保护静态数据

本文档介绍 Cloud Monitoring 中静态数据的加密政策，以及您为了确保敏感客户数据受到保护可以执行的步骤。

本文档适用于必须符合数据安全要求的客户。

静态数据加密

Cloud Monitoring 中的所有静态数据都使用 Google 管理的公钥/私钥加密进行加密，如 Google Cloud 中的静态加密所述。

Cloud Monitoring 不支持使用客户管理的加密密钥 (CMEK) 来保护静态数据。默认情况下，Monitoring 不会存储敏感数据，也不适合用于个人身份信息或其他私人客户内容。您可以使用 Monitoring 存储无法识别的汇总用户活动数据或基于事件的二阶汇总信息，例如请求数和其他类似指标。

但是，您可能会无意中在 Monitoring 的一些位置插入敏感客户数据。由于 Cloud Monitoring 会存储元数据和资源标签，因此当您为配置命名或执行元数据操作（例如，在 Google Kubernetes Engine 中使用自定义资源定义 (CRD) 为资源添加标签、为虚拟机实例添加注解或存储自定义资源）时，客户数据可能会进入 Monitoring。

本文档的其余部分介绍了此类数据可能插入的位置，以及如何查找此类数据的捕获。

可能的插入点

下表介绍了敏感数据可能会发送到 Cloud Monitoring 中的位置。

	Google 生成的数据例如系统定义的指标和内置信息中心	客户生成的数据例如自定义指标或基于日志的指标以及自定义信息中心
资源标签	派生自客户数据的值（例如虚拟机实例名称）或与客户数据无关的值（例如项目编号）	包含敏感数据的值，例如尚未发布的硬件的名称
指标标签	派生自客户数据的值（例如虚拟机实例名称）或与客户数据无关的值（例如项目编号）	键，例如表明存在某种软件的特定维度包含敏感数据的值，例如尚未发布的硬件的名称
时序中的数据点	无法执行任何操作；无法遮盖	用户定义的指标（自定义指标和基于日志的指标）中的时间序列可能包含敏感的客户数据（如果您的应用有意收集这些数据）。
指标描述符	无法执行任何操作；无法遮盖	显示名说明标签键，例如表明存在某种软件的特定维度
提醒政策	无法执行任何操作；无法遮盖	政策和嵌入条件的显示名称用于按特定时序过滤提醒的标签键和值以文档形式提供的信息如果您的政策基于服务等级目标，则其配置可能包括：显示名用户指定的标签键和值
信息中心	无法执行任何操作；无法遮盖	显示名信息中心上的项文本用于为信息中心上的图表和其他项选择时序数据的过滤条件和其他查询维度
通知渠道	无法执行任何操作；无法遮盖	显示名说明用于定义渠道的标签和值
资源组	无法执行任何操作；无法遮盖	显示名用于指定群组成员资格的过滤器
拨测	无法执行任何操作；无法遮盖	显示名 IP 地址、路径任何可选的内容匹配器字符串
指标范围	不适用	仅元数据

保护敏感元数据

如果您希望所有数据都受 CMEK 保护，则不应在 Google Cloud 的资源配置或元数据中添加敏感信息。如果必须在资源配置、资源元数据或标签值中使用敏感数据，我们建议您使用 Google Cloud 中经过遮盖的标识符和 Google Cloud 外部的映射表对敏感数据进行保护。

如果您要将敏感时序数据发送到 Monitoring，则确保数据删除的唯一方法是删除您的 Google Cloud 项目。否则，时序数据只有在达到数据保留上限（目前对于用户定义的指标为 24 个月）后才会删除。

检查数据以确保合规性

您可以在 Cloud Monitoring 中手动检查数据，以确保其符合您的安全标准。

配置数据

为了确保正确遮盖配置工件（例如提醒政策）中使用的标签和过滤条件，您可以检索和检查配置数据。检查以下内容：

提醒政策，如列出和获取提醒政策中所述。基于服务等级目标的提醒政策具有引用 SLO 的过滤条件，例如：
```
filter: select_slo_burn_rate("projects/PROJECT_NUMBER/services/SERVICE_ID/serviceLevelObjectives/SLO_ID")
```
您可以通过从过滤条件向 serviceLevelObjects/get 方法提供 SLO 的完全限定名称来检索 SLO 的配置。
通知渠道，如列出项目中的通知渠道中所述。
拨测配置，如管理拨测中所述。
自定义信息中心，如列出信息中心中所述。
资源组（使用 groups.list 方法）。

指标数据

如需检查指标数据，您必须同时考虑用户定义的指标的指标描述符和针对这些描述符编写的时序数据。

指标描述符

为确保正确遮盖所有指标描述符中的显示名称、说明和标签键，请检查描述符，如列出指标描述符中所述。如需专门搜索基于日志的指标和自定义指标，请使用以下过滤条件：

对于自定义指标：metric.type = starts_with("custom.googleapis.com")
对于基于日志的指标：metric.type = starts_with("logging.googleapis.com/user")

时间序列数据

为确保时序数据本身经过正确遮盖，请检索时序数据并检查指标和资源标签的值以及其他存储的数据。请特别注意自定义指标或基于日志的指标收集的时间序列数据。如需了解如何检索时间序列数据，请参阅检索时间序列数据。