Criar perfil de dados do Cloud SQL em uma organização ou pasta

Visualização

Esse recurso está sujeito aos "Termos de ofertas pré-GA" na seção "Termos de Serviço gerais" dos Termos específicos de serviço. Os recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Nesta página, descrevemos como configurar a descoberta de dados do Cloud SQL no nível de uma organização ou pasta. Se você quiser criar um perfil para um projeto, consulte Criar perfil de dados do Cloud SQL em um único projeto.

Para mais informações sobre o serviço de descoberta, consulte Perfis de dados.

Como funciona

Confira a seguir um fluxo de trabalho de alto nível para a criação de perfil de dados do Cloud SQL:

1. Crie uma configuração de verificação.

   Depois que você cria uma configuração de verificação, a proteção de dados sensíveis começa a identificar suas instâncias do Cloud SQL e criar uma conexão padrão para cada uma delas. Dependendo do número de instâncias no escopo da descoberta, esse processo pode levar algumas horas. É possível sair do console do Google Cloud e verificar as conexões mais tarde.

2. Conceda os papéis do IAM necessários ao agente de serviço associado à configuração da verificação.

3. Quando as conexões padrão estiverem prontas, conceda à Proteção de Dados Sensíveis acesso às instâncias do Cloud SQL atualizando cada conexão com as credenciais adequadas do usuário do banco de dados. É possível fornecer contas de usuário do banco de dados ou criar usuários.

   Observação: para instâncias do Cloud SQL para PostgreSQL, há a opção de usar o agente de serviço como o usuário do banco de dados.

4. Recomendado: aumente o número máximo de conexões que a Proteção de Dados Sensíveis pode usar para criar o perfil dos seus dados. Aumentar as conexões pode acelerar a descoberta.

Serviços compatíveis

Esse recurso é compatível com:

• Cloud SQL para MySQL
• Cloud SQL para PostgreSQL

O Cloud SQL para SQL Server não é compatível.

Preços e cotas

A descoberta do Cloud SQL não terá cobranças de proteção de dados sensíveis até 1o de fevereiro de 2024. Após essa data, a descoberta do Cloud SQL será cobrada de forma semelhante à descoberta do BigQuery.

O uso de outros serviços do Google Cloud relacionados à criação de perfil de dados ainda é cobrado:

• As cobranças do Secret Manager são aplicadas sempre que a proteção de dados sensíveis acessa um secret. As operações de acesso ocorrem quando a proteção de dados sensíveis cria perfis das tabelas e verifica periodicamente se há atualizações.

• Se você salvar os perfis de dados no BigQuery, haverá cobranças do BigQuery.

Antes de começar

1. Confirme se você tem as permissões do IAM necessárias para configurar perfis de dados no nível da organização.

   Se você não tiver o papel de Administrador da organização (roles/resourcemanager.organizationAdmin) ou Administrador de segurança (roles/iam.securityAdmin), ainda poderá criar uma configuração de verificação. No entanto, depois de criar a configuração de verificação, alguém com um desses papéis precisa conceder acesso de criação de perfil de dados ao agente de serviço.

2. Você precisa ter um modelo de inspeção em cada região em que há dados para criar um perfil. Se você quiser usar um único modelo para várias regiões, utilize um modelo armazenado na região global. Se as políticas organizacionais impedirem que você crie um modelo de inspeção global, defina um modelo de inspeção dedicado para cada região. Para mais informações, consulte Considerações sobre residência de dados.

   Essa tarefa permite criar um modelo de inspeção apenas na região global. Se você precisar de modelos de inspeção dedicados para uma ou mais regiões, crie esses modelos antes de executar esta tarefa.

3. É possível configurar a proteção de dados sensíveis para enviar notificações ao Pub/Sub quando determinados eventos ocorrerem, como quando a proteção de dados sensíveis criar um perfil de uma nova tabela. Se quiser usar esse recurso, é necessário criar um tópico do Pub/Sub.

Para gerar perfis de dados, você precisa de um contêiner de agente de serviço e um agente de serviço dentro dele. Essa tarefa permite criá-los automaticamente.

Criar uma configuração de verificação

1. Acesse a página Criar configuração de verificação.

   Acessar "Criar configuração de verificação"

2. Acesse sua organização. Na barra de ferramentas, clique no seletor de projetos e escolha a organização.

As seções a seguir fornecem mais informações sobre as etapas na página Criar configuração de verificação. No final de cada seção, clique em Continuar.

Selecione um tipo de descoberta

Selecione Cloud SQL.

Selecionar escopo

Escolha uma destas opções:

• Para configurar a criação de perfil no nível da organização, selecione Verificar toda a organização.
• Para configurar a criação de perfil no nível de uma pasta, selecione Scan selected folder. Clique em Procurar e selecione a pasta.

Gerenciar programações

Se a frequência padrão de criação de perfil atender às suas necessidades, pule esta seção da página Criar configuração de verificação. Esta seção é útil se você quiser fazer ajustes refinados na frequência de criação de perfil de todos os seus dados ou de determinados subconjuntos deles. Isso também será útil se você não quiser que determinadas tabelas tenham um perfil ou se você quiser que eles sejam criados apenas uma vez.

Nesta seção, você cria filtros para especificar determinados subconjuntos dos dados que são do seu interesse. Para esses subconjuntos, você define se a proteção de dados sensíveis precisa criar perfis para as tabelas e com que frequência. Aqui, você também especifica os tipos de alterações que farão com que uma tabela seja recriada. Por fim, especifique todas as condições que cada tabela nos subconjuntos precisa atender antes que a proteção de dados confidenciais inicie a criação de perfil da tabela.

Para fazer ajustes refinados na frequência de criação de perfil, siga estas etapas:

1. Clique em Adicionar programação.

2. Na seção Filtros, defina um ou mais filtros que especificam quais tabelas estão no escopo da programação.

   Especifique pelo menos uma das seguintes opções:

   • Um ID do projeto ou uma expressão regular que especifica um ou mais projetos.
   • Um ID de instância ou uma expressão regular que especifica uma ou mais instâncias.
   • Um ID de banco de dados ou uma expressão regular que especifica um ou mais bancos de dados.
   • Um ID de tabela ou uma expressão regular que especifica uma ou mais tabelas. Insira esse valor no campo Nome do recurso do banco de dados ou expressão regular.

   As expressões regulares precisam seguir a sintaxe RE2.

   Por exemplo, se você quiser que todas as tabelas em um banco de dados sejam incluídas no filtro, insira o ID do banco de dados no campo ID do banco de dados.

   Se você quiser incluir mais filtros, clique em Adicionar filtro e repita essa etapa.

3. Clique em Frequência.

4. Na seção Frequência, especifique se o serviço de descoberta precisa criar o perfil das tabelas selecionadas e, em caso afirmativo, com que frequência:

   • Se você não quiser que as tabelas tenham um perfil, desative a opção Criar perfil para estes dados.

   • Se você quiser criar um perfil para as tabelas pelo menos uma vez, deixe a opção Criar perfil destes dados ativada.

     Nos campos seguintes desta seção, especifique se o sistema precisará criar um novo perfil dos dados e quais eventos devem acionar uma operação de recriação de perfil. Para mais informações, consulte Frequência de geração de perfil de dados.

     1. Em Com uma programação, especifique com que frequência você quer que as tabelas tenham o perfil recriado. As tabelas são reformuladas independentemente de terem passado por mudanças.
     2. Em Quando o esquema é alterado, especifique com que frequência a proteção de dados sensíveis precisa verificar se as tabelas selecionadas tiveram mudanças de esquema após a última criação de perfil. Somente as tabelas com alterações de esquema serão recriadas.
     3. Em Tipos de mudança de esquema, especifique quais mudanças devem acionar uma operação de reformulação do perfil. Selecione uma das seguintes opções:
        • Novas colunas: recrie o perfil das tabelas que ganharam novas colunas.
        • Colunas removidas: crie um novo perfil das tabelas que tiveram colunas removidas.

        Por exemplo, suponha que você tem tabelas que ganham novas colunas todos os dias e precisa criar o perfil do conteúdo delas a cada vez. É possível definir Quando alterações no esquema como Gerar um novo perfil diariamente e definir Tipos de mudança de esquema como Novas colunas.

     4. Em Ao inspecionar alterações no modelo, especifique se você quer que os dados recebam um novo perfil quando o modelo de inspeção associado for atualizado e, em caso afirmativo, com que frequência.
        Observação:você especifica os modelos de inspeção que serão usados na etapa Selecionar modelo de inspeção desta página.

        Uma mudança no modelo de inspeção é detectada nas seguintes situações:

        • O nome de um modelo de inspeção muda na configuração da verificação.
        • O updateTime de um modelo de inspeção é alterado.

     Por exemplo, se você definir um modelo de inspeção para a região us-west1 e atualizá-lo, somente os dados na região us-west1 terão um novo perfil. No entanto, se você excluir esse modelo, os dados em us-west1 não vão criar um novo perfil, porque não há modelo de inspeção para usar.

5. Clique em Condições.

   Na seção Condições, especifique os tipos de recursos de banco de dados para os quais você quer criar um perfil. Por padrão, a proteção de dados sensíveis é definida para criar o perfil de todos os tipos de recursos de banco de dados compatíveis. Quando a proteção de dados sensíveis adiciona suporte a mais tipos de recursos de banco de dados, esses tipos também recebem perfis automaticamente.

6. Opcional: para definir explicitamente os tipos de recursos do banco de dados para os quais você quer criar um perfil, siga estas etapas:

   1. Clique no campo Tipos de recursos de banco de dados.
   2. Selecione os tipos de recursos de banco de dados para os quais você quer criar um perfil.

   Se posteriormente a proteção de dados sensíveis adicionar suporte à descoberta para mais tipos de recursos de banco de dados do Cloud SQL, esses tipos só terão o perfil criado se você retornar a essa lista e selecioná-los.

7. Clique em Concluído.

8. Para adicionar mais programações, clique em Adicionar programação e repita as etapas anteriores.

9. Para reordenar as programações de acordo com a prioridade, use as setas para cima e para baixo. Por exemplo, se os filtros em duas programações diferentes corresponderem à Tabela A, a programação mais alta na lista de prioridade terá precedência.

   A última programação da lista é sempre a chamada Programação padrão. Essa programação padrão abrange as tabelas no recurso selecionado (organização ou pasta) que não correspondem a nenhuma das programações criadas. Essa programação padrão segue a frequência padrão de criação de perfil do sistema.

10. Caso queira ajustar a programação padrão, clique em Editar programação e ajuste as configurações conforme necessário.

Selecionar modelo de inspeção

Dependendo de como você quer fornecer uma configuração de inspeção, escolha uma das opções a seguir. Seja qual for a opção escolhida, a proteção de dados sensíveis verifica os dados na região em que estão armazenados. Ou seja, os dados não saem da região de origem.

Opção 1: criar um modelo de inspeção

Escolha essa opção se quiser criar um novo modelo de inspeção na região global.

1. Clique em Criar novo modelo de inspeção.

2. Opcional: para modificar a seleção padrão de infoTypes, clique em Gerenciar infoTypes.

   Para mais informações sobre como gerenciar infoTypes integrados e personalizados nesta seção, consulte Gerenciar infoTypes no console do Google Cloud.

   É preciso ter pelo menos um infoType selecionado para continuar.

3. Opcional: configure o modelo de inspeção ainda mais adicionando conjuntos de regras e definindo um limite de confiança. Para mais informações, consulte Configurar detecção.

   Quando a proteção de dados sensíveis cria a configuração da verificação, ela armazena esse novo modelo de inspeção na região global.

Opção 2: usar um modelo de inspeção atual

Escolha essa opção se você tiver modelos de inspeção que quiser usar.

1. Clique em Selecionar modelo de inspeção existente.

2. Digite o nome completo do recurso do modelo de inspeção que você quer usar. O campo Região é preenchido automaticamente com o nome da região em que o modelo de inspeção está armazenado.

   O modelo de inspeção inserido precisa estar na mesma região que os dados para o perfil. Para respeitar a residência de dados, a Proteção de Dados Sensíveis não usa um modelo de inspeção fora da própria região.

   Para encontrar o nome completo do recurso de um modelo de inspeção, siga estas etapas:

   1. Acesse a lista de modelos de inspeção. Essa página é aberta em uma guia separada.

      Acessar modelos de inspeção

   2. Mude para o projeto que contém o modelo de inspeção que você quer usar.

   3. Na guia Modelos, clique no ID do modelo que você quer usar.

   4. Na página exibida, copie o nome completo do recurso do modelo. O nome completo do recurso segue este formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Na página Criar configuração de verificação, no campo Nome do modelo, cole o nome completo do recurso do modelo.

3. Se você tiver dados em outra região e quiser usar um modelo de inspeção, siga estas etapas:

   1. Clique em Adicionar modelo de inspeção.
   2. Insira o nome completo do recurso do modelo de inspeção.

   Repita essas etapas para cada região em que você tiver um modelo de inspeção dedicado.

4. Opcional: adicione um modelo de inspeção armazenado na região global. A proteção de dados sensíveis usa automaticamente esse modelo para dados em regiões em que você não tem um modelo de inspeção dedicado.

   Cuidado :se você não incluir um modelo de inspeção armazenado na região global, a Proteção de Dados Sensíveis não poderá criar perfis de dados em regiões que não tenham um modelo de inspeção dedicado. Para mais informações, consulte Considerações sobre residência de dados.

Adicionar ações

Nas seções a seguir, você vai especificar as ações que quer que a proteção de dados sensíveis realize depois de gerar os perfis de dados.

Para informações sobre como outros serviços do Google Cloud podem cobrar pela configuração de ações, consulte Preços para exportação de perfis de dados.

Publicar no Chronicle

As métricas coletadas de perfis de dados podem adicionar contexto às descobertas do Chronicle. O contexto adicionado pode ajudar a determinar os problemas de segurança mais importantes a serem resolvidos. Por exemplo, se você estiver investigando um agente de serviço específico no Chronicle, os perfis de dados poderão fornecer insights sobre se esse agente de serviço tem acesso a tabelas com altos níveis de risco de dados.

Para enviar os perfis de dados à sua conta do Chronicle, ative Publicar no Chronicle.

Se o Chronicle não estiver ativado para sua organização, ativar essa opção não terá efeito.

Publicar no Security Command Center

Essa ação permite enviar os níveis calculados de risco e sensibilidade de dados dos perfis de dados de tabela ao Security Command Center.

O Security Command Center é o serviço centralizado de vulnerabilidade e relatórios de ameaças do Google Cloud. É possível usar insights de perfis de dados ao fazer a triagem e desenvolver planos de resposta para suas descobertas de vulnerabilidade e ameaças no Security Command Center.

Antes de usar essa ação, o Security Command Center precisa estar ativado no nível da organização. Ativar o Security Command Center no nível da organização permite o fluxo de descobertas de serviços integrados, como a Proteção de Dados Sensíveis. A proteção de dados sensíveis funciona com o Security Command Center Standard e o Premium.

Se o Security Command Center não estiver ativado no nível da organização, as descobertas da proteção de dados sensíveis não aparecerão no Security Command Center. Para mais informações, consulte Verificar o nível de ativação do Security Command Center.

Para enviar os resultados dos seus perfis de dados para o Security Command Center, verifique se a opção Publicar no Security Command Center está ativada.

Para mais informações, consulte Publicar perfis de dados no Security Command Center.

Salvar cópias do perfil de dados no BigQuery

Ativar a opção Salvar cópias do perfil de dados no BigQuery permite manter uma cópia ou um histórico salvo de todos os perfis gerados. Isso pode ser útil para criar relatórios de auditoria e visualizar perfis de dados. Também é possível carregar essas informações em outros sistemas.

Além disso, essa opção permite que você veja todos os seus perfis de dados em uma única visualização, independentemente da região em que os dados residem. Se você desativar essa opção, ainda será possível visualizar os perfis de dados no seu painel. No entanto, no painel, você seleciona uma região por vez e vê apenas os perfis de dados dela.

Observação :quando a proteção de dados sensíveis não cria o perfil de uma tabela, ela tenta fazer uma nova tentativa periodicamente. Para minimizar o ruído nos dados exportados, a proteção de dados sensíveis exporta apenas os perfis gerados com êxito para o BigQuery. Ele pula as tabelas sem perfil.

Para exportar cópias dos perfis de dados para uma tabela do BigQuery, siga estas etapas:

1. Ative a opção Salvar cópias do perfil de dados no BigQuery.

2. Insira os detalhes da tabela do BigQuery em que você quer salvar os perfis de dados:

   • Em ID do projeto, insira o ID de um projeto atual para onde você quer que os perfis de dados sejam exportados.

   • Em ID do conjunto de dados, digite o nome de um conjunto de dados no projeto para onde você quer que os perfis de dados sejam exportados.

   • Em ID da tabela, insira um nome para a tabela do BigQuery em que os perfis de dados serão exportados. Se você não tiver criado essa tabela, a proteção de dados sensíveis vai criá-la automaticamente usando o nome fornecido.

A proteção de dados sensíveis começa a exportar perfis quando você ativa essa opção. Os perfis que foram gerados antes de você ativar a exportação não são salvos no BigQuery.

Observação : seu agente de serviço precisa ter acesso de gravação na tabela de saída. Se você ainda não tem um agente de serviço, a proteção de dados sensíveis permite que você crie um mais tarde na página Criar configuração de verificação.

Publicar no Pub/Sub

Ao ativar a opção Publicar no Pub/Sub, você pode realizar ações programáticas com base nos resultados de criação de perfil. Use as notificações do Pub/Sub para desenvolver um fluxo de trabalho para detectar e corrigir descobertas com risco ou confidencialidade de dados significativos.

Para enviar notificações a um tópico do Pub/Sub, siga estas etapas:

1. Ative a opção Publicar no Pub/Sub.

   Uma lista de opções será exibida. Cada opção descreve um evento que faz com que a proteção de dados sensíveis envie uma notificação ao Pub/Sub.

2. Selecione os eventos que acionarão uma notificação do Pub/Sub.

   Se você selecionar Enviar uma notificação do Pub/Sub sempre que um perfil for atualizado, a proteção de dados sensíveis vai enviar uma notificação quando houver uma mudança nas seguintes métricas no nível da tabela:

   • Risco de dados
   • Sensibilidade
   • InfoTypes previstos
   • Outros InfoTypes
   • Pública
   • Criptografia

3. Para cada evento selecionado, siga estas etapas:

   1. Digite o nome do tópico. Ele precisa estar no seguinte formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Substitua:

      • PROJECT_ID: o ID do projeto associado ao tópico do Pub/Sub.
      • TOPIC_ID: o ID do tópico do Pub/Sub.

   2. Especifique se você quer incluir o perfil completo da tabela na notificação ou apenas o nome completo do recurso da tabela com o perfil criado.

   3. Defina os níveis mínimos de risco e confidencialidade de dados que precisam ser atendidos para que a Proteção de Dados Sensíveis envie uma notificação.

   4. Especifique se apenas uma ou ambas as condições de risco e confidencialidade de dados precisam ser atendidas. Por exemplo, se você escolher AND, o risco de dados e as condições de confidencialidade precisarão ser atendidos antes que a proteção de dados sensíveis envie uma notificação.

Observação : seu agente de serviço precisa ter acesso de publicação no tópico do Pub/Sub. Um exemplo de papel com acesso de publicação é o papel de Publicador do Pub/Sub (roles/pubsub.publisher). Se você ainda não tiver um agente de serviço, a proteção de dados sensíveis permite criar um mais tarde na página Criar configuração de verificação. Se houver problemas de configuração ou permissão com o tópico do Pub/Sub, a proteção de dados sensíveis tentará enviar a notificação do Pub/Sub por até duas semanas. Depois de duas semanas, a notificação é descartada.

Gerenciar o contêiner e o faturamento do agente de serviço

Nesta seção, você especificará o projeto a ser usado como um contêiner do agente de serviço. Você pode fazer com que a proteção de dados sensíveis crie automaticamente um novo projeto ou escolha um atual.

• Se você não tiver um contêiner de agente de serviço, selecione Criar um novo projeto como contêiner de agente de serviço.

  A proteção de dados sensíveis cria um novo projeto chamado Contêiner do agente de serviço da DLP. O agente de serviço neste projeto será usado para autenticação na proteção de dados sensíveis e em outras APIs. A proteção de dados sensíveis solicita que você selecione a conta para faturar todas as operações faturáveis relacionadas a este projeto, incluindo operações que não estão relacionadas à criação de perfil de dados.

  Se você não tiver as permissões necessárias para criar projetos, essa opção estará desativada. Para informações sobre as permissões necessárias, consulte Papéis necessários para trabalhar com perfis de dados no nível da organização ou da pasta.

• Se você tiver um contêiner de agente de serviço que queira reutilizar, selecione Selecionar um contêiner de agente de serviço atual. Em seguida, clique em Procurar para selecionar o ID do projeto do contêiner do agente de serviço.

Independentemente de você estar usando um agente de serviço recém-criado ou reutilizando um existente, verifique se ele tem acesso de leitura aos dados para criar o perfil.

Definir o local para armazenar a configuração

Clique na lista Local do recurso e selecione a região em que você quer armazenar essa configuração de verificação. Todas as configurações de verificação que você criar posteriormente também serão armazenadas nesse local.

O local em que você escolhe armazenar a configuração da verificação não afeta os dados a serem verificados. Além disso, não afeta onde os perfis de dados são armazenados. Os dados são verificados na mesma região em que estão armazenados. Para mais informações, consulte Considerações sobre residência de dados.

Observação: se você já tiver uma configuração de verificação, não será possível alterar o valor definido nesse campo. Todas as configurações de verificação são armazenadas no mesmo local. Para alterar o local de todas as configurações de verificação, é necessário excluí-las, recriá-las e armazená-las no novo local.

Revisar e criar

1. Para garantir que a criação de perfil não seja iniciada automaticamente depois de criar a configuração da verificação, selecione Criar verificação no modo pausado.

   Essa opção é útil nos seguintes casos:

   • O administrador do Google Cloud ainda precisa conceder acesso de criação de perfil de dados ao agente de serviço.
   • Você quer criar várias configurações de verificação e quer que algumas configurações substituam outras.
   • Você optou por salvar os perfis de dados no BigQuery e quer garantir que o agente de serviço tenha acesso de gravação à tabela de saída.
   • Você configurou as notificações do Pub/Sub e quer conceder acesso de publicação ao agente de serviço.

2. Revise suas configurações e clique em Criar.

   A proteção de dados sensíveis cria a configuração da verificação e a adiciona à lista de configurações da verificação de descoberta.

Para consultar ou gerenciar suas configurações de verificação, consulte Gerenciar configurações de verificação.

A proteção de dados sensíveis começa a identificar suas instâncias do Cloud SQL e a criar uma conexão padrão para cada uma delas. Dependendo do número de instâncias no escopo da descoberta, esse processo pode levar algumas horas. Você pode sair do console do Google Cloud e verificar as conexões mais tarde.

Quando as conexões padrão estiverem prontas, atualize-as com as credenciais de usuário do banco de dados que a proteção de dados sensíveis usará para criar o perfil das instâncias do Cloud SQL. Para mais informações, consulte Gerenciar conexões para uso com a descoberta.

Observação: aprimoramos regularmente o algoritmo de detecção. Se descobrirmos que sua organização ou projeto se beneficiaria de uma nova melhoria que implementamos, poderemos gerar novamente os perfis de dados automaticamente e refazer as ações na configuração de verificação. Não haverá cobranças da Proteção de Dados Sensíveis para essa operação. No entanto, como vamos refazer as ações, poderá haver cobranças pelo uso de outros serviços do Google Cloud. Por exemplo, se você configurou a proteção de dados sensíveis para salvar os perfis de dados no BigQuery, isso poderá gerar cobranças.

A seguir

Saiba como atualizar suas conexões.