このトピックでは、ハイブリッド ジョブとハイブリッド ジョブトリガーを使用して極秘データ用の外部データを検査する方法について説明します。ハイブリッド ジョブとハイブリッド ジョブトリガー(ハイブリッドな環境の例を含む)の詳細については、ハイブリッド ジョブとハイブリッド ジョブトリガーをご覧ください。
ハイブリッド ジョブとハイブリッド ジョブトリガーの概要
ハイブリッド ジョブとハイブリッド ジョブトリガーを使用すると、シンプルなコンテンツ検査リクエストや Google Cloud Storage リポジトリのスキャン以外にも、機密データの保護が提供する保護の範囲を広げることができます。ハイブリッド ジョブとハイブリッド ジョブトリガーを使用すると、Google Cloud の外部を含めた、ほぼすべてのソースからデータを機密データの保護に直接ストリーミングして、機密情報に関するデータを機密データの保護で検査できます。機密データの保護は自動的にスキャン結果を保存し、集計して詳細な分析を行います。
ハイブリッド ジョブとハイブリッド ジョブトリガーの比較
ハイブリッド ジョブを作成すると、ユーザーが停止するまでジョブは動作します。データが適切に転送され、フォーマットされている限り、受信データをすべて受け入れます。
ハイブリッド ジョブトリガーはハイブリッド ジョブと同様に機能しますが、ハイブリッド ジョブトリガー内でユーザーがジョブを明示的に停止する必要はありません。機密データの保護は、1 日の終わりにハイブリッド ジョブトリガー内のジョブを自動的に停止します。
さらに、ハイブリッド ジョブトリガーを使用すると、hybridInspect
リクエストを再構成しなくても、トリガー内で新しいジョブの停止と壊死ができます。たとえば、ハイブリッド ジョブトリガーにデータを送信してから、アクティブなジョブを停止し、構成を変更して、そのトリガー内で新しいジョブを開始した後、同じトリガーへのデータ送信を継続できます。
ユースケースに適したオプションのガイダンスについては、このページの一般的なハイブリッド検査シナリオをご覧ください。
用語の定義
このトピックでは、次の用語を使用します。
外部データ: Google Cloud の外部に保存されているデータ、または機密データの保護がネイティブではサポートしていないデータ。
ハイブリッド ジョブ: ほぼすべてのソースからのデータをスキャンするように構成された検査ジョブ。
ハイブリッド ジョブトリガー: ほぼすべてのソースからのデータをスキャンするように構成されたジョブトリガー。
hybridInspect
リクエスト: 検査する外部データを含むリクエスト。このリクエストを送信するときに、リクエストを送信するハイブリッド ジョブまたはハイブリッド ジョブトリガーを指定します。
ジョブとジョブトリガーの概要については、ジョブとジョブトリガーをご覧ください。
ハイブリッド検査プロセス
ハイブリッド検査プロセスは 3 つのステップで行います。
機密データの保護に送信するデータを選択します。
データは、Google Cloud 内またはその外部で生成できます。たとえば、カスタム スクリプトまたはアプリケーションを構成して機密データの保護にデータを送信でき、別のクラウド サービス、オンプレミスのデータ リポジトリ、または事実上あらゆるデータソースから転送中のデータが検査可能になります。
機密データの保護で、ハイブリッド ジョブまたはハイブリッド ジョブトリガーをゼロから、または検査テンプレートを使用して設定します。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを設定すると、機密データの保護は送信されたデータを能動的にリッスンします。カスタム スクリプトまたはカスタム アプリケーションでデータをこのハイブリッド ジョブまたはハイブリッド ジョブトリガーに送信すると、構成に従ってデータは検査され、その結果が保存されます。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを設定する際に、検出結果を保存または公開する場所を指定できます。オプションとしては、BigQuery への保存と、Pub/Sub、Cloud Monitoring、メールのいずれかへの通知の公開があります。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーに
hybridInspect
リクエストを送信します。hybridInspect
リクエストには、スキャンされるデータが含まれます。リクエストには、コンテンツを説明するメタデータ(ラベルやテーブル ID とも呼ばれる)を含めて、追跡する情報を機密データの保護で識別できるようにします。たとえば、複数のリクエスト(同じデータベース テーブルの行など)で関連データをスキャンする場合は、そうした関連リクエストで同じメタデータを使用できます。そして、そのデータベース テーブルの検出結果を収集、集計、分析できます。
ハイブリッド ジョブがリクエストを実行して検査すると、機密データの保護が検査結果を生成したときに検査結果を利用できます。一方、Pub/Sub 通知などのアクションは、アプリケーションがハイブリッド ジョブを終了するまで起こりません。
考慮事項
ハイブリッド ジョブとハイブリッド ジョブトリガーを操作する場合は、次の点を考慮してください。
- ハイブリッド ジョブとハイブリッド ジョブトリガーは、フィルタリングとサンプリングをサポートしていません。
- ジョブとジョブトリガーはサービスレベル目標(SLO)の対象ではありませんが、レイテンシを短縮するために実施可能な手順があります。詳細については、ジョブのレイテンシをご覧ください。
始める前に
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを設定して使用する前に、確実に次の作業を行ってください。
新しいプロジェクトの作成、課金の有効化、機密データの保護の有効化
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Enable the Sensitive Data Protection API.
データソースを構成する
機密データの保護でデータを検査するには、そのデータを機密データの保護に送信する必要があります。どのような方法でハイブリッド ジョブまたはハイブリッド ジョブトリガーを構成しても、外部ソースを設定して、DLP API にデータを送信する必要があります。
ハイブリッド検査リクエストに必要な形式については、ハイブリッド コンテンツ アイテムのフォーマットをご覧ください。リクエストのデータに含めることができるメタデータの種類については、指定できるメタデータの種類をご覧ください。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを作成する
機密データの保護に送信したデータを機密データの保護で検査できるようにするには、まずハイブリッド ジョブまたはハイブリッド ジョブトリガーを設定する必要があります。どちらを作成するかについての詳細は、このページの一般的なハイブリッド検査シナリオをご覧ください。
Console
Google Cloud コンソールで、[ジョブまたはジョブトリガーの作成] ページに移動します。
以下のセクションでは、ハイブリッド検査オペレーションに関連する [ジョブまたはジョブトリガーを作成] ページのセクションに入力する方法について説明します。
入力データを選択
このセクションでは、検査する機密データの保護の入力データを指定します。
- 省略可: [名前] で、[ジョブ ID] フィールドに値を入力して、ジョブに名前を付けます。このフィールドを空白のままにすると、機密データの保護によって識別子が自動生成されます。
- 省略可: [リソース ロケーション] メニューから、ハイブリッド ジョブまたはハイブリッド ジョブトリガーを保存するリージョンを選択します。詳細については、処理を行うロケーションの指定をご覧ください。
[ストレージのタイプ] で、[ハイブリッド] を選択します。
省略可: [説明] に、作成するハイブリッド ジョブまたはハイブリッド ジョブトリガーの説明を入力します。たとえば、検査するデータのソースに関する情報を含めることができます。
省略可: [必要なラベル] で [ラベルを追加] をクリックし、
hybridInspect
リクエストから必要なラベルを入力します。このラベルが指定されていないhybridInspect
リクエストは、このハイブリッド ジョブまたはハイブリッド ジョブトリガーによっては処理されません。最大 10 個まで必要なラベルを追加できます。詳細については、このページのhybridInspect
リクエストのラベルを必要とするをご覧ください。省略可: [任意ラベル] に、このジョブまたはジョブトリガーに送信されたすべての
hybridInspect
リクエストの結果に関連付ける Key-Value ペアを入力します。最大 10 個まで任意ラベルを追加できます。詳細については、任意ラベルをご覧ください。省略可:
hybridInspect
リクエスト内で表形式のデータを送信する場合は、[表形式のデータ オプション] で主キー列のフィールド名を入力します。詳しくは、表形式のデータのオプションをご覧ください。[続行] をクリックします。
検出を構成する
このセクションでは、機密データの保護が入力データを検査する機密データの種類を指定します。次の設定を選択できます。
- テンプレート: 現在のプロジェクトでテンプレートを作成済みで、機密データの保護の検出パラメータの定義にそれを使用する場合は、[テンプレート名] フィールドをクリックして、表示されたリストからテンプレートを選択します。
- infoType: 機密データの保護は、検査で最も一般的な組み込みの infoType を選択します。infoType の変更や、使用するカスタム infoType の選択には、[infoType を管理] をクリックします。[検査ルールセット] と [信頼度のしきい値] で、検出基準を微調整することもできます。詳細については、検出の構成をご覧ください。
検出パラメータを構成したら、[続行] をクリックします。
アクションの追加
このセクションでは、各検査スキャンの検出結果を保存する場所を指定し、スキャンが完了したときにメールまたは Pub/Sub 通知メッセージのどちらで通知を行うかどうかを指定します。検出結果を BigQuery に保存しない場合、スキャン結果には検出結果の数と infoType に関する統計情報のみが含まれます。
- BigQuery に保存: スキャンが実行されるたびに、機密データの保護によりここで指定した BigQuery テーブルにスキャンの検出結果が保存されます。テーブル ID を指定しなければ、スキャンの最初の実行時に BigQuery によってデフォルトの名前が新しいテーブルに割り当てられます。既存のテーブルを指定した場合、機密データの保護によりスキャンの検出結果がテーブルに追加されます。
Pub/Sub に公開: ジョブが完了すると、Pub/Sub メッセージが生成されます。
メールで通知: ジョブが完了すると、メッセージがメールで送信されます。
Cloud Monitoring に公開: ジョブが完了すると、検出結果が Monitoring に公開されます。
アクションを選択したら、[続行] をクリックします。
スケジュール
このセクションでは、即座に実行される単一ジョブと、正しくルーティングされフォーマットされたデータが機密データの保護で受信されるたびに実行されるジョブトリガーのどちらを作成するかを指定します。
次のいずれかを行います。
ハイブリッド ジョブをすぐに実行するには、[なし(作成時に 1 回限りのジョブを実行する)] を選択します。
ソースから受信したデータがジョブをトリガーするようにジョブを構成するには、[定期的にジョブを実行するトリガーを作成] を選択します。
ハイブリッド ジョブトリガーは API 呼び出しを集約し、検出結果と傾向を時系列で確認できます。
詳細については、ハイブリッド ジョブとハイブリッド ジョブトリガーの比較をご覧ください。
まとめ
ここで、スキャンの JSON サマリーを確認できます。ハイブリッド ジョブまたはハイブリッド ジョブトリガーの名前を必ずメモしてください。この情報は、検査のために機密データの保護にデータを送信する際に必要になります。
JSON の概要を確認したら、[作成] をクリックします。
機密データの保護によって、ハイブリッド ジョブまたはハイブリッド ジョブトリガーが直ちに開始されます。このハイブリッド ジョブまたはハイブリッド ジョブトリガーに hybridInspect
リクエストを送信すると、検査スキャンが開始されます。
API
ジョブは、DLP API で DlpJobs
リソースによって表現されます。ハイブリッド ジョブを作成するには、projects.locations.dlpJobs.create
メソッドを呼び出します。
ジョブトリガーは、DLP API で JobTrigger
リソースによって表現されます。ハイブリッド ジョブトリガーを作成するには、projects.locations.jobTriggers.create
メソッドを呼び出します。
作成する DlpJobs
または JobTrigger
オブジェクトには、次の設定が必要です。
inspectJob
フィールドで、InspectJobConfig
オブジェクトを設定します。InspectJobConfig
オブジェクトのstorageConfig
フィールドで、StorageConfig
オブジェクトを設定します。StorageConfig
オブジェクトのhybridOptions
フィールドで、HybridOptions
オブジェクトを設定します。このオブジェクトには、検査するデータに関するメタデータが含まれています。InspectJobConfig
オブジェクトのactions
フィールドに、機密データの保護に実行させるアクション(Action
)を各ジョブの各末尾に追加します。publishSummaryToCscc
アクションとpublishFindingsToCloudDataCatalog
アクションは、このオペレーションではサポートされていません。アクションの詳細については、アクションをご覧ください。次のいずれかまたは両方を行って、スキャンの対象とスキャン方法を指定します。
inspectTemplateName
フィールドを、使用する検査テンプレートの完全なリソース名にします(利用可能な場合)。inspectConfig
フィールドを設定します。
inspectTemplateName
フィールドとinspectConfig
フィールドの両方を設定すると、これらの設定が結合されます。
JSON の例について
次のタブには、機密データの保護に送信してハイブリッド ジョブまたはハイブリッド ジョブトリガーを作成できる JSON の例が含まれています。これらのハイブリッド ジョブとハイブリッド ジョブトリガーの例は、次のことを行うように構成されています。
- リクエストに
appointment-bookings-comments
というラベルがある場合は、hybridInspect
リクエストを処理します。 - メールアドレスについて、
hybridInspect
リクエストの内容をスキャンします。 "env": "prod"
ラベルを検出結果に貼り付けます。- 表形式のデータの場合、機密データが見つかったセルと同じ行にある
booking_id
列のセルの値(主キー)を取得します。機密データの保護によりこの ID が検出結果に貼り付けられるため、検出結果をその元になる特定の行まで追跡できます。 - ジョブの停止時にメールを送信します。メールは IAM プロジェクト オーナーと技術的な重要な連絡先の技術担当者に送信されます。
- ジョブが停止したときに、検出結果を Cloud Monitoring に送信します。
JSON の例を表示するには、次のタブをご覧ください。
ハイブリッド ジョブ
このタブには、ハイブリッド ジョブの作成に使用できる JSON の例が含まれます。
ハイブリッド ジョブを作成するには、次のエンドポイントに POST
リクエストを送信します。
HTTP メソッドと URL
POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/dlpJobs
次のように置き換えます。
- PROJECT_ID: ハイブリッド ジョブを保存するプロジェクトの ID。
- REGION: ハイブリッド ジョブを保存する地理的なリージョン。
JSON 入力
{
"jobId": "postgresql-table-comments",
"inspectJob": {
"actions": [
{
"jobNotificationEmails": {}
},
{
"publishToStackdriver": {}
}
],
"inspectConfig": {
"infoTypes": [
{
"name": "EMAIL_ADDRESS"
}
],
"minLikelihood": "POSSIBLE",
"includeQuote": true
},
"storageConfig": {
"hybridOptions": {
"description": "Hybrid job for data from the comments field of a table that contains customer appointment bookings",
"requiredFindingLabelKeys": [
"appointment-bookings-comments"
],
"labels": {
"env": "prod"
},
"tableOptions": {
"identifyingFields": [
{
"name": "booking_id"
}
]
}
}
}
}
}
JSON 出力
{ "name": "projects/PROJECT_ID/locations/REGION/dlpJobs/i-postgresql-table-comments", "type": "INSPECT_JOB", "state": "ACTIVE", "inspectDetails": { "requestedOptions": { "snapshotInspectTemplate": {}, "jobConfig": { "storageConfig": { "hybridOptions": { "description": "Hybrid job for data from the comments field of a table that contains customer appointment bookings", "requiredFindingLabelKeys": [ "appointment-bookings-comments" ], "labels": { "env": "prod" }, "tableOptions": { "identifyingFields": [ { "name": "booking_id" } ] } } }, "inspectConfig": { "infoTypes": [ { "name": "EMAIL_ADDRESS" } ], "minLikelihood": "POSSIBLE", "limits": {}, "includeQuote": true }, "actions": [ { "jobNotificationEmails": {} }, { "publishToStackdriver": {} } ] } }, "result": { "hybridStats": {} } }, "createTime": "JOB_CREATION_DATETIME", "startTime": "JOB_START_DATETIME" }
機密データの保護によってハイブリッド ジョブが作成され、ジョブ ID が生成されます。この例では、ジョブ ID は i-postgresql-table-comments
です。ジョブ ID をメモしておきます。
hybridInspect
リクエストで必要になります。
ハイブリッド ジョブを停止するには、projects.locations.dlpJobs.finish
メソッドを明示的に呼び出す必要があります。DLP API は、ハイブリッド ジョブを自動的には停止しません。一方、DLP API は、1 日の終わりにハイブリッド ジョブトリガー内のジョブを自動的に停止します。
ハイブリッド ジョブトリガー
このタブには、ハイブリッド ジョブトリガーの作成に使用できる JSON の例が含まれます。
ハイブリッド ジョブトリガーを作成するには、次のエンドポイントに POST
リクエストを送信します。
HTTP メソッドと URL
POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/jobTriggers
次のように置き換えます。
- PROJECT_ID: ハイブリッド ジョブトリガーを保存するプロジェクトの ID。
- REGION: ハイブリッド ジョブトリガーを保存する地理的なリージョン。
JSON 入力
{
"triggerId": "postgresql-table-comments",
"jobTrigger": {
"triggers": [
{
"manual": {}
}
],
"inspectJob": {
"actions": [
{
"jobNotificationEmails": {}
},
{
"publishToStackdriver": {}
}
],
"inspectConfig": {
"infoTypes": [
{
"name": "EMAIL_ADDRESS"
}
],
"minLikelihood": "POSSIBLE",
"limits": {},
"includeQuote": true
},
"storageConfig": {
"hybridOptions": {
"description": "Hybrid job trigger for data from the comments field of a table that contains customer appointment bookings",
"requiredFindingLabelKeys": [
"appointment-bookings-comments"
],
"labels": {
"env": "prod"
},
"tableOptions": {
"identifyingFields": [
{
"name": "booking_id"
}
]
}
}
}
}
}
}
JSON 出力
{ "name": "projects/PROJECT_ID/locations/REGION/jobTriggers/postgresql-table-comments", "inspectJob": { "storageConfig": { "hybridOptions": { "description": "Hybrid job trigger for data from the comments field of a table that contains customer appointment bookings", "requiredFindingLabelKeys": [ "appointment-bookings-comments" ], "labels": { "env": "prod" }, "tableOptions": { "identifyingFields": [ { "name": "booking_id" } ] } } }, "inspectConfig": { "infoTypes": [ { "name": "EMAIL_ADDRESS" } ], "minLikelihood": "POSSIBLE", "limits": {}, "includeQuote": true }, "actions": [ { "jobNotificationEmails": {} }, { "publishToStackdriver": {} } ] }, "triggers": [ { "manual": {} } ], "createTime": ""JOB_CREATION_DATETIME", "updateTime": "TRIGGER_UPDATE_DATETIME", "status": "HEALTHY" }
機密データの保護により、ハイブリッド ジョブトリガーが作成されます。出力には、ハイブリッド ジョブトリガーの名前が含まれます。この例では、postgresql-table-comments
となります。名前をメモしておきます。hybridInspect
リクエストで必要になります。
ハイブリッド ジョブとは異なり、DLP API は、1 日の終わりにハイブリッド ジョブトリガー内のジョブを自動的に停止します。したがって、projects.locations.dlpJobs.finish
メソッドを明示的に呼び出す必要はありません。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを作成する場合は、次の API リファレンス ページでそれぞれ API Explorer を使用できます。
[リクエスト パラメータ] フィールドに「projects/PROJECT_ID/locations/REGION
」と入力します。次に、[リクエスト本文] フィールドに、作成するオブジェクトのサンプル JSON を貼り付けます。
リクエストが API Explorer で作成した場合でも、成功したリクエストでは、ハイブリッド ジョブまたはハイブリッド ジョブトリガーが作成されます。
JSON を使用して DLP API にリクエストを送信する方法については、JSON クイックスタートをご覧ください。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーにデータを送信する
データを検査するには、ハイブリッド ジョブまたはハイブリッド ジョブトリガーのいずれかに hybridInspect
リクエストを正しい形式で送信する必要があります。
ハイブリッド コンテンツ アイテムのフォーマット
ハイブリッド ジョブまたはハイブリッド ジョブトリガーで処理するために機密データの保護に送信される hybridInspect
リクエストの簡単な例を次に示します。hybridItem
フィールドを含む JSON オブジェクトの構造に注意してください。このフィールドには次のフィールドが含まれています。
item
: 検査する実際のコンテンツが含まれます。findingDetails
: コンテンツに関連付けるメタデータが含まれます。
{
"hybridItem": {
"item": {
"value": "My email is test@example.org"
},
"findingDetails": {
"containerDetails": {
"fullPath": "10.0.0.2:logs1:app1",
"relativePath": "app1",
"rootPath": "10.0.0.2:logs1",
"type": "logging_sys",
"version": "1.2"
},
"labels": {
"env": "prod",
"appointment-bookings-comments": ""
}
}
}
}
ハイブリッド検査項目の内容について詳しくは、HybridContentItem
オブジェクトの API リファレンス コンテンツをご覧ください。
ハイブリッド検査エンドポイント
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを使用してデータを検査するには、正しいエンドポイントに hybridInspect
リクエストを送信する必要があります。
ハイブリッド ジョブの HTTP メソッドと URL
POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/dlpJobs/JOB_ID:hybridInspect
このエンドポイントの詳細については、projects.locations.dlpJobs.hybridInspect
メソッドの API リファレンス ページをご覧ください。
ハイブリッド ジョブトリガーの HTTP メソッドと URL
https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/jobTriggers/TRIGGER_NAME:hybridInspect
このエンドポイントの詳細については、projects.locations.jobTriggers.hybridInspect
メソッドの API リファレンス ページをご覧ください。
次のように置き換えます。
- PROJECT_ID: プロジェクト ID。
- REGION:
hybridInspect
リクエストを保存する地理的なリージョン。ハイブリッド ジョブのリージョンと同じリージョンにする必要があります。 JOB_ID: ハイブリッド ジョブに割り当てた ID で、
i-
の接頭辞が付けられます。ジョブ ID を検索するには、[機密データの保護] で [検査] > [検査ジョブ] をクリックします。
TRIGGER_NAME: ハイブリッド ジョブトリガーに指定した名前。
ジョブトリガーの名前を検索するには、[機密データの保護] で、[検査] > [ジョブトリガー] をクリックします。
hybridInspect
リクエストのラベルを必要とする
ハイブリッド ジョブまたはハイブリッド ジョブトリガーで処理可能な hybridInspect
リクエストを制御する場合は、必要なラベルを設定できます。これらの必要なラベルが含まれていないハイブリッド ジョブまたはハイブリッド ジョブトリガーのあらゆるhybridInspect
リクエストは拒否されます。
必要なラベルを設定するには、次のようにします。
ハイブリッド ジョブまたはハイブリッド ジョブトリガーを作成するときに、
requiredFindingLabelKeys
フィールドを必要なラベルのリストに設定します。次の例では、
appointment-bookings-comments
をハイブリッド ジョブまたはハイブリッド ジョブトリガーの必要なラベルとして設定します。"hybridOptions": { ... "requiredFindingLabelKeys": [ "appointment-bookings-comments" ], "labels": { "env": "prod" }, ... }
hybridInspect
リクエストのlabels
フィールドで、必要な各ラベルを Key-Value ペアのキーとして追加します。対応する値は、空の文字列にできます。次の例では、必要なラベル
appointment-bookings-comments
をhybridInspect
リクエストに設定しています。{ "hybridItem": { "item": { "value": "My email is test@example.org" }, "findingDetails": { "containerDetails": {...}, "labels": { "appointment-bookings-comments": "" } } } }
hybridInspect
リクエストに必要なラベルを含めないと、次のようなエラーが発生します。
{ "error": { "code": 400, "message": "Trigger required labels that were not included: [appointment-bookings-comments]", "status": "INVALID_ARGUMENT" } }
コードサンプル: ハイブリッド ジョブトリガーを作成してデータを送信する
C#
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
Go
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
Java
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
Node.js
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
PHP
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
Python
機密データの保護用のクライアント ライブラリをインストールして使用する方法については、機密データの保護のクライアント ライブラリをご覧ください。
機密データの保護のために認証するには、アプリケーションのデフォルト認証情報を設定します。 詳細については、ローカル開発環境の認証の設定をご覧ください。
一般的なハイブリッド検査シナリオ
次のセクションでは、ハイブリッド検査の一般的な用途と、それに対応するワークフローについて説明します。
1 回限りのスキャンを実行する
データベースの四半期ごとのスポットチェックの一環として、Google Cloud の外部にあるデータベースの 1 回限りのスキャンを実行する。
Google Cloud コンソールまたは DLP API を使用してハイブリッド ジョブを作成します。
projects.locations.dlpJobs.hybridInspect
を呼び出してジョブにデータを送信します。 より多くのデータを検査する場合は、この手順を必要な回数だけ繰り返します。検査用のデータを送信したら、
projects.locations.dlpJobs.finish
メソッドを呼び出します。機密データの保護では、
projects.locations.dlpJobs.create
リクエストで指定されたアクションが実行されます。
継続的なモニタリングを構成する
機密データの保護でネイティブでサポートされていないデータベースに対して、新しく追加されたすべてのコンテンツを毎日モニタリングする。
Google Cloud コンソールまたは DLP API を使用して、ハイブリッド ジョブトリガーを作成します。
projects.locations.jobTriggers.activate
メソッドを呼び出して、ジョブトリガーを有効にします。projects.locations.jobTriggers.hybridInspect
を呼び出して、ジョブトリガーにデータを送信します。より多くのデータを検査する場合は、この手順を必要な回数だけ繰り返します。
このケースでは、projects.locations.dlpJobs.finish
メソッドを呼び出す必要はありません。機密データの保護では送信したデータが自動的にパーティショニングされます。ジョブトリガーがアクティブである限り、機密データの保護は 1 日の終わりに、ハイブリッド ジョブトリガーの作成時に指定したアクションを実行します。
データベースに到着したデータをスキャンする
データの分割方法を制御しながら、データベースに到着したデータをスキャンします。ジョブトリガーの各ジョブは単一のパーティションです。
Google Cloud コンソールまたは DLP API を使用して、ハイブリッド ジョブトリガーを作成します。
projects.locations.jobTriggers.activate
メソッドを呼び出して、ジョブトリガーを有効にします。システムは、単一ジョブのジョブ ID を返します。このジョブ ID は次の手順で必要になります。
projects.locations.dlpJobs.hybridInspect
を呼び出してジョブにデータを送信します。この場合、ジョブトリガーではなくジョブにデータを送信します。この方法では、検査用に送信するデータのパーティショニング方法を制御できます。現在のパーティションの検査用データを追加する場合は、この手順を繰り返します。
ジョブにデータを送信したら、
projects.locations.dlpJobs.finish
メソッドを呼び出します。機密データの保護では、
projects.locations.jobTriggers.create
リクエストで指定されたアクションが実行されます。次のパーティション用の別のジョブを作成する場合は、ジョブトリガーを再度アクティブにして、その結果のジョブにデータを送信します。
プロキシからのトラフィックをモニタリングする
2 つのカスタム アプリケーション間でインストールされたプロキシからのトラフィックをモニタリングします。
Google Cloud コンソールまたは DLP API を使用して、ハイブリッド ジョブトリガーを作成します。
projects.locations.jobTriggers.activate
メソッドを呼び出して、ジョブトリガーを有効にします。projects.locations.jobTriggers.hybridInspect
を呼び出して、ジョブトリガーにデータを送信します。より多くのデータを検査する場合は、この手順を必要な回数だけ繰り返します。このリクエストは、すべてのネットワーク トラフィックに対して無期限に呼び出すことができます。各リクエストに必ずメタデータを含めてください。
このケースでは、projects.locations.dlpJobs.finish
メソッドを呼び出す必要はありません。機密データの保護では送信したデータが自動的にパーティショニングされます。ジョブトリガーがアクティブである限り、機密データの保護は 1 日の終わりに、ハイブリッド ジョブトリガーの作成時に指定したアクションを実行します。
次のステップ
- ハイブリッド ジョブとジョブトリガーの仕組みについて詳しく学習します。