Usa Cloud DLP con Cloud Data Fusion

En esta guía, se explica cómo usar Cloud Data Loss Prevention (DLP) con Cloud Data Fusion.

Cloud Data Fusion proporciona un complemento de Cloud DLP que ofrece tres transformaciones que pueden filtrar, ocultar o desencriptar tus datos sensibles:

  • La transformación del filtro de PII te permite filtrar registros sensibles de una transmisión de datos de entrada.

  • La transformación de ocultamiento te permite transformar datos sensibles, como enmascarar los datos o encriptarlos.

  • La transformación de desencriptación te permite desencriptar datos sensibles que se encriptaron previamente con la transformación Ocultar.

Costos

En este instructivo, se usan los siguientes componentes facturables de Google Cloud:

Para generar una estimación de costos en función del uso previsto, usa la calculadora de precios. Es posible que los usuarios nuevos de Google Cloud califiquen para obtener una prueba gratuita.

Antes de comenzar

  1. En Cloud Console, ve a la página del selector de proyectos y selecciona o crea un proyecto.

    Ir al selector de proyectos

  2. Habilita la API de Cloud Data Fusion para el proyecto.

    Habilitar la API de Cloud Data Fusion

  3. Habilita la API de Cloud DLP para el proyecto.

    Habilita la API de Cloud DLP.

  4. Crea una instancia de Cloud Data Fusion.

Otorga permisos de Cloud DLP

  1. En Cloud Console, ve a la página de IAM.

    Ir a IAM

  2. En la tabla de permisos, selecciona una de las siguientes cuentas de servicio en la columna Principal:

    1. Para obtener permisos sobre los recursos en el entorno de ejecución, selecciona la cuenta de servicio que usa tu clúster de Dataproc. La opción predeterminada es la cuenta de servicio de Compute Engine, que no se recomienda por motivos de seguridad.

    2. Si deseas obtener permiso para acceder a los recursos cuando usas Wrangler o vista previa en Cloud Data Fusion (no en el entorno de ejecución), selecciona la cuenta de servicio que coincida con el formato service-project-number@gcp-sa-datafusion.iam.gserviceaccount.com.

  3. Haz clic en el ícono de lápiz a la derecha de la cuenta de servicio.

  4. Haz clic en Agregar otra función.

  5. Haz clic en el menú desplegable que aparece.

  6. Usa la barra de búsqueda para buscar y selecciona DLP Admin.

  7. Haz clic en Guardar. Verifica que el Administrador de DLP aparezca en la columna Función.

Implementa el complemento de Cloud DLP

  1. En Cloud Console, abre la página Instancias.

    Abrir la página de instancias

  2. En la columna Acción, haz clic en el vínculo Ver instancia. Cuando haces clic en el vínculo, se abre la IU web de Cloud Data Fusion en una pestaña nueva del navegador.

  3. En la IU web de Cloud Data Fusion, haz clic en Centro en la parte superior derecha.

  4. Haz clic en el complemento Prevención de pérdida de datos.

  5. Haz clic en Implementar.

  6. Haz clic en Finalizar.

  7. Haga clic en Crear una canalización.

Usa la transformación del filtro de PII

Esta transformación separa los registros sensibles de los registros no sensibles. Un registro se considera sensible si coincide con los criterios que defines en una plantilla de Cloud DLP. Por ejemplo, cuando creas tu plantilla, puedes definir datos sensibles como información de tarjetas de crédito o números de identificación personal.

  1. Crea una plantilla de inspección de Cloud DLP.

  2. En la página Estudio de la IU web de Cloud Data Fusion, haz clic para expandir el menú Transformar.

  3. Haz clic en la transformación Filtro de PII.

  4. Mantén el puntero sobre el nodo de Filtro de PII y haz clic en Propiedades.

  5. En Filtro activado, elige si deseas filtrar registros o campos.

    En cumplimiento de los límites de Cloud DLP, si un registro excede los 0.5 MB, tu canalización de Cloud Data Fusion fallará. Para evitar este tipo de fallas, filtra por campo en lugar de registro.

  6. En ID de plantilla, ingresa el ID de plantilla de la plantilla de Cloud DLP que creaste.

  7. En Administración de errores, define cómo proceder cuando tu canalización encuentre datos sensibles. Elige una de las siguientes opciones de administración de errores:

    • Detener canalización: detiene la canalización apenas se encuentra un error.
    • Omitir registro: omite el registro que causó el error. La canalización continúa ejecutándose y no se informa ningún error.
    • Enviar al error: envía errores al puerto de error. La canalización continúa ejecutándose.
  8. Haz clic en el botón X.

Usa la transformación de ocultamiento

Esta transformación identifica registros sensibles en el flujo de entrada y aplica las transformaciones que defines para esos registros. Un registro se considera sensible si coincide con los filtros predefinidos de Cloud DLP que elegiste o con una plantilla personalizada que definiste.

  1. En la página Estudio de la IU web de Cloud Data Fusion, haz clic para expandir el menú Transformar.

  2. Haz clic en la transformación Ocultar.

  3. Mantén el puntero sobre el nodo Ocultar y haz clic en Propiedades.

  4. Elige si deseas aplicar transformaciones a filtros predefinidos o si quieres crear el tuyo.

    No puedes combinar estas dos opciones. Puedes usar filtros predefinidos O crear una plantilla personalizada.

    Filtros predefinidos

    Para aplicar transformaciones a los filtros predefinidos, deja la Plantilla personalizada configurada en No y, en Coincidencia, define una regla:

    1. En Aplicar, haz clic en el menú desplegable y elige una transformación. Obtén más información sobre las transformaciones disponibles en la sección Descripción de la pestaña Documentación del complemento.

    2. Luego, en on, haz clic en el menú desplegable y elige una categoría, que es un conjunto de filtros predefinidos de Cloud DLP agrupados según el tipo. Para ver la lista completa de categorías proporcionadas y los filtros que contienen, consulta la sección Asignación de filtro de DLP en la pestaña Documentación del complemento.

    Para configurar varias reglas coincidentes, haz clic en el botón +.

    Plantilla personalizada

    Para aplicar transformaciones según una plantilla personalizada, configura la Plantilla personalizada como .

    1. Crea una plantilla de Cloud DLP personalizada.

    2. De regreso en la IU web de Cloud Data Fusion, en el menú de propiedades Ocultar, en ID de plantilla, ingresa el ID de plantilla de la plantilla personalizada que creaste.

  5. Haz clic en el botón X.

Usa la transformación de desencriptación

Esta transformación identifica registros que se encriptaron con Cloud DLP en el flujo de entrada y aplica la desencriptación. Solo se pueden desencriptar los registros encriptados con un algoritmo reversible, como el formato que conserva la encriptación o la encriptación determinista.

  1. En la página Estudio de la IU web de Cloud Data Fusion, haz clic para expandir el menú Transformar.

  2. Haz clic en la transformación Desencriptar.

  3. Mantén el puntero sobre el nodo Desencriptar y haz clic en Propiedades.

  4. Ingresa los mismos valores que se usaron para configurar el complemento de Redact que encriptó estos datos. Las propiedades de este complemento son idénticas al complemento Redact.

  5. Haz clic en el botón X.

¿Qué sigue?