在單一專案中剖析 Vertex AI 資料

本文說明如何在專案層級，為 Vertex AI 資料設定私密/機密資料探索作業。如要瞭解如何在機構或資料夾層級設定探索功能，請參閱「剖析機構或資料夾中的 Vertex AI 資料」。

如要進一步瞭解探索服務，請參閱「資料設定檔」。

事前準備

1. 如果您有機構層級的探索服務訂閱方案 (包括 Security Command Center 隨附的方案)，請留意專案層級探索服務設定未涵蓋在訂閱方案的範圍內，會另外計費。建議您使用機構層級的探索設定，為專案建立設定檔。詳情請參閱「在機構或資料夾中選取剖析專案或資料資產」。

2. 確認專案已啟用 Cloud Data Loss Prevention API：

   登入 Google Cloud 帳戶。如果您未曾使用過 Google Cloud，歡迎 建立帳戶，親自體驗實際使用我們產品的成效。新客戶還能獲得價值 $300 美元的免費抵免額，用於執行、測試及部署工作負載。

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

   In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

   Verify that billing is enabled for your Google Cloud project.

   Enable the required API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

3. 確認您具備在專案層級設定資料剖析檔所需的 IAM 權限。

4. 您必須在每個要進行資料剖析的區域中，建立檢查範本。如要將單一範本用於多個區域，可以使用儲存在 global 區域的範本。如果機構政策禁止您在 global 區域建立檢查範本，則必須為每個區域設定專屬的檢查範本。詳情請參閱「資料落地注意事項」。

   這項工作只能在 global 區域建立檢查範本。如需一或多個區域的專用檢查範本，請先建立這些範本，再執行這項工作。

5. 您可以設定 Sensitive Data Protection，在發生特定事件時 (例如 Sensitive Data Protection 剖析新資源) 傳送通知至 Pub/Sub。如要使用這項功能，請先建立 Pub/Sub 主題。

建立掃描設定

1. 前往「建立掃描設定」頁面。

   前往「建立掃描設定」

2. 前往專案。在工具列中，按一下專案選取器，然後選取專案。

下列各節將進一步說明「Create scan configuration」(建立掃描設定) 頁面中的步驟。在每個部分結束時，按一下「繼續」。

選取探索類型

選取「Vertex AI」。

選取範圍

執行下列其中一個步驟：

• 如要掃描單一資源，請選取「掃描單一資源」。

  每個資源只能有一個單一資源掃描設定。詳情請參閱「剖析單一資料資源」。

  填寫要分析的資源詳細資料。

• 如要執行標準專案層級剖析，請選取「Scan selected project」(掃描所選專案)。

管理時間表

如果預設剖析頻率符合需求，可以略過「建立掃描設定」頁面的這個部分。

設定這個專區的原因如下：

• 微調所有資料或特定資料子集的剖析頻率。
• 指定您不想剖析的資源。
• 指定不想重複剖析的資源。

如要精細調整剖析頻率，請按照下列步驟操作：

1. 按一下「新增時間表」。

2. 在「Filters」(篩選器) 部分，定義一或多個篩選器，指定排程範圍內的資源。如果資源符合至少一個定義的篩選器，就會視為在排程範圍內。

   如要設定篩選條件，請指定專案 ID 或規則運算式，以指定一或多個專案。

   規則運算式必須符合 RE2 語法。

   舉例來說，如要將專案中的所有資源納入篩選條件，請在「專案 ID」欄位中輸入專案 ID。

   如要新增更多篩選器，請按一下「新增篩選器」，然後重複這個步驟。

3. 按一下「頻率」。

4. 在「頻率」部分，指定探索服務是否要分析您選取的資源，以及分析頻率：

   • 如要避免系統剖析資源，請關閉「要剖析這項資料」。

   • 如要至少剖析資源一次，請將「剖析這項資料」設為啟用。

     在本節的後續欄位中，您可以指定系統是否應重新剖析資料，以及哪些事件應觸發重新剖析作業。詳情請參閱「資料剖析檔的產生頻率」。

     1. 如果是「依排程」，請指定要重新剖析資源的頻率。無論資源是否經過任何變更，都會重新建立設定檔。
     2. 在「When inspect template changes」(檢查範本變更時) 部分，指定是否要在相關聯的檢查範本更新時重新剖析資料，以及重新剖析的頻率。
        注意：您可以在這個頁面的「選取檢查範本」步驟中，指定要使用的檢查範本。

        如果發生下列任一情況，系統就會偵測到檢查範本變更：

        • 掃描設定中的檢查範本名稱有變。
        • 檢查範本的 updateTime 發生變更。

     舉例來說，如果您為 us-west1 區域設定檢查範本，並更新該檢查範本，則只有 us-west1 區域中的資料會重新剖析。

5. 選用：按一下「條件」。

   在「條件」部分，您可以指定篩選器中定義的資源必須符合哪些條件，才能讓 Sensitive Data Protection 剖析這些資源。

   視需要設定下列項目：

   • 時間條件：如果不想剖析舊資源，請啟用這個選項。然後使用日期挑選器選取日期和時間。系統不會對所選時間戳記當天或之前建立的任何資源進行剖析。

   • 最低條件：如要延後剖析資源，直到資源達到特定存在時間，請啟用這個選項。然後輸入最短時間長度。

   • 資源類型：如要將剖析範圍限制在特定 Vertex AI 資源類型，請清除「All resource types」(所有資源類型) 核取方塊，然後選取 Sensitive Data Protection 必須剖析的資源類型。

     重要事項： 如果略過這個步驟，系統會分析所有 Vertex AI 資源類型。如果日後支援新的 Vertex AI 資源類型，這些類型會自動納入設定，並進行剖析。

   條件範例

   假設您有下列設定：

   • 時間條件

     • 時間戳記：2022 年 5 月 4 日晚上 11:59

   • 最低條件

     • 最短時間：24 小時

   • 資源類型

     • 調整工作

   在這種情況下，Sensitive Data Protection 會排除在 2022 年 5 月 4 日晚上 11:59 之前建立的任何調整工作。在該日期和時間之後建立的調整工作中，Sensitive Data Protection 只會剖析至少 24 小時的調整工作。系統不會剖析其他 Vertex AI 資源類型。

6. 按一下「完成」。

7. 選用：如要新增更多時間表，請按一下「新增時間表」，然後重複上述步驟。

8. 如要指定排程的優先順序，請使用 向上鍵和 向下鍵重新排序。

   時間表的順序會指定如何解決時間表之間的衝突。如果資源符合兩個不同排程的篩選條件，系統會依據排程清單中較高的排程，決定該資源的剖析頻率。

   注意： 如果探索定價模式為訂閱模式，Sensitive Data Protection 剖析資料的速率會受到購買容量影響。如要判斷每日剖析作業運算資源，請參閱「監控使用率」。如果佈建的運算資源不足，系統可能不會按照您在排程中設定的剖析頻率執行。如果待剖析的資料量過多，排程順序不會決定 Sensitive Data Protection 剖析待處理資料的順序。而是隨機分配佇列中的位置。

9. 選用：編輯或關閉「Catch-all schedule」。

   清單中的最後一個時間表是通用時間表。這項排程涵蓋所選範圍內不符合任何自訂排程的資源。通用排程會遵循系統預設剖析頻率。

   • 如要調整全面涵蓋時間表，請按一下 「Edit schedule」(編輯時間表)，然後視需要調整設定。
   • 如要防止 Sensitive Data Protection 剖析通用排程涵蓋的任何資源，請關閉「Profile the resources that don't match any custom schedule」(剖析不符合任何自訂排程的資源)。

選取檢查範本

請根據您想提供檢查設定的方式，選擇下列其中一個選項。無論選擇哪種選項，Sensitive Data Protection 都會在資料儲存的區域掃描資料。也就是說，資料不會離開來源區域。

方法 1：建立檢查範本

如要在 global 區域建立新的檢查範本，請選擇這個選項。

1. 按一下「建立新的檢查範本」。

2. 選用：如要修改預設選取的 infoType，請按一下「Manage infoTypes」(管理 infoType)。

   如要進一步瞭解如何管理內建和自訂 infoType，請參閱「透過Google Cloud 控制台管理 infoType」。

   您必須選取至少一個 infoType 才能繼續。

3. 選用：新增規則集並設定信賴度門檻，進一步設定檢查範本。詳情請參閱「設定偵測」。

Sensitive Data Protection 建立掃描設定時，會將這個新檢查範本儲存在 global 區域。

方法 2：使用現有的檢查範本

如果您有現成的檢查範本，請選擇這個選項。

1. 按一下「選取現有的檢查範本」。
2. 輸入要使用的檢查範本完整資源名稱。 「Region」(區域) 欄位會自動填入檢查範本的儲存區域名稱。

   您輸入的檢查範本必須與要剖析的資料位於相同區域。

   為遵守資料落地規定，Sensitive Data Protection 不會使用儲存在其他區域的檢查範本。

   如要找出檢查範本的完整資源名稱，請按照下列步驟操作：

   1. 前往檢查範本清單。這個頁面會在另一個分頁中開啟。

      前往檢查範本

   2. 選取要使用的檢查範本所屬專案。
   3. 依序選取「Configuration」(設定) >「Templates」(範本) >「Inspect」(檢查)，然後按一下要使用的範本 ID。
   4. 在開啟的頁面中，複製範本的完整資源名稱。完整資源名稱的格式如下：

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. 在「Create scan configuration」(建立掃描設定) 頁面的「Template name」(範本名稱) 欄位中，貼上範本的完整資源名稱。
3. 如要新增其他區域的檢查範本，請按一下「Add inspection template」(新增檢查範本)，然後輸入範本的完整資源名稱。針對每個設有專屬檢查範本的區域，重複執行這項操作。
4. 選用：新增儲存在 global 區域的檢查範本。 如果某個區域沒有專屬檢查範本，Sensitive Data Protection 會自動使用該範本處理該區域的資料。
注意：如果未納入儲存在 global 區域的檢查範本，Sensitive Data Protection 就無法剖析沒有專屬檢查範本的區域資料。詳情請參閱「資料落地注意事項」。

新增動作

本節說明如何指定您希望 Sensitive Data Protection 在剖析資源後執行的動作。如果您想將從資料設定檔收集的洞察資料傳送至其他Google Cloud 服務，這些動作就非常實用。

注意： 如要瞭解其他 Google Cloud 服務可能會如何向您收取設定動作的費用，請參閱「匯出資料剖析檔的定價」。

發布至 Security Command Center

在 Security Command Center 中，您可以根據資料剖析檔的發現項目，分類並制定安全漏洞和威脅發現項目的因應計畫。

注意： 您也可以設定 Security Command Center，根據資源所含資料的計算機密程度，自動為攻擊路徑模擬功能設定資源優先順序。詳情請參閱「自動依據資料機密程度設定資源優先順序值」。

如要使用這項動作，必須先在組織層級啟用 Security Command Center。在組織層級啟用 Security Command Center，即可從 Sensitive Data Protection 等整合服務，接收發現項目。Sensitive Data Protection 適用於 Security Command Center 的所有服務級別。

如果未在組織層級啟用 Security Command Center，Sensitive Data Protection 發現項目就不會顯示在 Security Command Center 中。詳情請參閱「查看 Security Command Center 的啟用層級」。

如要將資料剖析檔結果傳送至 Security Command Center，請務必開啟「發布至 Security Command Center」選項。

詳情請參閱「將資料剖析檔發布至 Security Command Center」。

將資料剖析檔副本儲存至 BigQuery

Sensitive Data Protection 會將每個產生的資料剖析檔副本，儲存在 BigQuery 資料表中。如未提供偏好資料表的詳細資料，Sensitive Data Protection 會在專案中建立資料集和資料表。根據預設，資料集名稱為 sensitive_data_protection_discovery，資料表名稱為 discovery_profiles。

重要事項： 輸出表格會使用 DataProfileBigQueryRowSchema 做為結構定義。隨著 Sensitive Data Protection 新增功能，這個結構定義可能會變更。請確保工作流程可以處理結構定義變更，例如忽略不明欄位。

這項操作可讓您保留所有產生的設定檔記錄。這項記錄有助於建立稽核報告和呈現資料設定檔。您也可以將這項資訊載入其他系統。

此外，無論資料位於哪個區域，您都能在單一檢視畫面中查看所有資料剖析檔。雖然您也可以透過Google Cloud 控制台查看資料設定檔，但控制台一次只會顯示一個區域的設定檔。

如果 Sensitive Data Protection 無法剖析資源，系統會定期重試。為盡量減少匯出資料中的雜訊，Sensitive Data Protection 只會將成功產生的設定檔匯出至 BigQuery。

開啟這項選項後，Sensitive Data Protection 就會開始匯出設定檔。啟用匯出功能前產生的剖析檔不會儲存至 BigQuery。

注意： 與專案相關聯的服務代理，必須具備設定檔副本儲存表格的寫入權限。

如需分析資料剖析時可使用的查詢範例，請參閱「分析資料剖析」。

將部分探索發現項目儲存至 BigQuery

Sensitive Data Protection 可將範例發現項目新增至您選取的 BigQuery 資料表。樣本發現項目僅代表所有發現項目的子集，可能不包含所有已探索到的 infoType。一般來說，系統會為每個資源產生約 10 個樣本結果，但每次探索作業執行的結果數量可能不同。

每個發現項目都會顯示偵測到的實際字串 (也稱為「引用內容」) 和確切位置。

如要評估檢查設定是否正確比對要標示為機密的資訊類型，這項操作就非常實用。您可以使用匯出的資料剖析檔和樣本發現項目，執行查詢來取得更多資訊，例如標記的特定項目、相符的 infoType、確切位置、計算出的敏感度等級和其他詳細資料。

重要事項： 輸出表格會使用 DataProfileFinding 做為結構定義。隨著 Sensitive Data Protection 新增功能，這個結構定義可能會變更。請確保工作流程可以處理結構定義變更，例如忽略不明欄位。

如要將發現項目示例儲存至 BigQuery 資料表，請按照下列步驟操作：

1. 開啟「將部分探索發現項目儲存至 BigQuery」。

2. 輸入要儲存發現項目示例的 BigQuery 資料表詳細資料。

   您為這項動作指定的資料表，必須與「將資料剖析檔副本儲存至 BigQuery」動作使用的資料表不同。

   • 在「Project ID」(專案 ID) 中，輸入要匯出發現項目的現有專案 ID。

   • 在「Dataset ID」(資料集 ID) 部分，輸入專案中現有資料集的名稱。

   • 在「Table ID」(資料表 ID)，輸入要儲存發現項目的 BigQuery 資料表名稱。如果這個資料表不存在，Sensitive Data Protection 會自動使用您提供的名稱建立資料表。

注意： 與專案相關聯的服務代理程式必須擁有表格的寫入權限。

如要瞭解儲存在 BigQuery 資料表中的各項發現內容，請參閱 DataProfileFinding。

發布至 Pub/Sub

啟用「Publish to Pub/Sub」(發布至 Pub/Sub)，即可根據剖析結果採取程式輔助動作。您可以使用 Pub/Sub 通知，開發工作流程來擷取及修復具有重大資料風險或機密性的發現項目。

如要將通知傳送至 Pub/Sub 主題，請按照下列步驟操作：

1. 開啟「發布至 Pub/Sub」。

   畫面上會顯示選項清單。每個選項都會說明導致 Sensitive Data Protection 傳送通知至 Pub/Sub 的事件。

2. 選取應觸發 Pub/Sub 通知的事件。

   如果選取「每當更新設定檔時傳送 Pub/Sub 通知」，當設定檔中的機密程度、資料風險程度、偵測到的 infoType、公開存取權和其他重要指標有變更時，Sensitive Data Protection 就會傳送通知。

3. 針對選取的每個事件，請按照下列步驟操作：

   1. 輸入主題名稱。名稱必須採用以下格式：

      projects/PROJECT_ID/topics/TOPIC_ID
      

      更改下列內容：

      • PROJECT_ID：與 Pub/Sub 主題相關聯的專案 ID。
      • TOPIC_ID：Pub/Sub 主題 ID。

   2. 指定要在通知中加入完整資源設定檔，還是只加入已設定檔資源的完整資源名稱。

   3. 設定 Sensitive Data Protection 傳送通知時，必須達到的最低資料風險和機密等級。

   4. 指定必須符合一項或兩項資料風險和敏感度條件。舉例來說，如果選擇 AND，則必須同時符合資料風險和機密程度條件，Sensitive Data Protection 才會傳送通知。

注意： 與專案相關聯的服務代理，必須具備 Pub/Sub 主題的 發布權限。Pub/Sub 發布者角色 (roles/pubsub.publisher) 就是具備發布權限的角色。如果 Pub/Sub 主題有設定或權限問題，Sensitive Data Protection 會重試傳送 Pub/Sub 通知，最多兩週。兩週後，系統會捨棄通知。

傳送至 Knowledge Catalog 做為切面

這項操作可讓您根據資料剖析檔的深入分析，將 Knowledge Catalog 切面新增至剖析過的資源。這項操作只會套用至新建立和更新的設定檔。 未更新的現有設定檔不會傳送至 Knowledge Catalog。

啟用這項動作後，Sensitive Data Protection 會將 Sensitive Data Protection profile 切面附加至您剖析的每個新資源或更新資源的 Knowledge Catalog 項目。生成的切面包含從資料剖析檔收集的洞察資料。接著，您可以在組織和專案中，搜尋具有特定 Sensitive Data Protection profile 類型值的項目。

如要將資料剖析檔傳送至 Knowledge Catalog，請務必開啟「傳送至 Dataplex Catalog 做為切面」選項。

詳情請參閱「根據資料剖析洞察資訊新增 Knowledge Catalog 切面」。

設定圖像的備用處理位置

一般來說，Sensitive Data Protection 會在資料儲存位置處理資料。不過，圖像只能在多區域或 global 區域處理。設定備用位置後，Sensitive Data Protection 會使用備用位置，處理不在多區域或 global 區域中的圖片。如果略過這個部分，系統就不會處理這些圖片。

如要設定圖像處理作業的備用位置，請選取下列一或兩個選項：

• 改到多區域：如果圖片無法在原始位置處理，就會改到與原始位置對應的多區域處理。如果圖片的原始位置沒有對應的多區域，系統就會略過該圖片。
• 改用全域：如果圖像無法在原始位置處理，就會在 global 區域處理。

如果同時選取這兩個選項，Sensitive Data Protection 會選擇要使用哪個位置做為備用位置。

設定儲存設定的位置

按一下「Resource location」(資源位置) 清單，然後選取要儲存這項掃描設定的區域。您稍後建立的所有掃描設定也會儲存在這個位置。

選擇儲存掃描設定的位置不會影響要掃描的資料。系統會在資料儲存的區域掃描資料。詳情請參閱「資料落地注意事項」。

注意： 如果已有掃描設定，就無法變更這個欄位中設定的值。所有掃描設定都會儲存在相同位置。如要變更所有掃描設定的位置，請刪除設定，然後重新建立並儲存在新位置。

查看及建立

1. 如要確保在建立掃描設定後，剖析功能不會自動啟動，請選取「在暫停模式下建立掃描作業」。

   這個選項適用於下列情況：

   • 您選擇將資料剖析檔儲存至 BigQuery，並想確保服務代理程式具有 BigQuery 資料表的寫入權限，以便儲存資料剖析檔副本。
   • 您選擇將部分探索發現項目儲存至 BigQuery，並想確認服務代理具備 BigQuery 資料表的寫入權限，以便儲存發現項目。
   • 您已設定 Pub/Sub 通知，並想將發布權限授予服務代理。
2. 檢查相關設定，然後點按「建立」。

   Sensitive Data Protection 會建立掃描設定，並將其新增至探索掃描設定清單。

如要查看或管理掃描設定，請參閱「管理掃描設定」。

注意事項：我們會定期改良偵測演算法。如果發現您的機構或專案會因導入新的改良內容而受惠，我們可能會自動重新產生資料剖析檔，並再次執行掃描設定中的動作。這項作業不會產生 Sensitive Data Protection 費用。不過，由於我們會再次執行動作，如有使用其他 Google Cloud 服務，可能會產生相應費用。舉例來說，假設您指示 Sensitive Data Protection 將資料剖析檔儲存至 BigQuery，可能會產生 BigQuery 費用。

後續步驟

瞭解如何管理資料設定檔。

瞭解如何管理掃描設定。

瞭解如何接收及剖析資料剖析器發布的 Pub/Sub 訊息。

瞭解如何排解資料設定檔的問題。

查看資料剖析限制。