vous avez créé pour le niveau de sensibilité concerné.

   Si vous ignorez un niveau de sensibilité, aucun tag n'est associé à ce niveau.

3. Pour réduire automatiquement le niveau de risque des données d'une ressource lorsque le tag de niveau de sensibilité est présent, sélectionnez Lorsqu'un tag est appliqué à une ressource, réduire le risque des données de son profil à FAIBLE. Cette option vous permet de mesurer l'amélioration de votre niveau de sécurité et de confidentialité des données.

   Important : Cette option remplace le niveau de risque calculé pour les données de la ressource profilée.

4. Sélectionnez l'une des options suivantes, ou les deux :

   • Taguer une ressource lorsqu'elle est profilée pour la première fois.

   • Taguer une ressource lorsque son profil est mis à jour. Sélectionnez cette option si vous souhaitez que Sensitive Data Protection remplace la valeur du tag de niveau de sensibilité lors des prochaines exécutions de la détection. Par conséquent, l'accès d'un compte principal à une ressource change automatiquement à mesure que le niveau de sensibilité des données calculé pour cette ressource augmente ou diminue.

     Ne sélectionnez pas cette option si vous prévoyez de mettre à jour manuellement les valeurs des tags de niveau de sensibilité que le service de découverte a associés à vos ressources. Si vous sélectionnez cette option, Sensitive Data Protection peut écraser vos mises à jour manuelles.

Publier dans Pub/Sub

L'option Publier sur Pub/Sub vous permet d'effectuer des actions programmatiques en fonction des résultats du profilage. Vous pouvez utiliser les notifications Pub/Sub pour développer un workflow permettant de détecter et de corriger les résultats présentant un risque ou une sensibilité de données importants.

Pour envoyer des notifications à un sujet Pub/Sub, procédez comme suit :

1. Activez Publier dans Pub/Sub.

   Une liste d'options s'affiche. Chaque option décrit un événement qui déclenche l'envoi d'une notification à Pub/Sub par Sensitive Data Protection.

2. Sélectionnez les événements qui doivent déclencher une notification Pub/Sub.

   Si vous sélectionnez Envoyer une notification Pub/Sub à chaque mise à jour d'un profil, Sensitive Data Protection envoie une notification en cas de modification du niveau de sensibilité, du niveau de risque lié aux données, des infoTypes détectés, de l'accès public et d'autres métriques importantes dans le profil.

3. Pour chaque événement que vous sélectionnez, procédez comme suit :

   1. Saisissez le nom du sujet. Le nom doit être au format suivant :

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Remplacez les éléments suivants :

      • PROJECT_ID : ID du projet associé au sujet Pub/Sub.
      • TOPIC_ID : ID du sujet Pub/Sub.

   2. Indiquez si vous souhaitez inclure le profil complet du tableau dans la notification ou uniquement le nom complet de la ressource du tableau qui a été profilé.

   3. Définissez les niveaux minimaux de risque et de sensibilité des données à respecter pour que Sensitive Data Protection envoie une notification.

   4. Indiquez si une seule ou les deux conditions de risque et de sensibilité des données doivent être remplies. Par exemple, si vous choisissez AND, les conditions de risque et de sensibilité des données doivent être remplies pour que Sensitive Data Protection envoie une notification.

Remarque  : L'agent de service associé à votre projet doit disposer d'un accès à la publication sur le sujet Pub/Sub. Le rôle "Diffuseur Pub/Sub" (roles/pubsub.publisher) est un exemple de rôle disposant d'un accès à la publication. En cas de problème de configuration ou d'autorisation avec le sujet Pub/Sub, Sensitive Data Protection tente d'envoyer la notification Pub/Sub pendant deux semaines maximum. Au bout de deux semaines, la notification est supprimée.

Envoyer à Knowledge Catalog sous forme d'aspects

Cette action vous permet d'ajouter des aspects Knowledge Catalog aux tables profilées en fonction des insights des profils de données. Cette action ne s'applique qu'aux profils nouveaux et mis à jour. Les profils existants qui ne sont pas mis à jour ne sont pas envoyés à Knowledge Catalog.

Lorsque vous activez cette action, Sensitive Data Protection associe l'aspect Sensitive Data Protection profile à l'entrée Knowledge Catalog pour chaque table nouvelle ou mise à jour que vous profilez. Les aspects générés contiennent des insights recueillis à partir des profils de données. Vous pouvez ensuite rechercher dans votre organisation et vos projets des entrées avec des valeurs d'aspect Sensitive Data Protection profile spécifiques.

Pour envoyer les profils de données à Knowledge Catalog, assurez-vous que l'option Envoyer au catalogue Dataplex sous forme d'aspects est activée.

Pour en savoir plus, consultez Ajouter des aspects Knowledge Catalog en fonction des insights des profils de données.

Définir l'emplacement de stockage de la configuration

Cliquez sur la liste Emplacement de la ressource, puis sélectionnez la région dans laquelle vous souhaitez stocker cette configuration d'analyse. Toutes les configurations d'analyse que vous créerez ultérieurement seront également stockées à cet emplacement.

L'emplacement où vous choisissez de stocker la configuration de l'analyse n'a aucune incidence sur les données à analyser. Vos données sont analysées dans la région où elles sont stockées. Pour en savoir plus, consultez Considérations relatives à la résidence des données.

Remarque : Si vous disposez déjà d'une configuration d'analyse, vous ne pouvez pas modifier la valeur définie dans ce champ. Toutes les configurations d'analyse sont stockées au même emplacement. Si vous souhaitez modifier l'emplacement de toutes vos configurations d'analyse, vous devez les supprimer, les recréer et les stocker dans le nouvel emplacement.

Vérifier et créer

1. Si vous souhaitez vous assurer que le profilage ne démarre pas automatiquement après la création de la configuration d'analyse, sélectionnez Créer une analyse en mode suspendu.

   Cette option est utile dans les cas suivants :

   • Vous avez choisi d'enregistrer les profils de données dans BigQuery et vous souhaitez vous assurer que l'agent de service dispose d'un accès en écriture à la table BigQuery dans laquelle les copies des profils de données seront enregistrées.
   • Vous avez choisi d'enregistrer un échantillon des résultats de la découverte dans BigQuery et vous souhaitez vous assurer que l'agent de service dispose d'un accès en écriture à la table BigQuery dans laquelle l'échantillon des résultats sera enregistré.
   • Vous avez configuré des notifications Pub/Sub et vous souhaitez accorder l'accès à la publication à l'agent de service.
   • Vous avez activé l'action Associer des tags aux ressources et vous devez accorder à l'agent de service l'accès au tag de niveau de sensibilité.
2. Vérifiez vos paramètres, puis cliquez sur Créer.

   Sensitive Data Protection crée la configuration d'analyse et l'ajoute à la liste des configurations d'analyse de découverte.

Pour afficher ou gérer vos configurations d'analyse, consultez Gérer les configurations d'analyse.

Sensitive Data Protection commence à identifier vos instances Cloud SQL et à créer une connexion par défaut pour chaque instance. Selon le nombre d'instances concernées par la découverte, ce processus peut prendre quelques heures. Vous pouvez quitter la console Google Cloud et vérifier vos connexions plus tard.

Lorsque les connexions par défaut sont prêtes, mettez-les à jour avec les identifiants de l'utilisateur de la base de données que vous souhaitez que Sensitive Data Protection utilise pour profiler vos instances Cloud SQL. Pour en savoir plus, consultez Gérer les connexions à utiliser avec la découverte.

Remarque : Nous améliorons régulièrement notre algorithme de détection. Si nous constatons que votre organisation ou projet peut bénéficier d'une nouvelle amélioration que nous implémentons, nous pouvons régénérer automatiquement vos profils de données et répéter les actions dans votre configuration d'analyse. Aucuns frais Sensitive Data Protection ne vous seront facturés pour cette opération. Toutefois, comme nous allons répéter les actions, des frais liés à l'utilisation d'autres services Google Cloud pourraient vous être facturés. Par exemple, si vous avez configuré Sensitive Data Protection pour enregistrer les profils de données dans BigQuery, des frais BigQuery peuvent vous être facturés.

Étapes suivantes

Découvrez comment mettre à jour vos connexions.