本文档介绍 Cloud Monitoring 中静态数据的加密政策，以及您为了确保敏感客户数据受到保护可以执行的步骤。
本文档适用于必须符合数据安全要求的客户。
静态数据加密
Cloud Monitoring 中的所有静态数据都使用Google-owned and Google-managed encryption keys进行加密。 如需了解详情，请参阅默认静态加密。 Cloud Monitoring 不支持使用客户管理的加密密钥 (CMEK) 来保护静态数据。默认情况下，“监控”不会存储敏感数据，也不适用于个人身份信息 (PII) 或其他客户的私密内容。您可以使用“监控”功能存储汇总的不可识别用户活动数据，或基于事件的第二级汇总信息，例如请求数和其他类似指标。
但是，您可能会无意中在 Monitoring 的一些位置插入敏感客户数据。由于 Cloud Monitoring 会存储元数据和资源标签，因此当您在 Google Kubernetes Engine 中为配置命名或执行元数据操作（例如为资源添加标签、为实例添加注释或使用自定义资源定义 (CRD) 存储自定义资源）时，客户数据可能会进入 Monitoring。
本文档的其余部分介绍了此类数据可能插入的位置，以及如何查找此类数据的捕获。
可能的插入点
下表介绍了敏感数据可能会发送到 Cloud Monitoring 中的位置。
| Google 生成的数据 ，例如系统定义的指标 和内置信息中心 |
客户生成的数据 ，例如自定义指标或基于日志的指标 和自定义信息中心 |
|
|---|---|---|
| 资源标签 | 派生自客户数据的值（例如虚拟机实例名称）或与客户数据无关的值（例如项目编号） | 包含敏感数据的值，例如尚未发布的硬件的名称 |
| 指标标签 | 派生自客户数据的值（例如虚拟机实例名称）或与客户数据无关的值（例如项目编号） |
|
| 时序中的数据点 | 无法执行任何操作；无法遮盖 | 用户定义的指标（自定义指标和基于日志的指标）中的时序可能包含敏感客户数据（如果您的应用有意收集这些数据）。 |
| 指标描述符 | 无法执行任何操作；无法遮盖 |
|
| 提醒政策 | 无法执行任何操作；无法遮盖 |
|
| 信息中心 | 无法执行任何操作；无法遮盖 |
|
| 通知渠道 | 无法执行任何操作；无法遮盖 |
|
| 资源组 | 无法执行任何操作；无法遮盖 |
|
| 拨测 | 无法执行任何操作；无法遮盖 |
|
| 指标范围 | 不适用 | 仅限元数据 |
保护敏感元数据
如果您希望所有数据都受 CMEK 保护，则不应在 Google Cloud的资源配置或元数据中添加敏感信息。如果必须在资源配置、资源元数据或标签值中使用敏感数据，我们建议您使用 Google Cloud 中经过遮盖的标识符和 Google Cloud外部的映射表对敏感数据进行保护。
如果您要将敏感时序数据发送到 Monitoring，则确保数据删除的唯一方法是删除您的 Google Cloud 项目。否则，时序数据只有在达到数据保留上限（目前对于用户定义的指标为 24 个月）后才会删除。
检查数据以确保合规
您可以在 Cloud Monitoring 中手动检查数据，确保其符合您的安全标准。
配置数据
为确保在配置工件（例如提醒政策）中使用的标签和过滤条件得到适当的隐去，您可以检索和检查配置数据。请检查以下各项：
提醒政策，如列出和获取提醒政策中所述。基于服务等级目标的提醒政策具有引用 SLO 的过滤条件，例如：
filter: select_slo_burn_rate("projects/PROJECT_NUMBER/services/SERVICE_ID/serviceLevelObjectives/SLO_ID")您可以通过从过滤条件向
serviceLevelObjects/get方法提供 SLO 的完全限定名称来检索 SLO 的配置。通知渠道，如列出项目中的通知渠道中所述。
拨测配置，如管理拨测中所述。
自定义信息中心，如列出信息中心中所述。
资源组，使用
groups.list方法。
指标数据
如需检查指标数据，您必须同时考虑用户定义的指标的指标描述符和针对这些描述符编写的时序数据。
指标描述符
为确保所有指标描述符中的显示名称、说明和标签键都经过正确遮盖，请检查描述符，如列出指标描述符中所述。
如需搜索自定义指标，请使用以下过滤条件：
metric.type = starts_with("custom.googleapis.com")如需搜索基于日志的指标，请使用以下过滤条件：
metric.type = starts_with("logging.googleapis.com/user")
时间序列数据
为确保时序数据本身经过正确遮盖，请检索时序数据并检查指标和资源标签的值以及其他存储的数据。请特别注意由自定义指标或基于日志的指标收集的时序数据。如需了解如何检索时间序列数据，请参阅检索时间序列数据。