Kurzanleitung: Befehlszeilentool verwenden

Auf dieser Seite wird gezeigt, wie grundlegende Aufgaben in der Cloud Data Loss Prevention API mithilfe einer Befehlszeilenschnittstelle ausgeführt werden. Insbesondere umfasst diese Kurzanleitung das Senden eines kurzen Strings an die DLP API zur Prüfung.

Hinweis

  1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

    Zur Projektauswahl

  3. Die Abrechnung für das Cloud-Projekt muss aktiviert sein. So prüfen Sie, ob die Abrechnung für Ihr Projekt aktiviert ist.

  4. Aktivieren Sie die DLP API.

    Aktivieren Sie die API

  5. Erstellen Sie ein Dienstkonto:

    1. Wechseln Sie in der Cloud Console zur Seite Dienstkonto erstellen.

      Zur Seite „Dienstkonto erstellen“
    2. Wählen Sie ein Projekt aus.

    3. Geben Sie im Feld Dienstkontoname einen Namen ein. Die Cloud Console füllt das Feld Dienstkonto-ID basierend auf diesem Namen aus.

      Geben Sie im Feld Dienstkontobeschreibung eine Beschreibung ein. Beispiel: Service account for quickstart.

    4. Klicken Sie auf Erstellen und fortfahren.

    5. Klicken Sie auf das Feld Rolle auswählen.

      Klicken Sie unter Schnellzugriff auf Einfach und dann auf Inhaber.

    6. Klicken Sie auf Weiter.

    7. Klicken Sie auf Fertig, um das Erstellen des Dienstkontos abzuschließen.

      Schließen Sie das Browserfenster nicht. Sie verwenden es in der nächsten Aufgabe.

  6. Dienstkontoschlüssel erstellen

    1. Klicken Sie in der Cloud Console auf die E-Mail-Adresse des von Ihnen erstellten Dienstkontos.
    2. Klicken Sie auf Schlüssel.
    3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
    4. Klicken Sie auf Erstellen. Daraufhin wird eine JSON-Schlüsseldatei auf Ihren Computer heruntergeladen.
    5. Klicken Sie auf Schließen.

  7. Legen Sie für die Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS den Pfad der JSON-Datei fest, die Ihren Dienstkontoschlüssel enthält. Diese Variable gilt nur für Ihre aktuelle Shellsitzung. Wenn Sie eine neue Sitzung öffnen, müssen Sie die Variable noch einmal festlegen.

  8. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

    Zur Projektauswahl

  9. Die Abrechnung für das Cloud-Projekt muss aktiviert sein. So prüfen Sie, ob die Abrechnung für Ihr Projekt aktiviert ist.

  10. Aktivieren Sie die DLP API.

    Aktivieren Sie die API

  11. Erstellen Sie ein Dienstkonto:

    1. Wechseln Sie in der Cloud Console zur Seite Dienstkonto erstellen.

      Zur Seite „Dienstkonto erstellen“
    2. Wählen Sie ein Projekt aus.

    3. Geben Sie im Feld Dienstkontoname einen Namen ein. Die Cloud Console füllt das Feld Dienstkonto-ID basierend auf diesem Namen aus.

      Geben Sie im Feld Dienstkontobeschreibung eine Beschreibung ein. Beispiel: Service account for quickstart.

    4. Klicken Sie auf Erstellen und fortfahren.

    5. Klicken Sie auf das Feld Rolle auswählen.

      Klicken Sie unter Schnellzugriff auf Einfach und dann auf Inhaber.

    6. Klicken Sie auf Weiter.

    7. Klicken Sie auf Fertig, um das Erstellen des Dienstkontos abzuschließen.

      Schließen Sie das Browserfenster nicht. Sie verwenden es in der nächsten Aufgabe.

  12. Dienstkontoschlüssel erstellen

    1. Klicken Sie in der Cloud Console auf die E-Mail-Adresse des von Ihnen erstellten Dienstkontos.
    2. Klicken Sie auf Schlüssel.
    3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
    4. Klicken Sie auf Erstellen. Daraufhin wird eine JSON-Schlüsseldatei auf Ihren Computer heruntergeladen.
    5. Klicken Sie auf Schließen.

  13. Legen Sie für die Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS den Pfad der JSON-Datei fest, die Ihren Dienstkontoschlüssel enthält. Diese Variable gilt nur für Ihre aktuelle Shellsitzung. Wenn Sie eine neue Sitzung öffnen, müssen Sie die Variable noch einmal festlegen.

Berechtigungen

Die Prüfung von Inhalten erfordert die Berechtigung serviceusage.services.use für das Projekt, das in parent angegeben ist. Die Rollen roles/editor, roles/owner und roles.dlp.user enthalten die erforderliche Berechtigung. Sie können aber auch Ihre eigene benutzerdefinierte Rolle definieren.

So weisen Sie Ihrem Nutzer die Rolle dlp.user auf Projektebene zu:

Console

  1. Öffnen Sie in der Google Cloud Console die Seite "IAM".

    IAM aufrufen

  2. Wenn noch kein Projekt ausgewählt wurde, klicken Sie auf die Projektauswahl und wählen Ihr Projekt aus.

  3. Führen Sie auf der IAM-Seite die folgenden Schritte aus:

    • Klicken Sie auf Hinzufügen, um einen neuen Nutzer hinzuzufügen.
    • Wenn Sie einem vorhandenen Nutzer die Rolle dlp.user hinzufügen möchten, klicken Sie für diesen Nutzer auf Hauptkonto bearbeiten und anschließend auf Weitere Rolle hinzufügen im Bereich Berechtigungen bearbeiten.

  4. Führen Sie im Bereich Hauptkonten hinzufügen folgende Schritte aus:

    • Geben Sie die E-Mail-Adresse des Nutzers, den Sie hinzufügen, z. B. test@example.com, in das Feld Neue Hauptkonten ein.
    • Für Rollen klicken Sie auf Rolle auswählen und wählen dann Cloud DLP > DLP-Nutzer aus.

  5. Klicken Sie auf Add.

Weitere Informationen finden Sie unter IAM-Rolle zuweisen.

gcloud

  1. Geben Sie den folgenden Befehl ein, um der IAM-Richtlinie des Projekts eine einzelne Bindung hinzuzufügen. 

    gcloud projects add-iam-policy-binding PROJECT_ID --member serviceAccount:SERVICE_ID --role roles/dlp.user

    Dabei gilt:

    • PROJECT_ID: die Projekt-ID.
    • SERVICE_ID: das zu verwendende Dienstkonto.

  2. Schreiben Sie in das Konsolenfenster die aktualisierte Richtlinie:

    bindings:
- members:
  - group: EMAIL_ADDRESS
    role: roles/dlp.user

    Ersetzen Sie EMAIL_ADDRESS durch die E-Mail-Adresse des Nutzers, den Sie hinzufügen.

Cloud DLP-Befehlszeilenanwendung einrichten

Node.js

  1. Laden Sie Node.js und NPM herunter und installieren Sie beides.

  2. Klonen Sie die Node.js-DLP-Clientbibliothek oder laden Sie sie als ZIP-Datei herunter und entpacken Sie die heruntergeladene Datei.

  3. Öffnen Sie ein Befehlszeilentool und wechseln Sie zum Verzeichnis samples innerhalb des erweiterten Verzeichnisses.

  4. Installieren Sie die Abhängigkeiten der Anwendung, führen Sie dazu im Verzeichnis samples den Befehl npm install aus.

  5. Erstellen Sie, falls noch nicht geschehen, die Umgebungsvariable GCLOUD_PROJECT und legen Sie sie auf die Projekt-ID des Google Cloud-Projekts fest, das Sie für die Verwendung mit Cloud DLP eingerichtet haben.

gcloud alpha dlp

  1. Installieren und initialisieren Sie das Cloud SDK.

    Für dieses Verfahren ist auch die Komponente gcloud-Alphabefehle erforderlich. Sie können sie jetzt installieren oder später installieren, wenn Sie dazu aufgefordert werden.

  2. Aktivieren Sie das Dienstkonto:

    gcloud auth activate-service-account SERVICE_ACCOUNT \\
 --key-file=PATH_TO_SERVICE_ACCOUNT_KEY

    Dabei gilt:

    • SERVICE_ACCOUNT: die ID Ihres Dienstkontos.
    • PATH_TO_SERVICE_ACCOUNT_KEY ist der Pfad zur JSON-Datei, die den privaten Schlüssel Ihres Dienstkontos enthält. Dies ist die JSON-Datei, die Sie beim Einrichten der Authentifizierung im Abschnitt Vorbereitung heruntergeladen haben.

String auf vertrauliche Informationen überprüfen

In diesem Abschnitt erfahren Sie, wie Sie mit der DLP API Beispieltext scannen.

Node.js

In diesem Beispiel wird das Node.js-Skript inspectString verwendet. Öffnen Sie ein Befehlszeilentool, falls noch nicht geschehen. Rufen Sie den Ordner samples des Node.js-Beispiel-Repositorys auf, das Sie im vorherigen Abschnitt heruntergeladen und entpackt haben.

Führen Sie dazu diesen Befehl aus: 

node inspectString.js PROJECT_ID "My email address is joe@example.com."

Ersetzen Sie dabei PROJECT_ID durch Ihre Projekt-ID.

Sie erhalten die folgende Ausgabe: 

Findings:
  Quote: joe@example.com
  Info type: EMAIL_ADDRESS
  Likelihood: LIKELY

gcloud alpha dlp

In diesem Beispiel wird der Befehl gcloud alpha dlp text inspect verwendet. Öffnen Sie ein Befehlszeilentool, falls noch nicht geschehen.

Führen Sie dazu diesen Befehl aus:

gcloud alpha dlp text inspect --project="PROJECT_ID" \
--content="My email address is joe@example.com." \
--include-quote --info-types="EMAIL_ADDRESS"

Ersetzen Sie dabei PROJECT_ID durch Ihre Projekt-ID.

Wenn Sie die Komponente gcloud Alpha Commands noch nicht installiert haben, werden Sie vom System gefragt, ob Sie diese zuerst installieren möchten. Drücken Sie Y, um fortzufahren.

Sie erhalten die folgende Ausgabe: 

result:
findings:
- createTime: '2021-02-26T19:31:28.051Z'
  findingId: 2021-02-26T19:31:28.054696Z5687834655654299045
  infoType:
    name: EMAIL_ADDRESS
  likelihood: LIKELY
  location:
    byteRange:
      end: '35'
      start: '20'
    codepointRange:
      end: '35'
      start: '20'
  quote: joe@example.com

Sie haben Ihre erste Anfrage an die DLP API gesendet.

Nächste Schritte