Risolvere i problemi relativi al servizio di scoperta

Questa pagina mostra come risolvere i problemi relativi al servizio di rilevamento di Sensitive Data Protection. Per saperne di più sul servizio di discovery, consulta Profili di dati. Per informazioni su come visualizzare gli errori associati alla configurazione dell'analisi di rilevamento, consulta Visualizza gli errori di configurazione.

L'API DLP non è abilitata nel container dell'agente di servizio

Questo problema si verifica quando crei una configurazione di scansione a livello di organizzazione e non disponi dell'autorizzazione serviceusage.services.enable sul progetto selezionato come container dell'agente di servizio. Sensitive Data Protection non è in grado di abilitare automaticamente l'API DLP nel progetto.

Permission denied to enable service [dlp.googleapis.com]

Per risolvere il problema, esegui una delle seguenti attività. In entrambi i casi, devi ottenere le autorizzazioni richieste. Per saperne di più, consulta Ruoli richiesti per lavorare con i profili di dati a livello di organizzazione o cartella.

Crea un nuovo container dell'agente di servizio

  1. Chiedi all'amministratore di concederti il ruolo Autore progetto (roles/resourcemanager.projectCreator) per l'organizzazione.
  2. Modifica la configurazione della scansione a livello di organizzazione.
  3. Nella sezione Container dell'agente di servizio, crea un nuovo container dell'agente di servizio facendo clic su Crea e seguendo le istruzioni.
  4. Salva la configurazione.

Aggiorna il container del service agent

  1. Chiedi all'amministratore di concederti un ruolo con l'autorizzazione serviceusage.services.enable sul progetto che hai selezionato come container dell'agente di servizio.
  2. Visualizza i dettagli della configurazione di scansione per vedere gli errori attivi.
  3. Trova questo errore e fai clic su Ripara.

L'agente di servizio non dispone dell'autorizzazione per leggere una colonna con controllo degli accessi

Questo problema si verifica quando viene eseguita la profilazione di una tabella che applica la sicurezza a livello di colonna tramite tag di policy. Se l'agente di servizio non dispone dell'autorizzazione per accedere alla colonna limitata, Sensitive Data Protection mostra il seguente errore:

Permission denied for DLP API service account 'SERVICE_AGENT_ID'
while accessing a BigQuery table. Access Denied: BigQuery BigQuery: User does
not have permission to access policy tag "POLICY_TAG_ID" on column FIELD_NAME.

Per risolvere il problema, nella pagina Identity and Access Management (IAM), concedi all'agente di servizio il ruolo Fine-Grained Reader.

Vai a IAM

Sensitive Data Protection riprova periodicamente a profilare i dati che non è riuscito a profilare.

Per saperne di più sulla concessione di un ruolo, consulta Concedi un singolo ruolo.

L'agente di servizio non dispone dell'accesso alla profilazione dei dati

Questo problema si verifica dopo che un utente della tua organizzazione crea una configurazione di scansione a livello di organizzazione o di cartella. Quando visualizzi i dettagli della configurazione della scansione, vedrai che il valore di Stato scansione è Attiva con errori. Quando visualizzi l'errore, Sensitive Data Protection mostra il seguente messaggio di errore:

None of the driver projects (PROJECT_ID) have MISSING_PERMISSION
permission for organizations/ORGANIZATION_ID.

Questo errore si è verificato perché Sensitive Data Protection non è riuscito a concedere automaticamente il ruolo DLP Organization Data Profiles Driver all'agente di servizio durante la creazione della configurazione di scansione. Il creator della configurazione di scansione non dispone delle autorizzazioni per concedere l'accesso alla profilazione dei dati, pertanto Sensitive Data Protection non è stato in grado di farlo per suo conto.

Per risolvere il problema, consulta Concedi l'accesso alla profilazione dei dati a un agente di servizio.

Il account di servizio non dispone dell'autorizzazione per eseguire query su una tabella

Questo problema si verifica quando Sensitive Data Protection tenta di profilare una tabella su cui l'agente di servizio non ha l'autorizzazione per eseguire query. Sensitive Data Protection mostra il seguente errore:

Permission denied error: Permission denied for DLP API service account 'SERVICE_AGENT_ID'
while accessing BigQuery table. Access Denied: Table TABLE: User does not have
permission to query table TABLE. Permission denied for DLP API service account
'SERVICE_AGENT_ID' while accessing BigQuery table. Access Denied: Table TABLE:
User does not have permission to query TABLE. [TIMESTAMP]

Verifica che la tabella esista ancora. Se la tabella esiste, segui questi passaggi.

  1. Nella console Google Cloud , attiva Cloud Shell.

    Attiva Cloud Shell

    Nella parte inferiore della console Google Cloud , viene avviata una sessione di Cloud Shell e viene visualizzato un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installata e con valori già impostati per il progetto corrente. L'inizializzazione della sessione può richiedere alcuni secondi.

  2. Recupera l'attuale policy IAM per la tabella e stampala in stdout:

    bq get-iam-policy TABLE

    Sostituisci TABLE con il nome completo della risorsa della tabella BigQuery, nel formato PROJECT_ID:DATASET_ID.TABLE_ID, ad esempio project-id:dataset-id.table-id.

  3. Concedi il ruolo API DLP Service Agent (roles/dlp.serviceAgent) all'agente di servizio:

    bq add-iam-policy-binding --member=serviceAccount:SERVICE_AGENT_ID \
    --role=roles/dlp.serviceAgent TABLE

    Sostituisci quanto segue:

    • SERVICE_AGENT_ID: l'ID dell'agente di servizio che deve eseguire query sulla tabella, ad esempio service-0123456789@dlp-api..

    • TABLE: il nome completo della risorsa della tabella BigQuery, nel formato PROJECT_ID:DATASET_ID.TABLE_ID, ad esempio project-id:dataset-id.table-id.

      L'output è simile al seguente:

    Successfully added member 'SERVICE_AGENT_ID' to role 'roles/dlp.serviceAgent' in IAM policy for table 'TABLE':

{
 "bindings": [
   {
     "members": [
       "serviceAccount:SERVICE_AGENT_ID"
     ],
     "role": "roles/dlp.serviceAgent"
   }
 ],
 "etag": "BwXNAPbVq+A=",
 "version": 1
}

    Sensitive Data Protection riprova periodicamente a profilare i dati che non è riuscito a profilare.

Il account di servizio non dispone dell'autorizzazione per pubblicare in un argomento Pub/Sub

Questo problema si verifica quando Sensitive Data Protection tenta di pubblicare notifiche in un argomento Pub/Sub in cui l'agente di servizio non dispone dell'accesso di pubblicazione. Sensitive Data Protection mostra il seguente errore:

Permission missing to publish notifications on Cloud Pub/Sub topic 'TOPIC_NAME'.
The DLP API service account 'SERVICE_AGENT_ID' must must have at least the Pub/Sub Publisher role.

Per risolvere il problema, concedi l'accesso in pubblicazione al tuo agente di servizio a livello di progetto o argomento. Un esempio di ruolo con accesso in pubblicazione è il ruolo Publisher Pub/Sub.

Se si verificano problemi di configurazione o autorizzazione con l'argomento Pub/Sub, Sensitive Data Protection riprova a inviare la notifica Pub/Sub per un massimo di due settimane. Dopo due settimane, la notifica viene ignorata.

Il template di ispezione non può essere utilizzato per profilare i dati in un'altra regione

Questo problema si verifica quando Sensitive Data Protection tenta di profilare dati che non si trovano nella stessa regione in cui si trova il template di ispezione. Sensitive Data Protection mostra il seguente errore:

Data in region DATA_REGION cannot be profiled using template in region
TEMPLATE_REGION. Regional template can only be used to profile data
in the same region. If profiling data in multiple regions, use a global template.

In questo messaggio di errore, DATA_REGION è la regione in cui si trovano i dati e TEMPLATE_REGION è la regione in cui si trova il template di ispezione.

Per risolvere il problema, puoi copiare il template specifico per la regione nella regione global:

  1. Copia il template di ispezione nella regione global.

  2. Nella pagina Dettagli del template di ispezione, copia il nome risorsa completo del template. Il nome completo della risorsa ha il seguente formato:

    projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

  3. Modifica la configurazione di scansione e inserisci il nome risorsa completo del nuovo template di ispezione.

  4. Fai clic su Salva.

Sensitive Data Protection riprova periodicamente a profilare i dati che non è riuscito a profilare.

Sensitive Data Protection ha tentato di profilare una tabella non supportata

Questo problema si verifica quando Sensitive Data Protection tenta di profilare una tabella non supportata. Per questa tabella, riceverai comunque un profilo parziale contenente i metadati della tabella. Tuttavia, il profilo parziale mostra il seguente errore:

Unimplemented error: Table of type `TABLE_TYPE` is not currently supported for inspection. [DATE_TIME].

Se non vuoi ricevere profili parziali ed errori per le tabelle non supportate, segui questi passaggi:

  1. Modifica la configurazione della scansione.
  2. Nel passaggio Gestisci pianificazioni, fai clic su Modifica pianificazione.
  3. Nel riquadro visualizzato, fai clic sulla scheda Condizioni.
  4. Nella sezione Tabelle da profilare, fai clic su Profila le tabelle supportate.

Per saperne di più, consulta Gestisci le pianificazioni.

Il report di Data Studio predefinito non viene caricato correttamente

Consulta Risolvi gli errori con il report predefinito.

Consulta Risolvi gli errori nella documentazione per il controllo dell'accesso IAM alle risorse in base alla sensibilità dei dati.

Passaggi successivi