Criar perfil de dados do Cloud SQL em uma organização ou pasta

Nesta página, descrevemos como configurar a descoberta de dados do Cloud SQL no nível de uma organização ou pasta. Se você quiser criar o perfil de um projeto, consulte Criar perfil de dados do Cloud SQL em um único projeto.

Para mais informações sobre o serviço de descoberta, consulte Perfis de dados.

Como funciona

Veja a seguir um fluxo de trabalho de alto nível para criar perfis de dados do Cloud SQL:

1. Crie uma configuração de verificação.

   Depois que você cria uma configuração de verificação, a Proteção de Dados Sensíveis começa a identificar suas instâncias do Cloud SQL e a criar uma conexão padrão para cada instância. Dependendo do número de instâncias no escopo da descoberta, esse processo pode levar algumas horas. Você pode sair do console do Google Cloud e verificar suas conexões mais tarde.

2. Conceda os papéis do IAM necessários ao agente de serviço associado à configuração da verificação.

3. Quando as conexões padrão estiverem prontas, conceda à Proteção de Dados Sensíveis acesso às suas instâncias do Cloud SQL atualizando cada conexão com as credenciais de usuário do banco de dados adequadas. É possível fornecer contas de usuário de banco de dados atuais ou criar usuários de banco de dados.

   Observação: para instâncias do Cloud SQL para PostgreSQL, é possível usar o agente de serviço como usuário do banco de dados.

4. Recomendado: aumente o número máximo de conexões que a Proteção de Dados Sensíveis pode usar para criar o perfil dos seus dados. Aumentar as conexões pode acelerar a descoberta.

Serviços compatíveis

Esse recurso é compatível com:

• Cloud SQL para MySQL
• Cloud SQL para PostgreSQL

O Cloud SQL para SQL Server não é compatível.

Regiões de processamento e armazenamento

A Proteção de Dados Sensíveis é um serviço regional e multirregional. Ele não distingue entre zonas. Quando a Proteção de Dados Sensíveis gera o perfil de uma instância do Cloud SQL, os dados são processados na região atual, mas não necessariamente na zona atual. Por exemplo, se uma instância do Cloud SQL estiver armazenada na zona us-central1-a, a Proteção de Dados Sensíveis vai processar e armazenar os perfis de dados na região us-central1.

Para mais informações, consulte Considerações sobre residência de dados.

Antes de começar

1. Confirme se você tem as permissões do IAM necessárias para configurar perfis de dados no nível da organização.

   Se você não tiver o papel de Administrador da organização (roles/resourcemanager.organizationAdmin) ou de Administrador de segurança (roles/iam.securityAdmin), ainda será possível criar uma configuração de verificação. No entanto, depois de criar a configuração da verificação, alguém com um desses papéis precisa conceder acesso de criação de perfil de dados ao seu agente de serviço.

2. É preciso ter um modelo de inspeção em cada região em que você tem dados para serem perfilados. Se você quiser usar um único modelo para várias regiões, use um modelo armazenado na região global. Se as políticas organizacionais impedirem que você crie um modelo de inspeção na região global, será necessário definir um modelo de inspeção dedicado para cada região. Para mais informações, consulte Considerações sobre residência de dados.

   Esta tarefa permite criar um modelo de inspeção apenas na região global. Se você precisar de modelos de inspeção dedicados para uma ou mais regiões, crie esses modelos antes de realizar essa tarefa.

3. Para enviar notificações do Pub/Sub a um tópico quando determinados eventos ocorrerem, como quando a Proteção de Dados Sensíveis criar o perfil de uma nova tabela, crie um tópico do Pub/Sub antes de realizar essa tarefa.

4. É possível configurar a Proteção de Dados Sensíveis para anexar tags automaticamente aos seus recursos. Esse recurso permite conceder acesso condicional a esses recursos com base nos níveis de confidencialidade calculados. Para usar esse recurso, primeiro conclua as tarefas em Controlar o acesso do IAM aos recursos com base na sensibilidade dos dados.

5. É possível configurar a Proteção de Dados Sensíveis para anexar automaticamente aspectos aos recursos do Cloud SQL com perfil com base em insights de descoberta. Se você quiser usar esse recurso, ative a integração do catálogo universal na sua instância do Cloud SQL para MySQL ou na instância do Cloud SQL para PostgreSQL.

Para gerar perfis de dados, você precisa de um contêiner de agente de serviço e um agente de serviço dentro dele. Esta tarefa permite que você as crie automaticamente.

Criar uma configuração de verificação

1. Acesse a página Criar configuração de verificação.

   Acessar "Criar configuração de verificação"

2. Acesse sua organização. Na barra de ferramentas, clique no seletor de projetos e selecione sua organização.

As seções a seguir fornecem mais informações sobre as etapas na página Criar configuração de verificação. No final de cada seção, clique em Continuar.

Selecione um tipo de descoberta

Selecione Cloud SQL.

Selecionar escopo

Escolha uma destas opções:

• Para configurar a criação de perfil no nível da organização, selecione Verificar toda a organização.
• Para configurar a criação de perfil no nível de uma pasta, selecione Verificar pasta selecionada. Clique em Procurar e selecione a pasta.

Gerenciar programações

Se a frequência de criação de perfil padrão atender às suas necessidades, pule esta seção da página Criar configuração de verificação.

Configure esta seção pelos seguintes motivos:

• Para fazer ajustes detalhados na frequência de criação de perfis de todos os seus dados ou de determinados subconjuntos deles.
• Para especificar as tabelas que você não quer analisar.
• Para especificar as tabelas que você não quer que sejam analisadas mais de uma vez.

Para fazer ajustes detalhados na frequência de criação de perfil, siga estas etapas:

1. Clique em Adicionar programação.

2. Na seção Filtros, defina um ou mais filtros que especificam quais tabelas estão no escopo da programação. Uma tabela será considerada no escopo da programação se corresponder a pelo menos um dos filtros definidos.

   Para configurar um filtro, especifique pelo menos uma das seguintes opções:

   • Um ID do projeto ou uma expressão regular que especifica um ou mais projetos.
   • Um ID de instância ou uma expressão regular que especifica uma ou mais instâncias.
   • Um ID de banco de dados ou uma expressão regular que especifica um ou mais bancos de dados.
   • Um ID de tabela ou uma expressão regular que especifica uma ou mais tabelas. Insira esse valor no campo Nome do recurso do banco de dados ou expressão regular.

   As expressões regulares precisam seguir a sintaxe RE2.

   Por exemplo, se você quiser que todas as tabelas de um banco de dados sejam incluídas no filtro, insira o ID do banco de dados no campo ID do banco de dados.

   Para corresponder a um filtro, uma tabela precisa atender a todas as expressões regulares especificadas nele.

   Se quiser incluir mais filtros, clique em Adicionar filtro e repita essa etapa.

3. Clique em Frequência.

4. Na seção Frequência, especifique se o serviço de descoberta precisa criar um perfil para as tabelas selecionadas e, em caso afirmativo, com que frequência:

   • Se você não quiser que as tabelas sejam analisadas, desative a opção Analisar estes dados.

   • Se você quiser que as tabelas sejam analisadas pelo menos uma vez, deixe Criar perfil desses dados ativado.

     Nos campos seguintes desta seção, você especifica se o sistema deve refazer o perfil dos dados e quais eventos devem acionar uma operação de redefinição de perfil. Para mais informações, consulte Frequência de geração de perfis de dados.

     1. Em Em uma programação, especifique a frequência com que você quer que as tabelas tenham o perfil recriado. As tabelas têm o perfil recriado, independentemente de terem sofrido alterações.
     2. Em Quando o esquema mudar, especifique com que frequência a Proteção de Dados Sensíveis deve verificar se as tabelas selecionadas tiveram mudanças de esquema após a última caracterização de perfil. Somente as tabelas com alterações de esquema terão o perfil recriado.
     3. Em Tipos de alteração de esquema, especifique quais tipos de alteração de esquema devem acionar uma operação de recriação de perfil. Selecione uma destas opções:
        • Novas colunas: refaça o perfil das tabelas que ganharam novas colunas.
        • Colunas removidas: refaça o perfil das tabelas que tiveram colunas removidas.

        Por exemplo, suponha que você tenha tabelas que ganham novas colunas todos os dias e precise criar um perfil do conteúdo delas todas as vezes. É possível definir Quando o esquema mudar como Gerar um novo perfil diariamente e definir Tipos de mudança de esquema como Novas colunas.

     4. Em Quando o modelo de inspeção mudar, especifique se você quer que o perfil dos dados seja reformulado quando o modelo de inspeção associado for atualizado e, em caso afirmativo, com que frequência.
        Observação:especifique os modelos de inspeção a serem usados na etapa Selecionar modelo de inspeção nesta página.

        Uma mudança no modelo de inspeção é detectada quando ocorre uma das seguintes situações:

        • O nome de um modelo de inspeção muda na configuração da verificação.
        • O updateTime de um modelo de inspeção muda.

     Por exemplo, se você definir um modelo de inspeção para a região us-west1 e atualizar esse modelo, somente os dados na região us-west1 serão reprofilados.

5. Clique em Condições.

   Na seção Condições, especifique os tipos de recursos de banco de dados que você quer analisar. Por padrão, a Proteção de Dados Sensíveis é definida para criar perfis de todos os tipos de recursos de banco de dados compatíveis. Quando a Proteção de Dados Sensíveis adicionar suporte a mais tipos de recursos de banco de dados, esses tipos também serão automaticamente incluídos no perfil.

6. Opcional: se você quiser definir explicitamente os tipos de recursos do banco de dados que quer criar um perfil, siga estas etapas:

   1. Clique no campo Tipos de recursos de banco de dados.
   2. Selecione os tipos de recursos de banco de dados que você quer analisar.

   Se a Proteção de Dados Sensíveis adicionar suporte à descoberta para mais tipos de recursos de banco de dados do Cloud SQL, esses tipos só serão incluídos no perfil se você voltar a essa lista e selecioná-los.

7. Clique em Concluído.

8. Opcional: para adicionar mais programações, clique em Adicionar programação e repita as etapas anteriores.

9. Para especificar a precedência entre as programações, reordene-as usando as setas para cima e para baixo .

   A ordem das programações especifica como os conflitos entre elas são resolvidos. Se uma tabela corresponder aos filtros de duas programações diferentes, a programação mais alta na lista de programações ditará a frequência de criação de perfil para essa tabela.

   Observação: se o modo de preço de descoberta for o modo de assinatura, a taxa em que a Proteção de Dados Sensíveis cria o perfil dos dados será afetada pela capacidade que você comprou. Para determinar sua capacidade diária de criação de perfil, consulte Monitoramento de utilização. Se você tiver subprovisionado a capacidade, as frequências de criação de perfil definidas nas programações poderão não ser seguidas. Se houver um backlog de dados para criação de perfil, a ordem de programação não dita a ordem em que a Proteção de Dados Sensíveis cria o perfil dos dados no backlog. Em vez disso, todos os recursos de dados no escopo recebem um slot atribuído aleatoriamente na fila.

10. Opcional: edite ou desative a Programação geral.

    A última programação da lista é a programação geral. Essa programação abrange as tabelas no escopo selecionado que não correspondem a nenhuma das programações que você criou. A programação de captura geral segue a frequência padrão de criação de perfis do sistema.

    • Para ajustar a programação geral, clique em Editar programação e ajuste as configurações conforme necessário.
    • Para impedir que a Proteção de Dados Sensíveis crie o perfil de qualquer recurso coberto pela programação geral, desative a opção Criar um perfil dos recursos que não correspondem a nenhuma programação personalizada.

Selecionar modelo de inspeção

Dependendo de como você quer fornecer uma configuração de inspeção, escolha uma das opções a seguir. Independentemente da opção escolhida, a Proteção de Dados Sensíveis verifica seus dados na região em que eles estão armazenados. Ou seja, seus dados não saem da região de origem.

Opção 1: criar um modelo de inspeção

Escolha essa opção se quiser criar um modelo de inspeção na região global.

1. Clique em Criar novo modelo de inspeção.

2. Opcional: para modificar a seleção padrão de infoTypes, clique em Gerenciar infoTypes.

   Para mais informações sobre como gerenciar infoTypes integrados e personalizados, consulte Gerenciar infoTypes pelo console doGoogle Cloud .

   É preciso selecionar pelo menos um infoType para continuar.

3. Opcional: configure o modelo de inspeção ainda mais adicionando conjuntos de regras e definindo um limite de confiança. Para mais informações, consulte Configurar detecção.

Quando a Proteção de Dados Sensíveis cria a configuração de verificação, ela armazena esse novo modelo de inspeção na região global.

Opção 2: usar um modelo de inspeção atual

Escolha essa opção se você tiver modelos de inspeção que queira usar.

1. Clique em Selecionar modelo de inspeção existente.
2. Insira o nome completo do recurso do modelo de inspeção que você quer usar. O campo Região é preenchido automaticamente com o nome da região em que o modelo de inspeção está armazenado.

   O modelo de inspeção inserido precisa estar na mesma região que os dados a serem analisados.

   Para respeitar a residência de dados, a Proteção de Dados Sensíveis não usa um modelo de inspeção fora da região em que ele está armazenado.

   Para encontrar o nome completo do recurso de um modelo de inspeção, siga estas etapas:

   1. Acesse a lista de modelos de inspeção. Essa página é aberta em uma guia separada.

      Acessar modelos de inspeção

   2. Selecione o projeto que contém o modelo de inspeção que você quer usar.
   3. Selecione Configuração > Modelos > Inspecionar e clique no ID do modelo que você quer usar.
   4. Na página exibida, copie o nome completo do recurso do modelo. O nome completo do recurso segue este formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Na página Criar configuração de verificação, no campo Nome do modelo, cole o nome completo do recurso do modelo.
3. Para adicionar um modelo de inspeção para outra região, clique em Adicionar modelo de inspeção e insira o nome completo do recurso do modelo. Repita esse processo para cada região em que você tem um modelo de inspeção dedicado.
4. Opcional: adicione um modelo de inspeção armazenado na região global. A Proteção de Dados Sensíveis usa automaticamente esse modelo para dados em regiões em que você não tem um modelo de inspeção dedicado.
Atenção:se você não incluir um modelo de inspeção armazenado na região global, a Proteção de Dados Sensíveis não poderá gerar perfis de dados em regiões que não têm um modelo de inspeção dedicado. Para mais informações, consulte Considerações sobre residência de dados.

Adicionar ações

Nesta seção, descrevemos como especificar as ações que você quer que a Proteção de Dados Sensíveis realize depois de criar o perfil de uma tabela. Essas ações são úteis se você quiser enviar insights coletados de perfis de dados para outros serviços doGoogle Cloud .

Observação: para informações sobre como outros serviços do Google Cloud podem cobrar de você pela configuração de ações, consulte Preços para exportar perfis de dados.

Publicar no Google Security Operations

As métricas coletadas dos perfis de dados podem adicionar contexto às descobertas do Google Security Operations. O contexto adicionado pode ajudar você a determinar os problemas de segurança mais importantes a serem resolvidos.

Por exemplo, se você estiver investigando um agente de serviço específico, o Google Security Operations poderá determinar quais recursos o agente de serviço acessou e se algum desses recursos tem dados de alta sensibilidade.

Para enviar seus perfis de dados para a instância do Google Security Operations, ative a opção Publicar no Google Security Operations.

Se você não tiver uma instância do Google Security Operations ativada para sua organização, seja pelo produto independente ou pelo Security Command Center Enterprise, ativar essa opção não terá efeito.

Publicar no Security Command Center

As descobertas de perfis de dados fornecem contexto quando você faz a triagem e desenvolve planos de resposta para suas descobertas de vulnerabilidades e ameaças no Security Command Center.

Observação: também é possível configurar o Security Command Center para priorizar automaticamente os recursos para o recurso de simulação de caminho de ataque de acordo com a confidencialidade calculada dos dados que os recursos contêm. Para mais informações, consulte Definir os valores de prioridade dos recursos automaticamente com base na confidencialidade dos dados.

Antes de usar essa ação, o Security Command Center precisa ser ativado no nível da organização. Ativar o Security Command Center no nível da organização permite o fluxo de descobertas de serviços integrados, como a Proteção de Dados Sensíveis. A Proteção de Dados Sensíveis trabalha com o Security Command Center em todos os níveis do serviço.

Se a Proteção de Dados Sensíveis não estiver ativada no nível da organização, as descobertas dela não vão aparecer no Security Command Center. Para mais informações, consulte Verificar o nível de ativação do Security Command Center.

Para enviar os resultados dos perfis de dados ao Security Command Center, verifique se a opção Publicar no Security Command Center está ativada.

Para mais informações, consulte Publicar perfis de dados no Security Command Center.

Salvar cópias do perfil de dados no BigQuery

A Proteção de Dados Sensíveis salva uma cópia de cada perfil de dados gerado em uma tabela do BigQuery. Se você não fornecer os detalhes da tabela preferida, a Proteção de Dados Sensíveis vai criar um conjunto de dados e uma tabela no contêiner do agente de serviço. Por padrão, o conjunto de dados é chamado de sensitive_data_protection_discovery e a tabela é chamada de discovery_profiles.

Importante: a tabela de saída usa DataProfileBigQueryRowSchema como esquema. Esse esquema pode mudar à medida que a Proteção de Dados Sensíveis adiciona recursos. Verifique se os fluxos de trabalho podem lidar com mudanças de esquema, por exemplo, ignorando campos desconhecidos.

Essa ação permite que você mantenha um histórico de todos os perfis gerados. Esse histórico pode ser útil para criar relatórios de auditoria e visualizar perfis de dados. Também é possível carregar essas informações em outros sistemas.

Além disso, essa opção permite que você veja todos os perfis de dados em uma única visualização, independentemente da região em que os dados estão. Embora também seja possível visualizar os perfis de dados pelo console doGoogle Cloud , o console exibe os perfis em apenas uma região por vez.

Quando a Proteção de Dados Sensíveis não consegue gerar o perfil de uma tabela, ela tenta novamente periodicamente. Para minimizar o ruído nos dados exportados, a Proteção de Dados Sensíveis exporta apenas os perfis gerados com sucesso para o BigQuery.

A Proteção de Dados Sensíveis começa a exportar perfis a partir do momento em que você ativa essa opção. Os perfis gerados antes de você ativar a exportação não são salvos no BigQuery.

Observação : o agente de serviço precisa ter acesso de gravação na tabela em que as cópias do perfil serão salvas. Se você ainda não tiver um agente de serviço, a Proteção de Dados Sensíveis vai permitir que você crie um mais tarde na página Criar configuração de verificação.

Para ver exemplos de consultas que podem ser usadas ao analisar perfis de dados, consulte Analisar perfis de dados.

Salvar as descobertas de amostra no BigQuery

A Proteção de Dados Sensíveis pode adicionar amostras de descobertas a uma tabela do BigQuery de sua escolha. As descobertas de amostra representam um subconjunto de todas as descobertas e podem não representar todos os infoTypes descobertos. Normalmente, o sistema gera cerca de 10 descobertas de amostra por tabela, mas esse número pode variar para cada execução de descoberta.

Cada descoberta inclui a string real (também chamada de citação) que foi detectada e o local exato dela.

Essa ação é útil se você quiser avaliar se a configuração de inspeção está correspondendo corretamente ao tipo de informação que você quer sinalizar como sensível. Usando os perfis de dados exportados e as descobertas de amostra exportadas, é possível executar consultas para receber mais informações sobre os itens específicos que foram sinalizados, os infoTypes correspondentes, os locais exatos, os níveis de confidencialidade calculados e outros detalhes.

Importante: a tabela de saída usa DataProfileFinding como esquema. Esse esquema pode mudar à medida que a Proteção de Dados Sensíveis adiciona recursos. Verifique se os fluxos de trabalho podem lidar com mudanças de esquema, por exemplo, ignorando campos desconhecidos.

Exemplo de consulta: mostrar exemplos de descobertas relacionadas a perfis de dados de tabela

Neste exemplo, é necessário ativar as opções Salvar cópias do perfil de dados no BigQuery e Salvar as descobertas de amostra no BigQuery.

A consulta a seguir usa uma operação INNER JOIN na tabela de perfis de dados exportados e na tabela de descobertas de amostra exportadas. Na tabela resultante, cada registro mostra a citação da descoberta, o infoType correspondente, o recurso que contém a descoberta e o nível de confidencialidade calculado do recurso.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

Para salvar as descobertas de amostra em uma tabela do BigQuery, siga estas etapas:

1. Ative a opção Salvar as descobertas de amostra no BigQuery.

2. Insira os detalhes da tabela do BigQuery em que você quer salvar as descobertas de amostra.

   A tabela especificada para essa ação precisa ser diferente da usada para a ação Salvar cópias do perfil de dados no BigQuery.

   • Em ID do projeto, insira o ID de um projeto para o qual você quer exportar as descobertas.

   • Em ID do conjunto de dados, insira o nome de um conjunto de dados no projeto.

   • Em ID da tabela, insira o nome da tabela do BigQuery em que você quer salvar as descobertas. Se essa tabela não existir, a Proteção de Dados Sensíveis vai criá-la automaticamente usando o nome que você fornecer.

Observação : o agente de serviço precisa ter acesso de gravação na tabela. Se você ainda não tiver um agente de serviço, a Proteção de Dados Sensíveis vai permitir que você crie um mais tarde na página Criar configuração de verificação.

Para informações sobre o conteúdo de cada descoberta salva na tabela do BigQuery, consulte DataProfileFinding.

Anexar tags a recursos

Ativar a opção Anexar tags aos recursos instrui a Proteção de Dados Sensíveis a marcar automaticamente seus dados de acordo com o nível de sensibilidade calculado. Nesta seção, você precisa primeiro concluir as tarefas em Controlar o acesso do IAM a recursos com base na sensibilidade dos dados.

Para marcar automaticamente um recurso de acordo com o nível de confidencialidade calculado, siga estas etapas:

1. Ative a opção Incluir tags nos recursos.

2. Para cada nível de sensibilidade (alto, moderado, baixo e desconhecido), insira o caminho do valor da tag que você criou para o nível de sensibilidade em questão.

   Se você pular um nível de sensibilidade, nenhuma tag será anexada a ele.

3. Para reduzir automaticamente o nível de risco de dados de um recurso quando a tag de nível de confidencialidade estiver presente, selecione Quando uma tag for aplicada a um recurso, reduza o risco de dados do perfil para BAIXO. Essa opção ajuda a medir a melhoria na postura de segurança e privacidade dos dados.

   Importante :essa opção substitui o nível de risco de dados calculado do recurso analisado.

4. Selecione uma ou ambas as opções a seguir:

   • Aplicar tag a um recurso quando ele recebe um perfil pela primeira vez.

   • Aplicar tag a um recurso quando o perfil é atualizado. Selecione essa opção se quiser que a Proteção de Dados Sensíveis substitua o valor da tag de nível de confidencialidade nas próximas execuções de descoberta. Consequentemente, o acesso de um principal a um recurso muda automaticamente à medida que o nível de confidencialidade de dados calculado para esse recurso aumenta ou diminui.

     Não selecione essa opção se você planeja atualizar manualmente os valores da tag de nível de sensibilidade que o serviço de descoberta anexou aos seus recursos. Se você selecionar essa opção, a Proteção de Dados Sensíveis poderá substituir suas atualizações manuais.

Publicar no Pub/Sub

Ativar a opção Publicar no Pub/Sub permite que você realize ações programáticas com base nos resultados da criação de perfil. Use as notificações do Pub/Sub para desenvolver um fluxo de trabalho para detectar e corrigir descobertas com risco ou sensibilidade de dados significativos.

Para enviar notificações para um tópico do Pub/Sub, siga estas etapas:

1. Ative a opção Publicar no Pub/Sub.

   Uma lista de opções vai aparecer. Cada opção descreve um evento que faz com que a Proteção de Dados Sensíveis envie uma notificação ao Pub/Sub.

2. Selecione os eventos que vão acionar uma notificação do Pub/Sub.

   Se você selecionar Enviar uma notificação do Pub/Sub sempre que um perfil for atualizado, a Proteção de Dados Sensíveis vai enviar uma notificação quando houver uma mudança no nível de confidencialidade, no nível de risco de dados, nos infoTypes detectados, no acesso público e em outras métricas importantes no perfil.

3. Para cada evento selecionado, siga estas etapas:

   1. Insira o nome do tópico. O nome precisa estar no seguinte formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Substitua:

      • PROJECT_ID: o ID do projeto associado ao tópico do Pub/Sub.
      • TOPIC_ID: o ID do tópico do Pub/Sub.

   2. Especifique se você quer incluir o perfil completo da tabela na notificação ou apenas o nome completo do recurso da tabela que foi analisada.

   3. Defina os níveis mínimos de risco e sensibilidade de dados que precisam ser atendidos para que a Proteção de Dados Sensíveis envie uma notificação.

   4. Especifique se apenas uma ou ambas as condições de risco e sensibilidade de dados precisam ser atendidas. Por exemplo, se você escolher AND, as condições de risco de dados e de sensibilidade precisarão ser atendidas antes que a Proteção de Dados Sensíveis envie uma notificação.

Observação : o agente de serviço precisa ter acesso de publicação no tópico do Pub/Sub. Um exemplo de papel com acesso de publicação é o de Publicador do Pub/Sub (roles/pubsub.publisher). Se você ainda não tiver um agente de serviço, a Proteção de Dados Sensíveis permite criar um mais tarde na página Criar configuração de verificação. Se houver problemas de configuração ou permissão com o tópico do Pub/Sub, a Proteção de Dados Sensíveis vai tentar enviar a notificação do Pub/Sub por até duas semanas. Depois de duas semanas, a notificação é descartada.

Enviar como aspectos para o Knowledge Catalog

Essa ação permite adicionar aspectos do Knowledge Catalog às tabelas com perfil com base em insights de perfis de dados. Essa ação é aplicada apenas a perfis novos e atualizados. Os perfis atuais que não forem atualizados não serão enviados para o Knowledge Catalog.

Quando você ativa essa ação, a Proteção de Dados Sensíveis anexa o aspecto Sensitive Data Protection profile à entrada do Knowledge Catalog para cada tabela nova ou atualizada que você cria o perfil. Os aspectos gerados contêm insights coletados dos perfis de dados. Em seguida, pesquise na organização e nos projetos por entradas com valores de aspecto Sensitive Data Protection profile específicos.

Para enviar os perfis de dados ao Knowledge Catalog, verifique se a opção Enviar como aspectos para o Dataplex Catalog está ativada.

Para mais informações, consulte Adicionar aspectos do Knowledge Catalog com base em insights de perfis de dados.

Gerenciar o contêiner e o faturamento do agente de serviço

Nesta seção, você especifica o projeto a ser usado como um contêiner de agente de serviço. É possível fazer com que a Proteção de Dados Sensíveis crie automaticamente um novo projeto ou escolher um projeto atual.

Não importa se você está usando um agente de serviço recém-criado ou reutilizando um atual, verifique se ele tem acesso de leitura aos dados que serão analisados.

Criar um projeto automaticamente

Se você não tiver as permissões necessárias para criar um projeto na organização, selecione um projeto atual ou consiga as permissões necessárias. Para informações sobre as permissões necessárias, consulte Papéis necessários para trabalhar com perfis de dados no nível da organização ou da pasta.

Para criar automaticamente um projeto que será usado como contêiner do agente de serviço, siga estas etapas:

1. No campo Contêiner do agente de serviço, revise o ID do projeto sugerido e edite-o conforme necessário.
2. Clique em Criar.
3. Opcional: atualize o nome padrão do projeto.

4. Selecione a conta que será cobrada por todas as operações faturáveis relacionadas a esse novo projeto, incluindo as que não estão relacionadas à descoberta.

   Observação: se você já tiver uma assinatura de descoberta no nível da organização, essa conta de faturamento ainda será necessária para criar o projeto. No entanto, para todas as operações de descoberta, você recebe cobranças pelo projeto associado à sua assinatura.

5. Clique em Criar.

A Proteção de Dados Sensíveis cria o novo projeto. O agente de serviço desse projeto será usado para autenticar a Proteção de Dados Sensíveis e outras APIs.

Selecionar um projeto existente

Para selecionar um projeto atual como o contêiner do agente de serviço, clique no campo Contêiner do agente de serviço e selecione o projeto.

Definir o local para armazenar a configuração

Clique na lista Local do recurso e selecione a região em que você quer armazenar essa configuração de verificação. Todas as configurações de verificação que você criar posteriormente também serão armazenadas nesse local.

O local escolhido para armazenar a configuração da verificação não afeta os dados a serem verificados. Seus dados são verificados na mesma região em que estão armazenados. Para mais informações, consulte Considerações sobre residência de dados.

Observação: se você já tiver uma configuração de verificação, não será possível alterar o valor definido nesse campo. Todas as configurações de verificação são armazenadas no mesmo local. Se você quiser mudar o local de todas as configurações de verificação, será necessário excluí-las, recriá-las e armazená-las no novo local.

Revisar e criar

1. Se você quiser garantir que a criação de perfil não comece automaticamente após a configuração da verificação, selecione Criar verificação no modo pausado.

   Essa opção é útil nos seguintes casos:

   • O administrador do Google Cloud ainda precisa conceder acesso de criação de perfil de dados ao agente de serviço.
   • Você quer criar várias configurações de verificação e quer que algumas configurações substituam outras.
   • Você optou por salvar os perfis de dados no BigQuery e quer garantir que o agente de serviço tenha acesso de gravação à tabela do BigQuery em que as cópias do perfil de dados serão salvas.
   • Você optou por salvar as descobertas de amostra no BigQuery e quer garantir que o agente de serviço tenha acesso de gravação à tabela do BigQuery em que as descobertas de amostra serão salvas.
   • Você configurou as notificações do Pub/Sub e quer conceder acesso de publicação ao agente de serviço.
   • Você ativou a ação Anexar tags aos recursos e precisa conceder ao agente de serviço acesso à tag de nível de confidencialidade.
2. Revise suas configurações e clique em Criar.

   A Proteção de Dados Sensíveis cria a configuração de verificação e a adiciona à lista de configurações de verificação de descoberta.

Para ver ou gerenciar as configurações de verificação, consulte Gerenciar configurações de verificação.

A Proteção de Dados Sensíveis começa a identificar suas instâncias do Cloud SQL e a criar uma conexão padrão para cada instância. Dependendo do número de instâncias no escopo da descoberta, esse processo pode levar algumas horas. Você pode sair do console do Google Cloud e verificar suas conexões mais tarde.

Quando as conexões padrão estiverem prontas, atualize-as com as credenciais de usuário do banco de dados que você quer que a Proteção de Dados Sensíveis use para criar o perfil das instâncias do Cloud SQL. Para mais informações, consulte Gerenciar conexões para uso com a descoberta.

Observação: aprimoramos regularmente o algoritmo de detecção. Se descobrimos que sua organização ou projeto se beneficiaria de uma nova melhoria que implementamos, podemos gerar automaticamente os perfis de dados mais uma vez e refazer as ações na configuração de verificação. Não fazemos cobranças da Proteção de Dados Sensíveis para essa operação. No entanto, como refazemos as ações, talvez você receba cobranças pelo uso de outros serviços do Google Cloud . Por exemplo, se você configurou a Proteção de Dados Sensíveis para salvar os perfis de dados no BigQuery, pode receber cobranças do BigQuery.

A seguir

Saiba como atualizar suas conexões.