Cloud Data Loss Prevention (Cloud DLP) 現已併入機密資料保護。API 名稱維持不變：Cloud Data Loss Prevention API (DLP API)。如要瞭解構成 Sensitive Data Protection 的服務，請參閱「Sensitive Data Protection 總覽」。

本頁面由 Cloud Translation API 翻譯而成。

使用混合型工作檢查外部來源的資料

本主題說明如何使用混合型工作和混合型工作觸發條件，檢查外部資料是否含有私密資訊。如要進一步瞭解混合型工作和混合型工作觸發條件 (包括混合型環境的範例)，請參閱「混合型工作和混合型工作觸發條件」一文。

混合型工作和混合型工作觸發條件簡介

透過混合型工作和混合型工作觸發條件，您可以擴大 Sensitive Data Protection 的保護範圍，不只簡單的內容檢查要求和Google Cloud 儲存空間存放區掃描。使用混合型工作和混合型工作觸發條件，您可以將資料從幾乎任何來源 (包括外部來源) 直接串流至 Sensitive Data Protection，並讓 Sensitive Data Protection 檢查資料中的私密資訊。 Google CloudSensitive Data Protection 會自動儲存及匯總掃描結果，以供進一步分析。

比較混合型工作和混合型工作觸發條件

建立混合工作後，工作會持續執行，直到您停止為止。只要資料路徑正確且格式正確，這些端點就會接受所有傳入資料。

混合型工作觸發條件的運作方式與混合型工作類似，但您不需要在混合型工作觸發條件中明確停止工作。在每天結束時，Sensitive Data Protection 會自動停止混合型工作觸發條件內的工作。

此外，使用混合式工作觸發條件時，您可以在觸發條件內停止及啟動新工作，不必重新設定 hybridInspect 要求。舉例來說，您可以將資料傳送至混合工作觸發程序，然後停止現有工作、變更設定、在該觸發程序中啟動新工作，然後繼續將資料傳送至同一觸發程序。

如需更多有關哪種選項適合您使用案例的指引，請參閱本頁的「常見的混合檢查情境」。

字詞定義

本主題使用下列詞彙：

外部資料：儲存在外部的資料 Google Cloud ，或 Sensitive Data Protection 原生不支援的資料。
混合型工作：設定為掃描幾乎所有來源資料的檢查工作。
混合型工作觸發條件：設定為掃描幾乎任何來源資料的工作觸發條件。
hybridInspect 要求：包含要檢查的外部資料的要求。傳送這項要求時，請指定要將要求傳送至的混合式工作或混合式工作觸發程序。

如要瞭解工作和工作觸發條件的一般資訊，請參閱「工作和工作觸發條件」一文。

混合式檢查程序

混合檢查程序分為三個步驟。

選擇要傳送至 Sensitive Data Protection 的資料。

資料可能來自 Google Cloud 內部或外部。舉例來說，您可以設定自訂指令碼或應用程式，將資料傳送至 Sensitive Data Protection，以便檢查來自其他雲端服務、內部部署資料存放區或幾乎任何其他資料來源的傳輸中資料。
在 Sensitive Data Protection 中從頭開始設定混合型工作或混合型工作觸發條件，也可以使用檢查範本。

設定混合式工作或混合式工作觸發條件後，Sensitive Data Protection 會主動監聽傳送給它的資料。當自訂指令碼或應用程式將資料傳送至這項混合式工作或混合式工作觸發條件時，系統會檢查資料，並根據設定儲存結果。

設定混合式工作或混合式工作觸發條件時，您可以指定要儲存或發布調查結果的位置。選項包括儲存至 BigQuery，以及向 Pub/Sub、Cloud Monitoring 或電子郵件發布通知。
將 hybridInspect 要求傳送至混合工作或混合工作觸發條件。

hybridInspect 要求包含要掃描的資料。在要求中，加入描述內容的中繼資料 (又稱為「標籤」和「資料表 ID」)，讓 Sensitive Data Protection 識別您要追蹤的資訊。舉例來說，如果您要掃描多個要求中的相關資料 (例如同一個資料庫表格中的資料列)，可以在這些相關要求中使用相同的中繼資料。接著，您就可以收集、統計及分析該資料庫資料表的結果。

混合型工作執行及檢查要求時，Sensitive Data Protection 會產生檢查結果，相較之下，Pub/Sub 通知等動作會在應用程式結束混合式工作時才會發生。

注意事項

使用混合型工作和工作觸發條件時，請注意下列幾點：

混合型工作和混合型工作觸發條件不支援篩選和取樣。
作業和作業觸發程序不受服務等級目標 (SLO) 限制，但您可以採取一些步驟來縮短延遲時間。詳情請參閱「工作延遲時間」。

事前準備

設定及使用混合式工作或混合式工作觸發程序前，請務必完成下列事項：

建立新專案、啟用計費功能，並啟用 Sensitive Data Protection

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Make sure that billing is enabled for your Google Cloud project.

Enable the Sensitive Data Protection API.
Enable the API

設定資料來源

您必須先將資料傳送至 Sensitive Data Protection，才能讓這項服務檢查資料。無論您使用哪種方法設定混合型工作或混合型工作觸發條件，都必須設定外部來源，將資料傳送至 DLP API。

如要瞭解混合檢查要求的必要格式，請參閱「混合內容項目格式」。如要瞭解可在要求中加入哪些類型的中繼資料，請參閱「可提供的中繼資料類型」。

建立混合型工作或混合型工作觸發條件

如要讓 Sensitive Data Protection 檢查您傳送的資料，請先設定混合型工作或混合型工作觸發條件。如要瞭解該建立哪種檢查，請參閱本頁的「常見的混合檢查情境」。

控制台

前往 Google Cloud 控制台的「Create job or job trigger」(建立工作或工作觸發條件) 頁面：

前往「建立工作或工作觸發條件」

以下各節說明如何填寫「建立工作或工作觸發條件」頁面中與混合檢查作業相關的章節。

選擇輸入資料

在本節中，您將指定 Sensitive Data Protection 要檢查的輸入資料。

選用：如要為工作命名，請在「Job ID」(工作 ID) 欄位中輸入值。如果將這個欄位留空，Sensitive Data Protection 會自動產生識別碼。
選用：從「資源位置」選單中，選擇要儲存混合式工作或混合式工作觸發條件的區域。詳情請參閱「指定處理位置」。
在「儲存空間類型」部分，選取「混合」。
選用：在「Description」(說明) 中，說明您要建立的混合式工作或混合式工作觸發條件。舉例來說，您可以納入要檢查的資料來源相關資訊。
選用：如要新增必要標籤，請按一下「新增標籤」，然後輸入您希望 hybridInspect 請求提供的標籤。如果 hybridInspect 要求未指定這個標籤，這個混合式工作或混合式工作觸發條件就不會處理該要求。最多可新增 10 個必要標籤。詳情請參閱本頁面的「要求來自 hybridInspect 要求的標籤」。
選用：在「選用標籤」中，輸入要附加至傳送至這項工作或工作觸發程序的任何 hybridInspect 要求結果的鍵/值組合。最多可以新增 10 個選用標籤。詳情請參閱「選用標籤」。
選用：如要使用「表格資料選項」，請在 hybridInspect 要求中傳送表格資料，並輸入主鍵資料欄的欄位名稱。詳情請參閱表格資料選項。
按一下「繼續」。

設定偵測作業

在這個部分中，您可以指定 Sensitive Data Protection 要檢查輸入資料中的哪些類型私密/機密資料。可用的選項包括：

範本：如果您已在目前專案中建立範本，並想用來定義 Sensitive Data Protection 偵測參數，請按一下「範本名稱」欄位，然後從顯示的清單中選擇範本。
InfoTypes：Sensitive Data Protection 會選取最常見的內建 infoType 進行偵測。如要變更 infoType 或選擇要使用的自訂 infoType，請按一下「管理 infoType」。您也可以在「檢查規則集」和「信賴度門檻」部分微調偵測條件。詳情請參閱「設定偵測功能」。

設定偵測作業的參數後，按一下「繼續」。

新增動作

您可以在這個部分指定要儲存每次檢查掃描結果的位置，以及是否要在掃描完成時透過電子郵件或 Pub/Sub 通知訊息接收通知。如未將發現項目儲存至 BigQuery，掃描結果只會包含與發現項目的數量和 infoType 相關的統計資料。

儲存至 BigQuery：每次執行掃描時，Sensitive Data Protection 都會將掃描結果儲存至您在此指定的 BigQuery 表格。如果未指定資料表 ID，BigQuery 會在首次執行掃描時，為新資料表指派預設名稱。如果您指定現有的資料表，Sensitive Data Protection 會將掃描結果附加至該資料表。
發布至 Pub/Sub：工作完成後，系統會發出 Pub/Sub 訊息。

注意： 如果 Pub/Sub 主題有設定或權限問題，Sensitive Data Protection 最多會重試傳送 Pub/Sub 通知兩週。兩週後，系統會捨棄通知。
透過電子郵件通知：作業完成後，系統會傳送電子郵件訊息。
發布至 Cloud Monitoring：工作完成後，系統會將發現項目發布至 Monitoring。

選擇動作後，按一下「繼續」。

排程

在本節中，您可以指定要建立立即執行的單一工作，還是在 Sensitive Data Protection 收到經過適當路徑傳送及格式化的資料時，就執行工作觸發條件。

執行下列其中一個步驟：

如要立即執行混合式工作，請選擇「無 (建立後立即執行一次性工作)」。
如要設定工作，讓工作在收到來源資料時觸發，請選擇「建立觸發條件來定期執行工作」。

混合型工作觸發條件會匯總 API 呼叫，讓您查看發現項目的結果與趨勢隨時間變化的情形。

詳情請參閱「混合型工作和混合型工作觸發條件比較」。

查看

您可以在這裡查看掃描的 JSON 摘要。請務必記下混合式作業或混合式工作觸發條件的名稱，將資料傳送至 Sensitive Data Protection 進行檢查時，需要提供這項資訊。

查看 JSON 摘要後，按一下「建立」。

Sensitive Data Protection 會立即啟動混合型工作或混合型工作觸發條件。當您傳送hybridInspect要求給這個混合型工作或混合型工作觸發條件時，系統就會開始檢查掃描。

API

工作在 DLP API 中會以 DlpJobs 資源表示。如要建立混合工作，請呼叫 projects.locations.dlpJobs.create 方法。

工作觸發條件在 DLP API 中會以 JobTrigger 資源表示。如要建立混合工作觸發程序，請呼叫 projects.locations.jobTriggers.create 方法。

您建立的 DlpJobs 或 JobTrigger 物件必須具備下列設定：

在 inspectJob 欄位中，設定 InspectJobConfig 物件。
在 InspectJobConfig 物件的 storageConfig 欄位中，設定 StorageConfig 物件。
在 StorageConfig 物件的 hybridOptions 欄位中，設定 HybridOptions 物件。這個物件包含您要檢查的資料相關中繼資料。
在 InspectJobConfig 物件的 actions 欄位中，加入您希望 Sensitive Data Protection 在每個工作結束時執行的任何動作 (Action)。

這項作業不支援 publishSummaryToCscc 和 publishFindingsToCloudDataCatalog 動作。如要進一步瞭解動作，請參閱「動作」。
執行下列一或多項操作，指定要掃描的內容和掃描方式：
- 將 inspectTemplateName 欄位設為要使用的檢查範本完整資源名稱 (如有)。
- 設定 inspectConfig 欄位。
如果同時設定 inspectTemplateName 和 inspectConfig 欄位，系統會合併兩者的設定。

JSON 範例簡介

以下分頁包含 JSON 範例，您可以傳送至 Sensitive Data Protection，建立混合型工作或混合型工作觸發條件。這些混合型工作和混合型工作觸發條件範例的設定如下：

如果要求有 appointment-bookings-comments 標籤，請處理任何 hybridInspect 要求。
掃描「電子郵件地址」hybridInspect要求中的內容。
將 "env": "prod" 標籤附加至發現項目。
如果是表格資料，請取得 booking_id 欄 (主鍵) 中與找到私密資料的儲存格位於同一列的儲存格值。Sensitive Data Protection 會將這個 ID 附加至發現項目，方便您追蹤發現項目來自的特定資料列。
在作業停止時傳送電子郵件。電子郵件會傳送給 IAM 專案擁有者和技術重要聯絡人。
工作停止時，將結果傳送至 Cloud Monitoring。

如要查看 JSON 範例，請參閱下列分頁。

混合型工作

這個分頁包含 JSON 範例，可用於建立混合式工作。

如要建立混合工作，請將 POST 要求傳送至下列端點。

HTTP 方法和網址

POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/dlpJobs

更改下列內容：

PROJECT_ID：您要儲存混合式作業的專案 ID。
REGION：要儲存混合工作職缺的地理區域。

JSON 輸入

{
  "jobId": "postgresql-table-comments",
  "inspectJob": {
    "actions": [
      {
        "jobNotificationEmails": {}
      },
      {
        "publishToStackdriver": {}
      }
    ],
    "inspectConfig": {
      "infoTypes": [
        {
          "name": "EMAIL_ADDRESS"
        }
      ],
      "minLikelihood": "POSSIBLE",
      "includeQuote": true
    },
    "storageConfig": {
      "hybridOptions": {
        "description": "Hybrid job for data from the comments field of a table that contains customer appointment bookings",
        "requiredFindingLabelKeys": [
          "appointment-bookings-comments"
        ],
        "labels": {
          "env": "prod"
        },
        "tableOptions": {
          "identifyingFields": [
            {
              "name": "booking_id"
            }
          ]
        }
      }
    }
  }
}

JSON 輸出

{
"name": "projects/PROJECT_ID/locations/REGION/dlpJobs/i-postgresql-table-comments",
"type": "INSPECT_JOB",
"state": "ACTIVE",
"inspectDetails": {
  "requestedOptions": {
    "snapshotInspectTemplate": {},
    "jobConfig": {
      "storageConfig": {
        "hybridOptions": {
          "description": "Hybrid job for data from the comments field of a table that contains customer appointment bookings",
          "requiredFindingLabelKeys": [
            "appointment-bookings-comments"
          ],
          "labels": {
            "env": "prod"
          },
          "tableOptions": {
            "identifyingFields": [
              {
                "name": "booking_id"
              }
            ]
          }
        }
      },
      "inspectConfig": {
        "infoTypes": [
          {
            "name": "EMAIL_ADDRESS"
          }
        ],
        "minLikelihood": "POSSIBLE",
        "limits": {},
        "includeQuote": true
      },
      "actions": [
        {
          "jobNotificationEmails": {}
        },
        {
          "publishToStackdriver": {}
        }
      ]
    }
  },
  "result": {
    "hybridStats": {}
  }
},
"createTime": "JOB_CREATION_DATETIME",
"startTime": "JOB_START_DATETIME"
}

Sensitive Data Protection 會建立混合式工作並產生工作 ID。在本範例中，工作 ID 為 i-postgresql-table-comments。記下工作 ID。您需要在 hybridInspect 要求中提供這項資訊。

如要停止混合工作，您必須明確呼叫 projects.locations.dlpJobs.finish 方法。DLP API 不會自動停止混合式工作。相較之下，DLP API 會在每天結束時，自動停止混合式工作觸發條件內的工作。

混合型工作觸發條件

這個分頁包含 JSON 範例，可用於建立混合式工作觸發程序。

如要建立混合式工作觸發條件，請將 POST 要求傳送至下列端點。

HTTP 方法和網址

POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/jobTriggers

更改下列內容：

PROJECT_ID：您要儲存混合式工作觸發條件的專案 ID。
REGION：要儲存混合工作觸發程序的地理區域。

JSON 輸入

{
    "triggerId": "postgresql-table-comments",
    "jobTrigger": {
      "triggers": [
        {
          "manual": {}
        }
      ],
      "inspectJob": {
        "actions": [
          {
            "jobNotificationEmails": {}
          },
          {
            "publishToStackdriver": {}
          }
        ],
        "inspectConfig": {
          "infoTypes": [
              {
                "name": "EMAIL_ADDRESS"
              }
          ],
          "minLikelihood": "POSSIBLE",
          "limits": {},
          "includeQuote": true
        },
        "storageConfig": {
          "hybridOptions": {
            "description": "Hybrid job trigger for data from the comments field of a table that contains customer appointment bookings",
            "requiredFindingLabelKeys": [
                "appointment-bookings-comments"
              ],
            "labels": {
              "env": "prod"
            },
            "tableOptions": {
              "identifyingFields": [
                {
                  "name": "booking_id"
                }
              ]
            }
          }
        }
      }
    }
  }

JSON 輸出

{
"name": "projects/PROJECT_ID/locations/REGION/jobTriggers/postgresql-table-comments",
"inspectJob": {
  "storageConfig": {
    "hybridOptions": {
      "description": "Hybrid job trigger for data from the comments field of a table that contains customer appointment bookings",
      "requiredFindingLabelKeys": [
        "appointment-bookings-comments"
      ],
      "labels": {
        "env": "prod"
      },
      "tableOptions": {
        "identifyingFields": [
          {
            "name": "booking_id"
          }
        ]
      }
    }
  },
  "inspectConfig": {
    "infoTypes": [
      {
        "name": "EMAIL_ADDRESS"
      }
    ],
    "minLikelihood": "POSSIBLE",
    "limits": {},
    "includeQuote": true
  },
  "actions": [
    {
      "jobNotificationEmails": {}
    },
    {
      "publishToStackdriver": {}
    }
  ]
},
"triggers": [
  {
    "manual": {}
  }
],
"createTime": ""JOB_CREATION_DATETIME",
"updateTime": "TRIGGER_UPDATE_DATETIME",
"status": "HEALTHY"
}

Sensitive Data Protection 會建立混合型工作觸發條件。輸出內容包含混合工作觸發條件的名稱。在本例中，該值為 postgresql-table-comments。請記下名稱，您需要在hybridInspect要求中提供這項資訊。

與混合式工作不同，DLP API 會在每天結束時，自動停止混合式工作觸發條件內的工作。因此，您不需要明確呼叫 projects.locations.dlpJobs.finish 方法。

建立混合式工作或混合式工作觸發條件時，您可以使用下列 API 參考頁面上的 APIs Explorer：

在「Request parameters」(要求參數) 欄位中，輸入 projects/PROJECT_ID/locations/REGION。然後，在「Request body」(要求主體) 欄位中，貼上您要建立物件的範例 JSON。

即使在 API Explorer 中建立，成功提出的要求仍會建立混合工作或混合工作觸發條件。

如要瞭解如何透過 JSON 將要求傳送至 DLP API 的一般資訊，請參閱 JSON 快速入門。

將資料傳送至混合型工作或混合型工作觸發條件

如要檢查資料，您必須以正確格式將 hybridInspect 要求傳送至混合型工作或混合型工作觸發條件。

混合內容項目格式

以下是傳送至 Sensitive Data Protection 的 hybridInspect 要求簡單範例，供混合型工作或混合型工作觸發條件處理。請注意 JSON 物件的結構，包括 hybridItem 欄位，其中包含下列欄位：

item：包含要檢查的實際內容。
findingDetails：包含要與內容建立關聯的中繼資料。

{
  "hybridItem": {
    "item": {
      "value": "My email is test@example.org"
    },
    "findingDetails": {
      "containerDetails": {
        "fullPath": "10.0.0.2:logs1:app1",
        "relativePath": "app1",
        "rootPath": "10.0.0.2:logs1",
        "type": "logging_sys",
        "version": "1.2"
      },
      "labels": {
        "env": "prod",
        "appointment-bookings-comments": ""
      }
    }
  }
}

如要進一步瞭解混合檢查項目內容，請參閱 HybridContentItem 物件的 API 參考資料內容。

混合式檢查端點

如要使用混合型工作或混合型工作觸發條件檢查資料，請將 hybridInspect 要求傳送至正確的端點。

混合式作業的 HTTP 方法和網址

POST https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/dlpJobs/JOB_ID:hybridInspect

如要進一步瞭解這個端點，請參閱 projects.locations.dlpJobs.hybridInspect 方法的 API 參考頁面。

混合式工作觸發條件的 HTTP 方法和網址

https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/jobTriggers/TRIGGER_NAME:hybridInspect

如要進一步瞭解這個端點，請參閱 projects.locations.jobTriggers.hybridInspect 方法的 API 參考頁面。

更改下列內容：

PROJECT_ID：您的專案 ID。
REGION：您要儲存 hybridInspect 要求的地理區域。這個區域必須與混合式作業的區域相同。
JOB_ID：您為混合工作提供的 ID，前置字串為 i-。

如要查詢工作 ID，請在敏感資料保護中，依序點選「檢查」>「檢查工作」。
TRIGGER_NAME：您為混合工作觸發條件指定的名稱。

如要查詢工作觸發條件的名稱，請在 Sensitive Data Protection 中，依序點選「檢查」> 工作觸發條件。

要求 `hybridInspect` 要求的標籤

如要控管混合型工作或混合型工作觸發條件可處理的要求，可以設定必要標籤。hybridInspect 如果混合型工作或混合型工作觸發條件的任何 hybridInspect 要求未包含這些必要標籤，就會遭到拒絕。

如要設定必要標籤，請按照下列步驟操作：

建立混合工作或混合工作觸發條件時，請將 requiredFindingLabelKeys 欄位設為必要標籤清單。

以下範例會在混合式工作或混合式工作觸發條件中，將 appointment-bookings-comments 設為必要標籤。
```
"hybridOptions": {
  ...
  "requiredFindingLabelKeys": [
    "appointment-bookings-comments"
  ],
  "labels": {
    "env": "prod"
  },
  ...
}
```

在 hybridInspect 要求中，於 labels 欄位中，將每個必要標籤新增為鍵值組合中的鍵。對應值可以是空字串。

下列範例會在 hybridInspect 要求中設定必要標籤 appointment-bookings-comments。

{
  "hybridItem": {
    "item": {
      "value": "My email is test@example.org"
    },
    "findingDetails": {
      "containerDetails": {...},
      "labels": {
        "appointment-bookings-comments": ""
      }
    }
  }
}

如果 hybridInspect 要求未包含必要標籤，您會收到類似下列內容的錯誤訊息：

{
  "error": {
    "code": 400,
    "message": "Trigger required labels that were not included: [appointment-bookings-comments]",
    "status": "INVALID_ARGUMENT"
  }
}