此页面由 Cloud Translation API 翻译。

保护静态数据

本文档介绍 Cloud Monitoring 中静态数据的加密政策，以及您为了确保敏感客户数据受到保护可以执行的步骤。

本文档适用于必须符合数据安全要求的客户。

静态数据加密

Cloud Monitoring 中的所有静态数据均使用 Google 管理的加密密钥。如需了解详情，请参阅默认静态加密。

Cloud Monitoring 不支持使用客户管理的加密密钥 (CMEK) 来保护静态数据。默认情况下监控不会存储敏感数据用于个人身份信息 (PII) 或其他私人客户的信息内容。您可以使用 Monitoring 存储汇总、无法识别的用户活动数据或基于二阶事件的汇总数据请求数量和其他类似指标等信息

但是，您可能会无意中在 Monitoring 的一些位置插入敏感客户数据。由于 Cloud Monitoring 会存储元数据和资源标签，因此当您在 Google Kubernetes Engine 中为配置命名或执行元数据操作（例如为资源添加标签、为实例添加注释或使用自定义资源定义 (CRD) 存储自定义资源）时，客户数据可能会进入 Monitoring。

本文档的其余部分介绍了此类数据可能插入的位置，以及如何查找此类数据的捕获。

可能的插入点

下表介绍了敏感数据可能会发送到 Cloud Monitoring 中的位置。

	Google 生成的数据，例如系统定义的指标和内置信息中心	客户生成的数据例如自定义指标或基于日志的指标和自定义信息中心
资源标签	根据客户数据（例如虚拟机）派生的值实例名称，也可以独立于客户数据（例如项目编号）	包含敏感数据的值，例如尚未发布的硬件的名称
指标标签	派生自客户数据的值（例如虚拟机实例名称）或与客户数据无关的值（例如项目编号）	键，例如表明存在某种软件的特定维度包含敏感数据的值，例如尚未发布的硬件
时序中的数据点	无法执行任何操作；无法遮盖	用户定义的指标（自定义指标和基于日志的指标）中的时间序列可能会包含敏感的客户数据收集这些数据。
指标描述符	无法执行任何操作；无法遮盖	显示名说明标签键，例如表明存在某种软件的特定维度
提醒政策	无法执行任何操作；无法遮盖	政策和嵌入条件的显示名称用于按特定时序过滤提醒的标签键和值作为文档提供的信息如果您的政策基于服务等级目标，则其配置可能包括：显示名用户指定的标签键和值
信息中心	无法执行任何操作；无法遮盖	显示名信息中心上的项文本用于为信息中心上的图表和其他项选择时序数据的过滤条件和其他查询维度
通知渠道	无法执行任何操作；无法遮盖	显示名说明用于定义渠道的标签和值
资源组	无法执行任何操作；无法遮盖	显示名用于指定群组成员资格的过滤条件
拨测	无法执行任何操作；无法遮盖	显示名 IP 地址、路径任何可选的内容匹配器字符串
指标范围	不适用	仅元数据

保护敏感元数据

如果您希望所有数据都受 CMEK 保护，则不应在 Google Cloud 的资源配置或元数据中添加敏感信息。如果必须在资源配置、资源元数据或标签值中使用敏感数据，我们建议您使用 Google Cloud 中经过遮盖的标识符和 Google Cloud 外部的映射表对敏感数据进行保护。

如果您要将敏感时序数据发送到 Monitoring，则确保数据删除的唯一方法是删除您的 Google Cloud 项目。否则，系统只会删除时间序列数据数据保留期结束后对于用户定义的指标，为 24 个月。

检查数据以确保合规性

您可以在 Cloud Monitoring 中手动检查数据，以确保符合安全标准

配置数据

为了确保像提醒政策均经过适当模糊处理后配置数据检查以下内容：

提醒政策，具体说明请参阅列出并获取提醒政策。基于服务等级目标的提醒政策具有引用 SLO 的过滤条件，例如：
```
filter: select_slo_burn_rate("projects/PROJECT_NUMBER/services/SERVICE_ID/serviceLevelObjectives/SLO_ID")
```
您可以通过从过滤条件向 serviceLevelObjects/get 方法提供 SLO 的完全限定名称来检索 SLO 的配置。
通知渠道，如列出项目中的通知渠道中所述。
拨测配置，如管理拨测。
自定义信息中心，如列表信息中心中所述。
使用 groups.list 方法实现资源组。

指标数据

如需检查指标数据，您必须同时考虑用户定义的指标的指标描述符和针对这些描述符编写的时序数据。

指标描述符

要确保所有指标中的显示名称、说明和标签键描述符被适当遮盖后，请检查描述符，如列出指标描述符。

如需搜索自定义指标，请使用以下过滤条件： metric.type = starts_with("custom.googleapis.com")
如需搜索基于日志的指标，请使用以下过滤条件：metric.type = starts_with("logging.googleapis.com/user")

时间序列数据

为确保时序数据本身经过正确遮盖，请检索时序数据并检查指标和资源标签的值以及其他存储的数据。请特别注意自定义指标或基于日志的指标。如需了解如何检索时间序列数据，请参阅检索时间序列数据。