Cloud Storage-Daten in einem einzelnen Projekt profilieren

Auf dieser Seite wird beschrieben, wie Sie die Cloud Storage-Datenermittlung auf Projektebene konfigurieren. Wenn Sie ein Profil für eine Organisation oder einen Ordner erstellen möchten, lesen Sie den Abschnitt Cloud Storage-Daten in einer Organisation oder einem Ordner profilieren.

Weitere Informationen zum Discovery-Dienst finden Sie unter Datenprofile.

Hinweis

1. Wenn Sie ein Discovery-Abo auf Organisationsebene haben, einschließlich eines über Security Command Center, beachten Sie, dass diese Discovery-Konfiguration auf Projektebene nicht in Ihrem Abo enthalten ist und separat abgerechnet wird. Wir empfehlen, zum Erstellen des Profils für das Projekt eine Discovery-Konfiguration auf Organisationsebene zu verwenden. Weitere Informationen finden Sie unter Projekte oder Daten-Assets in einer Organisation oder einem Ordner auswählen.

2. Achten Sie darauf, dass die Cloud Data Loss Prevention API in Ihrem Projekt aktiviert ist:

   Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. Prüfen Sie, ob Sie die IAM-Berechtigungen haben, die zum Konfigurieren von Datenprofilen auf Projektebene erforderlich sind.

4. Sie benötigen eine Prüfvorlage in jeder Region, in der Sie Daten für die Profilerstellung haben. Wenn Sie eine einzelne Vorlage für mehrere Regionen verwenden möchten, können Sie eine Vorlage verwenden, die in der Region global gespeichert ist. Wenn Organisationsrichtlinien verhindern, dass Sie eine Prüfvorlage in der Region global erstellen, müssen Sie für jede Region eine dedizierte Prüfvorlage festlegen. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

   Mit dieser Aufgabe können Sie eine Inspektionsvorlage nur in der Region global erstellen. Wenn Sie dedizierte Inspektionsvorlagen für eine oder mehrere Regionen benötigen, müssen Sie diese Vorlagen erstellen, bevor Sie diese Aufgabe ausführen.

5. Sie können Sensitive Data Protection so konfigurieren, dass Benachrichtigungen an Pub/Sub gesendet werden, wenn bestimmte Ereignisse auftreten, z. B. wenn Sensitive Data Protection ein Profil für einen neuen Bucket erstellt. Wenn Sie diese Funktion verwenden möchten, müssen Sie zuerst ein Pub/Sub-Thema erstellen.

6. Sie können Sensitive Data Protection so konfigurieren, dass Tags automatisch an Ihre Ressourcen angehängt werden. Mit dieser Funktion können Sie den Zugriff auf diese Ressourcen basierend auf den berechneten Vertraulichkeitsstufen bedingt gewähren. Wenn Sie diese Funktion verwenden möchten, müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.

Scankonfiguration erstellen

1. Rufen Sie die Seite Scankonfiguration erstellen auf.

   Zur Seite „Scankonfiguration erstellen”

2. Rufen Sie Ihr Projekt auf. Klicken Sie in der Symbolleiste auf die Projektauswahl und wählen Sie Ihr Projekt aus.

In den folgenden Abschnitten finden Sie weitere Informationen zu den Schritten auf der Seite Scan-Konfiguration erstellen. Klicken Sie am Ende jedes Abschnitts auf Weiter.

Erkennungstyp auswählen

Wählen Sie Cloud Storage aus.

Bereich auswählen

Führen Sie einen der folgenden Schritte aus:

• Wenn Sie einen einzelnen Bucket scannen möchten, wählen Sie Einen Bucket scannen aus.

  Für jeden Bucket kann nur eine Konfiguration für den Scan einer einzelnen Ressource vorhanden sein. Weitere Informationen finden Sie unter Einzelne Datenressource profilieren.

  Geben Sie die Details des Buckets ein, für den Sie ein Profil erstellen möchten.

• Wenn Sie ein Standardprofiling auf Projektebene durchführen möchten, wählen Sie Ausgewähltes Projekt scannen aus.

Pläne verwalten

Wenn die Standardprofilerstellungshäufigkeit Ihren Anforderungen entspricht, können Sie diesen Abschnitt der Seite Scankonfiguration erstellen überspringen.

Konfigurieren Sie diesen Abschnitt aus folgenden Gründen:

• Sie können die Häufigkeit der Profilerstellung für alle Ihre Daten oder bestimmte Teilmengen Ihrer Daten detailliert anpassen.
• Um die Buckets anzugeben, für die Sie kein Profil erstellen möchten.
• Um die Buckets anzugeben, die nicht mehr als einmal profiliert werden sollen.

So nehmen Sie detaillierte Anpassungen an der Profilerstellungshäufigkeit vor:

1. Klicken Sie auf Zeitplan hinzufügen.

2. Geben Sie an, ob der Discovery-Dienst die ausgewählten Buckets profilieren oder von der Profilerstellung ausschließen soll.

   • Wenn Sie nie möchten, dass für die Buckets, die den Filtern entsprechen, ein Profil erstellt wird, deaktivieren Sie Do profile this data (Profil für diese Daten erstellen).

   • Wenn die Buckets, die den Filtern und Bedingungen entsprechen, mindestens einmal profiliert werden sollen, lassen Sie Do profile this data aktiviert.

3. Fügen Sie im Abschnitt Filter reguläre Ausdrücke und Tags hinzu, um die Buckets auszuwählen, die Sie in den Zeitplan aufnehmen möchten. Damit ein Bucket in den Zeitplan aufgenommen werden kann, muss er die folgenden Anforderungen erfüllen:

   • Wenn Sie Filter für reguläre Ausdrücke hinzufügen, muss der Bucket mindestens einem der von Ihnen angegebenen regulären Ausdrücke entsprechen.
   • Wenn Sie Tag-Filter hinzufügen, muss der Bucket alle von Ihnen angegebenen Tags enthalten.

   Angenommen, Sie haben in einem Zeitplan zwei Filter für reguläre Ausdrücke und drei Tag-Filter hinzugefügt. Damit ein Bucket in den Bereich dieses Zeitplans aufgenommen wird, muss er mindestens einem der Filter für reguläre Ausdrücke und allen Tag-Filtern entsprechen.

   So fügen Sie Filter hinzu:

   1. Wenn Sie einen Filter für reguläre Ausdrücke hinzufügen möchten, geben Sie mindestens eine der folgenden Optionen an:

      • Eine Projekt-ID oder ein regulärer Ausdruck, der ein oder mehrere Projekte angibt
      • Ein Bucket-Name oder ein regulärer Ausdruck, der einen oder mehrere Buckets angibt

      Reguläre Ausdrücke müssen der RE2-Syntax entsprechen.

      Wenn Sie weitere Filter für reguläre Ausdrücke hinzufügen möchten, klicken Sie auf Filter hinzufügen und wiederholen Sie diesen Schritt.

   2. Wenn Sie einen Tag-Filter hinzufügen möchten, wählen Sie Tag-Filterung aus. Geben Sie ein oder mehrere vorhandene Tags an, die Sie in den Zeitplan aufnehmen möchten.

4. Klicken Sie auf Häufigkeit.

5. Im Abschnitt Häufigkeit geben Sie an, ob der Discovery-Dienst ein neues Profil für Ihre Daten erstellen soll und welche Ereignisse einen Profilerstellungsvorgang auslösen sollen. Weitere Informationen finden Sie unter Häufigkeit der Datenprofilerstellung.

   1. Geben Sie unter Nach Zeitplan an, wie oft die Buckets neu profiliert werden sollen. Die Buckets werden unabhängig davon, ob sie geändert wurden, neu profiliert.
   2. Geben Sie für Wenn sich die Prüfungsvorlage ändert an, ob und wie oft ein neues Profil für Ihre Daten erstellt werden soll, wenn die zugehörige Prüfungsvorlage aktualisiert wird.
      Hinweis: Sie geben die zu verwendenden Inspektionsvorlagen im Schritt Inspektionsvorlage auswählen auf dieser Seite an.

      Eine Änderung der Inspektionsvorlage wird erkannt, wenn einer der folgenden Fälle eintritt:

      • Der Name einer Inspektionsvorlage in Ihrer Scankonfiguration ändert sich.
      • Die updateTime einer Inspektionsvorlage ändert sich.

   Wenn Sie beispielsweise eine Inspektionsvorlage für die Region us-west1 festlegen und diese Inspektionsvorlage aktualisieren, wird nur für Daten in der Region us-west1 ein neues Profil erstellt.

6. Optional: Klicken Sie auf Bedingungen.

   Im Abschnitt Bedingungen geben Sie alle Bedingungen an, die die in Ihren Filtern definierten Buckets erfüllen müssen, bevor Sensitive Data Protection ein Profil für sie erstellt.

   Legen Sie bei Bedarf Folgendes fest:

   • Mindestbedingungen: Aktivieren Sie diese Option, wenn Sie die Profilerstellung für einen Bucket verzögern möchten, bis er ein bestimmtes Alter erreicht hat. Geben Sie dann die Mindestdauer ein.

   • Bedingungen für Bucket-Attribute: Standardmäßig werden Buckets, für die Autoclass aktiviert ist, nicht von Sensitive Data Protection gescannt. Wenn Sie diese Buckets scannen möchten, klicken Sie auf Buckets mit aktiviertem Autoclass scannen.

     Achtung :Beim Scannen werden Objekte mit aktiviertem Autoclass, die sich in kälteren Speicherklassen befinden, in die Speicherklasse „Standard Storage“ verschoben.

   • Bedingungen für Objektattribute: Standardmäßig scannt Sensitive Data Protection nur Objekte, die sich in der Speicherklasse „Standard Storage“ befinden. Wenn Sie Objekte in anderen Speicherklassen scannen möchten, wählen Sie diese Speicherklassen einzeln aus oder klicken Sie auf Alle Objekte unabhängig vom Attribut scannen.

   • Zeitbedingung: Aktivieren Sie diese Option, wenn Sie nicht möchten, dass alte Buckets jemals profiliert werden. Wählen Sie dann mit der Datumsauswahl ein Datum und eine Uhrzeit aus. Alle Buckets, die am oder vor dem ausgewählten Zeitstempel erstellt wurden, werden vom Profiling ausgeschlossen.

   Beispielbedingungen

   Angenommen, Sie haben die folgende Konfiguration:

   • Mindestbedingungen

     • Mindestdauer: 24 Stunden

   • Bedingungen für Bucket-Attribute

     • Nichts ausgewählt

   • Bedingungen für Objektattribute

     • Objekte mit der Speicherklasse „Standard Storage“ scannen
     • Objekte mit der Speicherklasse „Nearline Storage“ scannen

   • Zeitbasierte Bedingung

     • Zeitstempel: 05.04.22, 23:59 Uhr

   In diesem Fall schließt Sensitive Data Protection alle Buckets aus, die am oder vor dem 4. Mai 2022 um 23:59 Uhr erstellt wurden. Von den Buckets, die nach diesem Datum und dieser Uhrzeit erstellt wurden, erstellt Sensitive Data Protection nur für die Buckets ein Profil, die mindestens 24 Stunden alt sind und für die Autoclass deaktiviert ist. In diesen Buckets profiliert Sensitive Data Protection nur die Objekte, die sich in den Speicherklassen „Standard“ und „Nearline Storage“ befinden.

7. Klicken Sie auf Fertig.

8. Optional: Wenn Sie weitere Zeitpläne hinzufügen möchten, klicken Sie auf Zeitplan hinzufügen und wiederholen Sie die vorherigen Schritte.

9. Wenn Sie die Rangfolge zwischen Zeitplänen festlegen möchten, können Sie sie mit dem Aufwärtspfeil und dem Abwärtspfeil neu anordnen.

   Die Reihenfolge der Zeitpläne gibt an, wie Konflikte zwischen Zeitplänen gelöst werden. Wenn ein Bucket mit den Filtern von zwei verschiedenen Zeitplänen übereinstimmt, wird die Profiling-Häufigkeit für diesen Bucket durch den Zeitplan bestimmt, der in der Zeitplanliste weiter oben steht.

   Hinweis: Wenn Ihr Preismodell für die Erkennung der Abomodus ist, hängt die Rate, mit der Sensitive Data Protection Profile für Ihre Daten erstellt, davon ab, wie viel Kapazität Sie erworben haben. Informationen zum Ermitteln Ihrer täglichen Profilerstellungskapazität finden Sie unter Auslastung überwachen. Wenn Sie eine zu geringe Kapazität festgelegt haben, werden die in Ihren Zeitplänen festgelegten Profilerstellungshäufigkeiten möglicherweise nicht eingehalten. Wenn ein Rückstand an Daten vorhanden ist, für die ein Profil erstellt werden muss, bestimmt die Reihenfolge im Zeitplan nicht die Reihenfolge, in der Sensitive Data Protection die Daten im Rückstand profiliert. Stattdessen wird allen infrage kommenden Datenressourcen ein zufälliger Slot in der Warteschlange zugewiesen.

10. Optional: Bearbeiten oder deaktivieren Sie den Catch-all-Zeitplan.

    Der letzte Zeitplan in der Liste ist der Catch-all-Zeitplan. Dieser Zeitplan deckt die Buckets im ausgewählten Bereich ab, die mit keinem der von Ihnen erstellten Zeitpläne übereinstimmen. Der Catch-all-Zeitplan folgt der Standardhäufigkeit für die Profilerstellung des Systems.

    • Wenn Sie den Catch-all-Zeitplan anpassen möchten, klicken Sie auf Zeitplan bearbeiten und passen Sie die Einstellungen nach Bedarf an.
    • Wenn Sie verhindern möchten, dass Sensitive Data Protection ein Profil für Ressourcen erstellt, die vom Catch-all-Zeitplan abgedeckt werden, deaktivieren Sie Profil der Ressourcen erstellen, die keinem benutzerdefinierten Zeitplan entsprechen.

Inspektionsvorlage auswählen

Je nachdem, wie Sie eine Inspektionskonfiguration bereitstellen möchten, wählen Sie eine der folgenden Optionen aus. Unabhängig davon, welche Option Sie auswählen, werden Ihre Daten von Sensitive Data Protection in der Region gescannt, in der sie gespeichert sind. Das bedeutet, dass Ihre Daten die Ursprungsregion nicht verlassen.

Option 1: Inspektionsvorlage erstellen

Wählen Sie diese Option aus, wenn Sie eine neue Inspektionsvorlage in der Region global erstellen möchten.

1. Klicken Sie auf Neue Inspektionsvorlage erstellen.

2. Optional: Wenn Sie die Standardauswahl von infoTypes ändern möchten, klicken Sie auf infoTypes verwalten.

   Weitere Informationen zum Verwalten von integrierten und benutzerdefinierten infoTypes finden Sie unter infoTypes über dieGoogle Cloud Console verwalten.

   Sie müssen mindestens einen infoType auswählen, um fortzufahren.

3. Optional: Konfigurieren Sie die Inspektionsvorlage weiter, indem Sie Regelsätze hinzufügen und einen Konfidenzschwellenwert festlegen. Weitere Informationen finden Sie unter Erkennung konfigurieren.

Wenn Sensitive Data Protection die Scankonfiguration erstellt, wird diese neue Inspektionsvorlage in der Region global gespeichert.

Option 2: Vorhandene Inspektionsvorlage verwenden

Wählen Sie diese Option aus, wenn Sie vorhandene Inspektionsvorlagen verwenden möchten.

1. Klicken Sie auf Vorhandene Inspektionsvorlage wählen.
2. Geben Sie den vollständigen Ressourcennamen der Inspektionsvorlage ein, die Sie verwenden möchten. Das Feld Region wird automatisch mit dem Namen der Region ausgefüllt, in der Ihre Inspektionsvorlage gespeichert ist.

   Die von Ihnen eingegebene Prüfvorlage muss sich in derselben Region wie die zu profilierenden Daten befinden.

   Um den Datenstandort zu berücksichtigen, verwendet Sensitive Data Protection keine Inspektionsvorlage außerhalb der Region, in der diese Vorlage gespeichert ist.

   So finden Sie den vollständigen Ressourcennamen einer Inspektionsvorlage:

   1. Rufen Sie die Liste der Inspektionsvorlagen auf. Diese Seite wird in einem separaten Tab geöffnet.

      Inspektionsvorlagen aufrufen

   2. Wählen Sie das Projekt aus, das die Inspektionsvorlage enthält, die Sie verwenden möchten.
   3. Wählen Sie Konfiguration > Vorlagen > Prüfen aus und klicken Sie dann auf die Vorlagen-ID der Vorlage, die Sie verwenden möchten.
   4. Kopieren Sie auf der daraufhin angezeigten Seite den vollständigen Ressourcennamen der Vorlage. Der vollständige Ressourcenname hat folgendes Format:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Fügen Sie auf der Seite Scankonfiguration erstellen im Feld Vorlagenname den vollständigen Ressourcennamen der Vorlage ein.
3. Wenn Sie eine Inspektionsvorlage für eine andere Region hinzufügen möchten, klicken Sie auf Inspektionsvorlage hinzufügen und geben Sie den vollständigen Ressourcennamen der Vorlage ein. Wiederholen Sie diesen Vorgang für jede Region, für die Sie eine eigene Inspektionsvorlage haben.
4. Optional: Fügen Sie eine Inspektionsvorlage hinzu, die in der Region global gespeichert ist. Sensitive Data Protection verwendet diese Vorlage automatisch für Daten in Regionen, für die Sie keine dedizierte Inspektionsvorlage haben.
Achtung: Wenn Sie keine Inspektionsvorlage angeben, die in der Region global gespeichert ist, kann Sensitive Data Protection keine Profile für Daten in Regionen erstellen, die keine dedizierte Inspektionsvorlage haben. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Aktionen hinzufügen

In diesem Abschnitt wird beschrieben, wie Sie Aktionen angeben, die Sensitive Data Protection nach dem Erstellen eines Profils für einen Bucket ausführen soll. Diese Aktionen sind nützlich, wenn Sie aus Datenprofilen gewonnene Statistiken an andereGoogle Cloud -Dienste senden möchten.

Hinweis :Informationen dazu, wie andere Google Cloud -Dienste Ihnen die Konfiguration von Aktionen in Rechnung stellen, finden Sie unter Preise für den Export von Datenprofilen.

In Security Command Center veröffentlichen

Ergebnisse aus Datenprofilen liefern Kontext, wenn Sie Ihre Sicherheitslücken- und Bedrohungsergebnisse im Security Command Center sichten und Reaktionspläne dafür entwickeln.

Hinweis :Sie können Security Command Center auch so konfigurieren, dass Ressourcen für die Simulation von Angriffspfaden automatisch priorisiert werden. Die Priorisierung erfolgt dann anhand der berechneten Vertraulichkeit der Daten, die die Ressourcen enthalten. Weitere Informationen finden Sie unter Prioritätswerte für Ressourcen automatisch anhand der Vertraulichkeit von Daten festlegen.

Damit Sie diese Aktion verwenden können, muss Security Command Center auf Organisationsebene aktiviert sein. Wenn Sie Security Command Center auf Organisationsebene aktivieren, können Ergebnisse aus integrierten Diensten wie Sensitive Data Protection übertragen werden. Sensitive Data Protection funktioniert mit allen Dienststufen von Security Command Center.

Wenn Security Command Center nicht auf Organisationsebene aktiviert ist, werden Sensitive Data Protection-Ergebnisse nicht in Security Command Center angezeigt. Weitere Informationen finden Sie unter Aktivierungsstufe von Security Command Center prüfen.

Wenn Sie die Ergebnisse Ihrer Datenprofile an Security Command Center senden möchten, muss die Option In Security Command Center veröffentlichen aktiviert sein.

Weitere Informationen finden Sie unter Datenprofile im Security Command Center veröffentlichen.

Datenprofilkopien in BigQuery speichern

Sensitive Data Protection speichert eine Kopie jedes generierten Datenprofils in einer BigQuery-Tabelle. Wenn Sie die Details Ihrer bevorzugten Tabelle nicht angeben, erstellt Sensitive Data Protection ein Dataset und eine Tabelle im Projekt. Standardmäßig heißt das Dataset sensitive_data_protection_discovery und die Tabelle discovery_profiles.

Wichtig :Die Ausgabetabelle verwendet DataProfileBigQueryRowSchema als Schema. Dieses Schema kann sich ändern, wenn Sensitive Data Protection neue Funktionen hinzufügt. Achten Sie darauf, dass Ihre Workflows Schemaänderungen verarbeiten können, z. B. durch Ignorieren unbekannter Felder.

So können Sie einen Verlauf aller generierten Profile speichern. Dieser Verlauf kann nützlich sein, um Prüfberichte zu erstellen und Datenprofile zu visualisieren. Sie können diese Informationen auch in andere Systeme laden.

Außerdem können Sie mit dieser Option alle Ihre Datenprofile in einer einzigen Ansicht sehen, unabhängig davon, in welcher Region sich Ihre Daten befinden. Sie können die Datenprofile auch über dieGoogle Cloud Console aufrufen. In der Console werden die Profile jedoch jeweils nur in einer Region angezeigt.

Wenn Sensitive Data Protection ein Bucket nicht profilieren kann, wird es regelmäßig noch einmal versucht. Um das Rauschen in den exportierten Daten zu minimieren, exportiert Sensitive Data Protection nur die erfolgreich generierten Profile nach BigQuery.

Sensitive Data Protection beginnt mit dem Exportieren von Profilen, sobald Sie diese Option aktivieren. Profile, die vor dem Aktivieren des Exports generiert wurden, werden nicht in BigQuery gespeichert.

Hinweis: Der mit Ihrem Projekt verknüpfte Dienst-Agent muss Schreibzugriff auf die Tabelle haben, in der die Profilkopien gespeichert werden.

Beispielabfragen, die Sie beim Analysieren von Datenprofilen verwenden können, finden Sie unter Datenprofile analysieren.

Beispielergebnisse für die Erkennung in BigQuery speichern

Sensitive Data Protection kann einer BigQuery-Tabelle Ihrer Wahl Beispielergebnisse hinzufügen. Beispielergebnisse stellen eine Teilmenge aller Ergebnisse dar und repräsentieren möglicherweise nicht alle gefundenen infoTypes. Normalerweise generiert das System etwa 10 Beispielfunde pro Bucket. Diese Anzahl kann jedoch für jeden Erkennungslauf variieren.

Jedes Ergebnis enthält den tatsächlichen String (auch Zitat genannt), der erkannt wurde, und seinen genauen Speicherort.

Diese Aktion ist nützlich, wenn Sie prüfen möchten, ob Ihre Prüfkonfiguration dem Typ von Informationen entspricht, die Sie als sensibel kennzeichnen möchten. Mithilfe der exportierten Datenprofile und der exportierten Beispielergebnisse können Sie Abfragen ausführen, um weitere Informationen zu den gekennzeichneten Elementen, den übereinstimmenden InfoTypes, den genauen Speicherorten, den berechneten Sensitivitätsstufen und anderen Details zu erhalten.

Wichtig: Die Ausgabetabelle verwendet DataProfileFinding als Schema. Dieses Schema kann sich ändern, wenn Sensitive Data Protection neue Funktionen hinzufügt. Achten Sie darauf, dass Ihre Workflows Schemaänderungen verarbeiten können, z. B. durch Ignorieren unbekannter Felder.

Beispielanfrage: Zeige Beispielfunde im Zusammenhang mit Dateispeicher-Datenprofilen.

Für dieses Beispiel müssen sowohl Datenprofilkopien in BigQuery speichern als auch Beispielergebnisse für die Erkennung in BigQuery speichern aktiviert sein.

In der folgenden Abfrage wird ein INNER JOIN-Vorgang sowohl für die Tabelle der exportierten Datenprofile als auch für die Tabelle der exportierten Beispielergebnisse verwendet. In der resultierenden Tabelle enthält jeder Datensatz das Zitat des Ergebnisses, den infoType, mit dem es übereinstimmt, die Ressource, die das Ergebnis enthält, und das berechnete Sensibilitätsniveau der Ressource.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

So speichern Sie Beispielergebnisse in einer BigQuery-Tabelle:

1. Aktivieren Sie Beispielergebnisse für die Erkennung in BigQuery speichern.

2. Geben Sie die Details der BigQuery-Tabelle ein, in der Sie die Beispielergebnisse speichern möchten.

   Die Tabelle, die Sie für diese Aktion angeben, muss sich von der Tabelle unterscheiden, die für die Aktion Datenprofilkopien in BigQuery speichern verwendet wird.

   • Geben Sie für Projekt-ID die ID eines vorhandenen Projekts ein, in das Sie die Ergebnisse exportieren möchten.

   • Geben Sie unter Dataset-ID den Namen eines vorhandenen Datasets im Projekt ein.

   • Geben Sie unter Tabellen-ID den Namen der BigQuery-Tabelle ein, in der die Ergebnisse gespeichert werden sollen. Wenn diese Tabelle nicht vorhanden ist, wird sie von Sensitive Data Protection automatisch mit dem von Ihnen angegebenen Namen erstellt.

Hinweis : Der mit Ihrem Projekt verknüpfte Dienst-Agent muss Schreibzugriff auf die Tabelle haben.

Informationen zum Inhalt der einzelnen Ergebnisse, die in der BigQuery-Tabelle gespeichert werden, finden Sie unter DataProfileFinding.

Tags an Ressourcen anhängen

Wenn Sie Tags an Ressourcen anhängen aktivieren, werden Ihre Daten von Sensitive Data Protection automatisch entsprechend der berechneten Vertraulichkeitsstufe getaggt. Für diesen Abschnitt müssen Sie zuerst die Aufgaben unter IAM-Zugriff auf Ressourcen basierend auf der Datensensibilität steuern ausführen.

So taggen Sie eine Ressource automatisch entsprechend ihrer berechneten Vertraulichkeitsstufe:

1. Aktivieren Sie die Option Ressourcen taggen.

2. Geben Sie für jede Vertraulichkeitsstufe (hoch, moderat, niedrig und unbekannt) den Pfad des Tag-Werts ein, den Sie für die jeweilige Vertraulichkeitsstufe erstellt haben.

   Wenn Sie eine Vertraulichkeitsstufe überspringen, wird kein Tag dafür angehängt.

3. Wenn Sie das Datenrisiko einer Ressource automatisch senken möchten, wenn das Tag für die Vertraulichkeitsstufe vorhanden ist, wählen Sie Beim Anwenden eines Tags auf eine Ressource das Datenrisiko ihres Profils auf NIEDRIG setzen aus. Mit dieser Option können Sie die Verbesserung Ihrer Datensicherheit und Ihres Datenschutzes messen.

   Wichtig: Mit dieser Option wird die berechnete Datenrisikostufe der profilierten Ressource überschrieben.

4. Wählen Sie eine oder beide der folgenden Optionen aus:

   • Ressource taggen, wenn zum ersten Mal ein Profil für sie erstellt wird.

   • Ressource taggen, wenn ihr Profil aktualisiert wird. Wählen Sie diese Option aus, wenn Sensitive Data Protection den Tag-Wert für die Vertraulichkeitsstufe bei nachfolgenden Erkennungsläufen überschreiben soll. Folglich ändert sich der Zugriff eines Hauptkontos auf eine Ressource automatisch, wenn die berechnete Datenempfindlichkeitsstufe für diese Ressource steigt oder sinkt.

     Wählen Sie diese Option nicht aus, wenn Sie die Tag-Werte für die Vertraulichkeitsstufe, die der Erkennungsdienst Ihren Ressourcen zugewiesen hat, manuell aktualisieren möchten. Wenn Sie diese Option auswählen, kann Sensitive Data Protection Ihre manuellen Aktualisierungen überschreiben.

In Pub/Sub veröffentlichen

Wenn Sie In Pub/Sub veröffentlichen aktivieren, können Sie programmatische Aktionen basierend auf Profilerstellungsergebnissen ausführen. Sie können Pub/Sub-Benachrichtigungen verwenden, um einen Workflow zum Erfassen und Beheben von Ergebnissen mit erheblichem Datenrisiko oder hoher Sensibilität zu entwickeln.

So senden Sie Benachrichtigungen an ein Pub/Sub-Thema:

1. Aktivieren Sie In Pub/Sub veröffentlichen.

   Eine Liste mit Optionen wird angezeigt. Jede Option beschreibt ein Ereignis, das dazu führt, dass Sensitive Data Protection eine Benachrichtigung an Pub/Sub sendet.

2. Wählen Sie die Ereignisse aus, die eine Pub/Sub-Benachrichtigung auslösen sollen.

   Wenn Sie Bei jeder Aktualisierung eines Profils eine Pub/Sub-Benachrichtigung senden auswählen, sendet Sensitive Data Protection eine Benachrichtigung, wenn sich die Vertraulichkeitsstufe, die Datenrisikostufe, die erkannten infoTypes, der öffentliche Zugriff und andere wichtige Messwerte im Profil ändern.

3. Führen Sie für jedes ausgewählte Ereignis die folgenden Schritte aus:

   1. Geben Sie den Namen des Themas ein. Der Name muss folgendes Format haben:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Ersetzen Sie Folgendes:

      • PROJECT_ID: die ID des Projekts, das mit dem Pub/Sub-Thema verknüpft ist.
      • TOPIC_ID: die ID des Pub/Sub-Themas.

   2. Geben Sie an, ob das vollständige Bucket-Profil in die Benachrichtigung aufgenommen werden soll oder nur der vollständige Ressourcenname des Buckets, für den ein Profil erstellt wurde.

   3. Legen Sie die Mindeststufen für Datenrisiko und ‑vertraulichkeit fest, die erfüllt sein müssen, damit Sensitive Data Protection eine Benachrichtigung sendet.

   4. Geben Sie an, ob nur eine oder beide Bedingungen für Datenrisiko und Sensitivität erfüllt sein müssen. Wenn Sie beispielsweise AND auswählen, müssen sowohl die Bedingungen für das Datenrisiko als auch die für die Vertraulichkeit erfüllt sein, bevor Sensitive Data Protection eine Benachrichtigung sendet.

Hinweis: Der mit Ihrem Projekt verknüpfte Dienst-Agent muss Veröffentlichungszugriff auf das Pub/Sub-Thema haben. Ein Beispiel für eine Rolle mit Veröffentlichungszugriff ist die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher). Wenn es Konfigurations- oder Berechtigungsprobleme mit dem Pub/Sub-Thema gibt, versucht Sensitive Data Protection bis zu zwei Wochen lang, die Pub/Sub-Benachrichtigung zu senden. Nach zwei Wochen wird die Benachrichtigung verworfen.

Fallback-Standorte für die Bildverarbeitung festlegen

Im Allgemeinen verarbeitet Sensitive Data Protection Ihre Daten an dem Ort, an dem die Daten gespeichert sind. Bilder können jedoch nur in einer Multiregion oder in der Region global verarbeitet werden. Wenn Sie einen Fallback-Standort festlegen, verwendet Sensitive Data Protection Ihren Fallback-Standort, um Bilder zu verarbeiten, die sich nicht in einer Multiregion oder in der Region global befinden. Wenn Sie diesen Abschnitt überspringen, werden diese Bilder nicht verarbeitet.

Wählen Sie eine oder beide der folgenden Optionen aus, um Fallback-Standorte für die Bildverarbeitung festzulegen:

• Fallback auf die Multiregion: Wenn ein Bild nicht an seinem ursprünglichen Standort verarbeitet werden kann, wird es in der Multiregion verarbeitet, die dem ursprünglichen Standort des Bildes entspricht. Wenn der ursprüngliche Speicherort des Bildes keiner Multiregion entspricht, wird das Bild übersprungen.
• Fallback auf global: Wenn ein Bild nicht an seinem ursprünglichen Speicherort verarbeitet werden kann, wird es in der Region global verarbeitet.

Wenn Sie beide Optionen auswählen, wählt Sensitive Data Protection aus, welcher Standort als Fallback-Standort verwendet werden soll.

Speicherort für Konfiguration festlegen

Klicken Sie auf die Liste Ressourcenstandort und wählen Sie die Region aus, in der Sie diese Scankonfiguration speichern möchten. Alle Scankonfigurationen, die Sie später erstellen, werden ebenfalls an diesem Ort gespeichert.

Der Speicherort der Scankonfiguration hat keinen Einfluss auf die zu scannenden Daten. Ihre Daten werden in derselben Region gescannt, in der sie gespeichert sind. Weitere Informationen finden Sie unter Überlegungen zum Datenstandort.

Hinweis :Wenn Sie bereits eine Scan-Konfiguration haben, können Sie den in diesem Feld festgelegten Wert nicht mehr ändern. Alle Scankonfigurationen werden am selben Standort gespeichert. Wenn Sie den Speicherort aller Scankonfigurationen ändern möchten, müssen Sie sie löschen, neu erstellen und am neuen Speicherort speichern.

Überprüfen und erstellen

1. Wenn Sie verhindern möchten, dass die Profilerstellung automatisch nach dem Erstellen der Scankonfiguration gestartet wird, wählen Sie Scan im pausierten Modus erstellen aus.

   Diese Option ist in folgenden Fällen nützlich:

   • Sie haben sich dafür entschieden, Datenprofile in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Datenprofilkopien gespeichert werden.
   • Sie haben sich dafür entschieden, Beispielergebnisse für die Erkennung in BigQuery zu speichern, und möchten sicherstellen, dass der Dienst-Agent Schreibzugriff auf die BigQuery-Tabelle hat, in der die Beispielergebnisse gespeichert werden.
   • Sie haben Pub/Sub-Benachrichtigungen konfiguriert und möchten dem Dienst-Agent Veröffentlichungszugriff gewähren.
   • Sie haben die Aktion Tags an Ressourcen anhängen aktiviert und müssen dem Dienst-Agent Zugriff auf das Tag für die Vertraulichkeitsstufe gewähren.
2. Prüfen Sie Ihre Einstellungen und klicken Sie auf Erstellen.

   Sensitive Data Protection erstellt die Scankonfiguration und fügt sie der Liste der Scankonfigurationen für die Erkennung hinzu.

Informationen zum Aufrufen oder Verwalten Ihrer Scankonfigurationen finden Sie unter Scankonfigurationen verwalten.

Hinweis: Wir verbessern unseren Erkennungsalgorithmus regelmäßig. Wenn wir feststellen, dass Ihre Organisation oder Ihr Projekt von einer Verbesserung profitieren würde, können wir Ihre Datenprofile automatisch neu erstellen und Aktionen in Ihrer Scankonfiguration wiederholen. Dafür fallen keine Sensitive Data Protection-Gebühren an. Aufgrund des Wiederholens von Aktionen können jedoch Kosten für die Nutzung anderer Google Cloud Dienste entstehen. Wenn Sie beispielsweise Sensitive Data Protection so konfiguriert haben, dass die Datenprofile in BigQuery gespeichert werden, werden Ihnen Gebühren für BigQuery in Rechnung gestellt.

Nächste Schritte

Weitere Informationen zum Verwalten von Datenprofilen

Erfahren Sie, wie Sie Scankonfigurationen verwalten.

Pub/Sub-Nachrichten empfangen und parsen, die vom Datenprofiler veröffentlicht wurden

Informationen zur Fehlerbehebung bei Datenprofilen

Sehen Sie sich die Einschränkungen für die Datenprofilerstellung an.

Sehen Sie sich die Dateicluster an, die von der Erkennung sensibler Daten gescannt werden können.