פתרון בעיות בשירות הגילוי

בדף הזה מוסבר איך לפתור בעיות בשירות הגילוי של Sensitive Data Protection. מידע נוסף על שירות הגילוי זמין במאמר פרופילי נתונים. במאמר הצגת שגיאות בהגדרות מוסבר איך להציג שגיאות שקשורות להגדרות של סריקת הגילוי.

במאגר של סוכן השירות לא מופעל ה-DLP API

הבעיה הזו מתרחשת כשיוצרים הגדרת סריקה ברמת הארגון, ואין לכם את ההרשאה serviceusage.services.enable בפרויקט שבחרתם בתור מאגר סוכני השירות. ‫Sensitive Data Protection לא יכול להפעיל באופן אוטומטי את DLP API בפרויקט.

Permission denied to enable service [dlp.googleapis.com]

כדי לפתור את הבעיה, צריך לבצע אחת מהמשימות הבאות. בשני המקרים, צריך לקבל את ההרשאות הנדרשות. מידע נוסף זמין במאמר התפקידים הנדרשים כדי לעבוד עם פרופילי נתונים ברמת הארגון או התיקייה.

יצירת קונטיינר חדש של סוכן שירות

  1. מבקשים מהאדמין להקצות לכם את התפקיד "יצירת פרויקטים" (roles/resourcemanager.projectCreator) בארגון.
  2. עורכים את הגדרות הסריקה ברמת הארגון.
  3. בקטע Service agent container, לוחצים על Create ופועלים לפי ההנחיות כדי ליצור מאגר חדש של סוכני שירות.
  4. שומרים את ההגדרה.

עדכון הקונטיינר של סוכן השירות

  1. בקשו מהאדמין להקצות לכם תפקיד עם ההרשאה serviceusage.services.enable בפרויקט שבחרתם בתור מאגר סוכני השירות.
  2. מציגים את פרטי הגדרת הסריקה כדי לראות את השגיאות הפעילות.
  3. מוצאים את השגיאה הזו ולוחצים על תיקון.

לסוכן השירות אין הרשאה לקרוא עמודה עם בקרת גישה

הבעיה הזו מתרחשת כשמבצעים פרופיילינג לטבלה שאוכפת אבטחה ברמת העמודה באמצעות תגי מדיניות. אם לסוכן השירות אין הרשאת גישה לעמודה המוגבלת, Sensitive Data Protection מציג את השגיאה הבאה:

Permission denied for DLP API service account 'SERVICE_AGENT_ID'
while accessing a BigQuery table. Access Denied: BigQuery BigQuery: User does
not have permission to access policy tag "POLICY_TAG_ID" on column FIELD_NAME.

כדי לפתור את הבעיה, בדף "ניהול זהויות והרשאות גישה (IAM)" מקצים לסוכן השירות את התפקיד קורא ברמת פירוט גבוהה.

כניסה לדף IAM

‫Sensitive Data Protection מנסה מדי פעם ליצור פרופיל לנתונים שלא הצליח ליצור להם פרופיל.

למידע נוסף על הקצאת תפקיד, ראו הקצאת תפקיד יחיד.

לסוכן השירות אין גישה ליצירת פרופילים של נתונים

הבעיה הזו מתרחשת אחרי שמישהו בארגון יוצר הגדרת סריקה ברמת הארגון או התיקייה. כשמציגים את פרטי הגדרת הסריקה, הערך של Scan status הוא Active with errors. כשמציגים את השגיאה, Sensitive Data Protection מציג את הודעת השגיאה הבאה:

None of the driver projects (PROJECT_ID) have MISSING_PERMISSION
permission for organizations/ORGANIZATION_ID.

השגיאה הזו קרתה כי בזמן שיצירת הגדרת הסריקה, Sensitive Data Protection לא הצליח להקצות באופן אוטומטי את התפקיד DLP Organization Data Profiles Driver לסוכן השירות. ליוצר של הגדרת הסריקה אין הרשאות לתת גישה ליצירת פרופיל נתונים, ולכן Sensitive Data Protection לא הצליח לעשות זאת בשמו.

כדי לפתור את הבעיה, קראו את המאמר מתן גישה לסוכן שירות ליצירת פרופיל נתונים.

לחשבון השירות אין הרשאה לשלוח שאילתה לטבלה

הבעיה הזו מתרחשת כשמנסים ליצור פרופיל של טבלה באמצעות Sensitive Data Protection, אבל לסוכן השירות אין הרשאה לשלוח שאילתות לטבלה. השגיאה הבאה מופיעה ב-Sensitive Data Protection:

Permission denied error: Permission denied for DLP API service account 'SERVICE_AGENT_ID'
while accessing BigQuery table. Access Denied: Table TABLE: User does not have
permission to query table TABLE. Permission denied for DLP API service account
'SERVICE_AGENT_ID' while accessing BigQuery table. Access Denied: Table TABLE:
User does not have permission to query TABLE. [TIMESTAMP]

מוודאים שהטבלה עדיין קיימת. אם הטבלה קיימת, מבצעים את הפעולות הבאות.

  1. מפעילים את Cloud Shell במסוף Google Cloud .

    הפעלת Cloud Shell

    בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

  2. מציגים את מדיניות ה-IAM הנוכחית של הטבלה ומדפיסים אותה ב-stdout:

    bq get-iam-policy TABLE

    מחליפים את TABLE בשם המשאב המלא של הטבלה ב-BigQuery, בפורמט PROJECT_ID:DATASET_ID.TABLE_ID, לדוגמה project-id:dataset-id.table-id.

  3. מקצים לסוכן השירות את התפקיד סוכן שירות של DLP API (roles/dlp.serviceAgent):

    bq add-iam-policy-binding --member=serviceAccount:SERVICE_AGENT_ID \
    --role=roles/dlp.serviceAgent TABLE

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SERVICE_AGENT_ID: המזהה של סוכן השירות שצריך לשלוח שאילתה לטבלה, לדוגמה service-0123456789@dlp-api..

    • ‫TABLE: שם המשאב המלא של הטבלה ב-BigQuery, בפורמט PROJECT_ID:DATASET_ID.TABLE_ID, לדוגמה project-id:dataset-id.table-id.

      הפלט אמור להיראות כך:

    Successfully added member 'SERVICE_AGENT_ID' to role 'roles/dlp.serviceAgent' in IAM policy for table 'TABLE':

{
 "bindings": [
   {
     "members": [
       "serviceAccount:SERVICE_AGENT_ID"
     ],
     "role": "roles/dlp.serviceAgent"
   }
 ],
 "etag": "BwXNAPbVq+A=",
 "version": 1
}

    ‫Sensitive Data Protection מנסה מדי פעם ליצור פרופיל לנתונים שלא הצליח ליצור להם פרופיל.

לחשבון השירות אין הרשאה לפרסם בנושא Pub/Sub

הבעיה הזו מתרחשת כשמנסים לפרסם התראות של Sensitive Data Protection בנושא Pub/Sub שלסוכן השירות אין גישת פרסום אליו. השגיאה הבאה מופיעה ב-Sensitive Data Protection:

Permission missing to publish notifications on Cloud Pub/Sub topic 'TOPIC_NAME'.
The DLP API service account 'SERVICE_AGENT_ID' must must have at least the Pub/Sub Publisher role.

כדי לפתור את הבעיה, צריך לתת לסוכן השירות גישת פרסום ברמת הפרויקט או הנושא. דוגמה לתפקיד עם גישה לפרסום הוא התפקיד פרסום הודעות ב-Pub/Sub.

אם יש בעיות בהגדרות או בהרשאות של נושא Pub/Sub, המערכת של Sensitive Data Protection תנסה לשלוח את ההתראה ל-Pub/Sub במשך שבועיים. אחרי שבועיים, ההתראה נמחקת.

אי אפשר להשתמש בתבנית הבדיקה כדי ליצור פרופיל של נתונים באזור אחר

הבעיה הזו מתרחשת כשמנסים ליצור פרופיל של נתונים באמצעות Sensitive Data Protection, אבל הנתונים לא נמצאים באותו אזור שבו נמצאת תבנית הבדיקה. השגיאה הבאה מופיעה ב-Sensitive Data Protection:

Data in region DATA_REGION cannot be profiled using template in region
TEMPLATE_REGION. Regional template can only be used to profile data
in the same region. If profiling data in multiple regions, use a global template.

בהודעת השגיאה הזו, DATA_REGION הוא האזור שבו נמצא מיקום אחסון הנתונים, ו-TEMPLATE_REGION הוא האזור שבו נמצאת תבנית הבדיקה.

כדי לפתור את הבעיה, אתם יכולים להעתיק את התבנית הספציפית לאזור לאזור global:

  1. מעתיקים את תבנית הבדיקה לאזור global.

  2. בדף Inspection template details, מעתיקים את שם המשאב המלא של התבנית. השם המלא של המשאב מופיע בפורמט הבא:

    projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

  3. עורכים את הגדרת הסריקה ומזינים את שם המשאב המלא של תבנית הבדיקה החדשה.

  4. לוחצים על Save.

‫Sensitive Data Protection מנסה מדי פעם ליצור פרופיל לנתונים שלא הצליח ליצור להם פרופיל.

‫Sensitive Data Protection ניסה ליצור פרופיל של טבלה לא נתמכת

הבעיה הזו מתרחשת כשמנסים ליצור ב-Sensitive Data Protection פרופיל של טבלה שלא נתמכת. במקרה כזה, עדיין תקבלו פרופיל חלקי שמכיל את המטא-נתונים של הטבלה. עם זאת, בפרופיל החלקי מופיעה השגיאה הבאה:

Unimplemented error: Table of type `TABLE_TYPE` is not currently supported for inspection. [DATE_TIME].

אם אתם לא רוצים לקבל פרופילים חלקיים ושגיאות בטבלאות שלא נתמכות, בצעו את הפעולות הבאות:

  1. עורכים את הגדרות הסריקה.
  2. בשלב ניהול לוחות הזמנים, לוחצים על עריכת לוח הזמנים.
  3. בחלונית שמופיעה, לוחצים על הכרטיסייה תנאים.
  4. בקטע Tables to profile, לוחצים על Profile supported tables.

מידע נוסף זמין במאמר ניהול לוחות זמנים.

הדוח המוכן מראש של Data Studio לא נטען כמו שצריך

פתרון שגיאות בדוח המוכן מראש

פתרון בעיות במאמר ניהול הגישה של IAM למשאבים על סמך רגישות הנתונים.

המאמרים הבאים