操作

敏感数据保护操作是指在操作成功完成后发生的事件（如果是电子邮件，则是发生错误）。例如，您可以将发现结果保存到 BigQuery 表中、向 Pub/Sub 主题发布通知，或者在操作成功完成或因出错而停止时发送电子邮件。

可执行的操作

当您运行敏感数据保护作业时，系统会默认在敏感数据保护中保存其发现结果摘要。您可以使用 Google Cloud 控制台中的敏感数据保护查看此摘要。对于作业，您还可以使用 projects.dlpJobs.get 方法在 DLP API 中检索摘要信息。

敏感数据保护支持不同类型的操作，具体取决于要运行的操作类型。以下是受支持的操作。

将发现结果保存到 BigQuery

将敏感数据保护作业结果保存到 BigQuery 表。在查看或分析结果之前，请先确保作业已完成。

每次运行扫描时，敏感数据保护都会将扫描发现结果保存到您指定的 BigQuery 表中。导出的结果包含有关每个发现结果的位置和匹配可能性的详细信息。如果您希望每个发现结果包含与 infoType 检测器匹配的字符串，请启用包含引号选项。

如果您未指定表 ID，则 BigQuery 会在首次运行扫描时为新表分配一个默认名称。如果您指定现有表，敏感数据保护会将扫描发现结果附加到该表。

将数据写入 BigQuery 表时，结算和配额用量将应用于目标表所属的项目。

如果未将发现结果保存到 BigQuery，扫描结果将仅包含有关发现结果的数量和 infoType 的统计信息。

发布到 Pub/Sub

向 Pub/Sub 渠道发布一条包含敏感数据保护作业名称的通知（作为属性）。您可以指定一个或多个主题以接收通知消息。请确保运行扫描作业的敏感数据保护服务帐号具有该主题的发布权限。

如果 Pub/Sub 主题存在配置或权限问题，敏感数据保护会在最多两周内重新尝试发送 Pub/Sub 通知。两周后，系统将舍弃该通知。

发布到 Security Command Center

将作业结果摘要发布到 Security Command Center。如需了解详情，请参阅将敏感数据保护扫描结果发送到 Security Command Center。

发布到 Dataplex

将作业结果发送到 Google Cloud 的元数据管理服务 Dataplex。

通过电子邮件发送通知

在作业完成时发送电子邮件。该电子邮件会发送给 IAM 项目所有者和技术重要联系人。

发布到 Cloud Monitoring

将检查结果发送到 Google Cloud 的运维套件中的 Cloud Monitoring。

制作去标识化副本

对检查的数据中的任何发现结果进行去标识化处理，并将去标识化的内容写入新文件。然后，您可以在业务流程中使用去标识化副本来代替包含敏感信息的数据。如需了解详情，请参阅在 Google Cloud 控制台中使用敏感数据保护创建 Cloud Storage 数据的去标识化副本。

支持的操作

下表显示了敏感数据保护操作以及每项操作适用的国家/地区。

操作 BigQuery 检查 Cloud Storage 检查 Datastore 检查 混合检查 风险分析 发现（数据分析）
发布到 Chronicle ✓
将发现结果保存到 BigQuery ✓ ✓ ✓ ✓ ✓ ✓
发布到 Pub/Sub ✓ ✓ ✓ ✓ ✓ ✓
发布到 Security Command Center ✓ ✓ ✓ ✓
发布到 Dataplex (Data Catalog) ✓ ✓
通过电子邮件发送通知 ✓ ✓ ✓ ✓ ✓
发布到 Cloud Monitoring ✓ ✓ ✓ ✓
对发现结果进行去标识化处理 ✓

指定操作

在配置敏感数据保护时，您可以指定一项或多项操作：

  • 在 Google Cloud 控制台中使用敏感数据保护创建新的检查或风险分析作业时，请在作业创建工作流的添加操作部分指定操作。
  • 配置要发送到 DLP API 的新作业请求时，请在 Action 对象中指定操作。

如需了解多种语言的详情和示例代码，请参阅：

示例操作场景

您可以使用敏感数据保护操作根据敏感数据保护扫描结果自动执行流程。假设您有一个与外部合作伙伴共享的 BigQuery 表。您希望确保此表未含任何敏感标识符（如社会保障号 (infoType US_SOCIAL_SECURITY_NUMBER)），以及如果发现任何敏感标识符，就撤消合作伙伴的访问权限。下面简要概述了使用操作的工作流：

  1. 创建敏感数据保护作业触发器，以便每 24 小时对 BigQuery 表运行一次检查扫描。
  2. 设置这些作业的操作，以将 Pub/Sub 通知发布到“projects/foo/scan_notificationss”主题。
  3. 创建 Cloud Functions 函数，用于侦听“projects/foo/scan_notifications”上的传入消息。此 Cloud Functions 函数将每 24 小时收到一次敏感数据保护作业的名称，并调用敏感数据保护以获取该作业的摘要结果。如果该 Cloud Functions 函数找到任何社会保障号，它可以更改 BigQuery 或 Identity and Access Management (IAM) 中的设置，以限制对该表的访问权限。

后续步骤