Desidentifica y reidentifica datos sensibles

Paso 1: Crea un llavero de claves y una clave

Antes de comenzar con este procedimiento, decide dónde deseas que Sensitive Data Protection procese tus solicitudes de desidentificación y reidentificación. Cuando creas una clave de Cloud KMS, debes almacenarla en global o en la misma región que usarás para tus solicitudes de Protección de datos sensibles. De lo contrario, las solicitudes de Protección de datos sensibles fallarán.

Puedes encontrar una lista de ubicaciones compatibles en Ubicaciones de Protección de datos sensibles. Anota el nombre de la región que elegiste (por ejemplo, us-west1).

En este procedimiento, se usa global como la ubicación para todas las solicitudes a la API. Si quieres usar una región diferente, reemplaza global por el nombre de la región.

1. Crea un llavero de claves

   gcloud kms keyrings create "dlp-keyring" \
       --location "global"
   

2. Crea una clave:

   gcloud kms keys create "dlp-key" \
       --location "global" \
       --keyring "dlp-keyring" \
       --purpose "encryption"
   

3. Enumera el llavero de claves y la clave:

   gcloud kms keys list \
       --location "global" \
       --keyring "dlp-keyring"
   

   Obtendrás el siguiente resultado:

   NAME                                                                                   PURPOSE          ALGORITHM                    PROTECTION_LEVEL  LABELS  PRIMARY_ID  PRIMARY_STATE
   projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key  ENCRYPT_DECRYPT  GOOGLE_SYMMETRIC_ENCRYPTION  SOFTWARE                  1           ENABLED
   

   En este resultado, PROJECT_ID es el ID de tu proyecto.

   La ruta en NAME es el nombre completo del recurso de tu clave de Cloud KMS. Anota esto, puesto que las solicitudes de desidentificación y reidentificación lo requieren.

Paso 2: Crea una clave AES codificada en base64

En esta sección, se describe cómo crear una clave del Estándar de encriptación avanzada (AES) y codificarla en formato base64.

1. Crea una clave AES de 128, 192 o 256 bits. El siguiente comando utiliza openssl para crear una clave de 256 bits en el directorio actual:

   openssl rand -out "./aes_key.bin" 32
   

   El archivo aes_key.bin se agrega a tu directorio actual.

2. Codifica la clave AES como una string de base64:

   base64 -i ./aes_key.bin
   

   Obtendrás un resultado similar al siguiente:

   uEDo6/yKx+zCg2cZ1DBwpwvzMVNk/c+jWs7OwpkMc/s=
   

Paso 3: Une la clave AES con la clave de Cloud KMS

En esta sección, se describe cómo usar la clave de Cloud KMS que creaste en el Paso 1 para unir la clave AES codificada en base64 que creaste en el Paso 2.

Para unir la clave AES, usa curl a fin de enviar la siguiente solicitud a la API de Cloud KMS projects.locations.keyRings.cryptoKeys.encrypt:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key:encrypt" \
  --request "POST" \
  --header "Authorization:Bearer $(gcloud auth application-default print-access-token)" \
  --header "content-type: application/json" \
  --data "{\"plaintext\": \"BASE64_ENCODED_AES_KEY\"}"

Reemplaza lo siguiente:

• PROJECT_ID: es el ID de tu proyecto.
• BASE64_ENCODED_AES_KEY: la string codificada en base64 que se muestra en el Paso 2.

La respuesta que obtienes de Cloud KMS es similar al siguiente código JSON:

{
  "name": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key/cryptoKeyVersions/1",
  "ciphertext": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
  "ciphertextCrc32c": "901327763",
  "protectionLevel": "SOFTWARE"
}

En este resultado, PROJECT_ID es el ID de tu proyecto.

Anota el valor de ciphertext en la respuesta que obtienes. Esa es tu clave unida.

Paso 4: Envía una solicitud de desidentificación a la API de DLP

En esta sección, se describe cómo desidentificar datos sensibles en contenidos de texto.

Para completar esta tarea, necesitas lo siguiente:

• El nombre completo del recurso de la clave de Cloud KMS que creaste en el Paso 1
• La clave vinculada que creaste en el Paso 3

En esta sección, debes guardar la solicitud de ejemplo en un archivo JSON. Si usas Cloud Shell, puedes usar el editor de Cloud Shell para crear el archivo. Para iniciar el editor, haz clic en edit Abrir editor launch en la barra de herramientas de la ventana de Cloud Shell.

Para desidentificar datos sensibles en el contenido de texto, sigue estos pasos:

1. Crea un archivo de solicitud JSON con el siguiente texto.

   {
     "item": {
       "value": "My name is Alicia Abernathy, and my email address is aabernathy@example.com."
     },
     "deidentifyConfig": {
       "infoTypeTransformations": {
         "transformations": [
           {
             "infoTypes": [
               {
                 "name": "EMAIL_ADDRESS"
               }
             ],
             "primitiveTransformation": {
               "cryptoDeterministicConfig": {
                 "cryptoKey": {
                   "kmsWrapped": {
                     "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key",
                     "wrappedKey": "WRAPPED_KEY"
                   }
                 },
                 "surrogateInfoType": {
                   "name": "EMAIL_ADDRESS_TOKEN"
                 }
               }
             }
           }
         ]
       }
     },
     "inspectConfig": {
       "infoTypes": [
         {
           "name": "EMAIL_ADDRESS"
         }
       ]
     }
   }
   

   Reemplaza lo siguiente:

   • PROJECT_ID: Es el ID de tu proyecto.
   • WRAPPED_KEY: Es la clave unida que creaste en el Paso 3.

   Asegúrate de que el valor resultante de cryptoKeyName forma el nombre completo del recurso de tu clave de Cloud KMS.

   Para obtener más información sobre los componentes de esta solicitud JSON, consulta projects.locations.content.deidentify. Después de completar esta guía de inicio rápido, intenta experimentar con diferentes entradas para esta solicitud. Puedes usar curl como se describe aquí. Como alternativa, puedes usar el Explorador de API en esa página de referencia de la API en Probar esta API.

2. Guarda el archivo como deidentify-request.json.

3. Usa curl para realizar una solicitud projects.locations.content.deidentify:

   curl -s \
   -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
   -H "Content-Type: application/json" \
   https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/global/content:deidentify \
   -d @deidentify-request.json
   

   Reemplaza PROJECT_ID por el ID de tu proyecto.

   Para pasar un nombre de archivo a curl, se usa la opción -d (para datos) y se incluye un signo @ antes del nombre. Este archivo debe estar en el mismo directorio en el que ejecutaste el comando curl.

   La respuesta que obtienes de la Protección de datos sensibles es similar al siguiente código JSON:

   {
    "item": {
      "value": "My name is Alicia Abernathy, and my email address is EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q."
    },
    "overview": {
      "transformedBytes": "22",
      "transformationSummaries": [
        {
          "infoType": {
            "name": "EMAIL_ADDRESS"
          },
          "transformation": {
            "cryptoDeterministicConfig": {
              "cryptoKey": {
                "kmsWrapped": {
                  "wrappedKey": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
                  "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key"
                }
              },
              "surrogateInfoType": {
                "name": "EMAIL_ADDRESS_TOKEN"
              }
            }
          },
          "results": [
            {
              "count": "1",
              "code": "SUCCESS"
            }
          ],
          "transformedBytes": "22"
        }
      ]
    }
   }
   

   En el campo item, la dirección de correo electrónico se reemplaza por un token como EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q. Para volver a identificar este contenido, debes pasar todo el token en la solicitud de nueva identificación.

Paso 5: Envía una solicitud de nueva identificación a la API de DLP

En esta sección, se describe cómo volver a identificar los datos tokenizados en el contenido de texto.

Para completar esta tarea, necesitas lo siguiente:

• El nombre completo del recurso de la clave de Cloud KMS que creaste en el Paso 1
• La clave vinculada que creaste en el Paso 3
• El token que recibiste en el Paso 4

Para volver a identificar el contenido tokenizado, sigue estos pasos:

1. Crea un archivo de solicitud JSON con el siguiente texto.

   {
     "reidentifyConfig":{
       "infoTypeTransformations":{
         "transformations":[
           {
             "infoTypes":[
               {
                 "name":"EMAIL_ADDRESS_TOKEN"
               }
             ],
             "primitiveTransformation":{
               "cryptoDeterministicConfig":{
                 "cryptoKey":{
                 "kmsWrapped": {
                   "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key",
                   "wrappedKey": "WRAPPED_KEY"
                 }
               },
                 "surrogateInfoType":{
                   "name":"EMAIL_ADDRESS_TOKEN"
                 }
               }
             }
           }
         ]
       }
     },
     "inspectConfig":{
       "customInfoTypes":[
         {
           "infoType":{
             "name":"EMAIL_ADDRESS_TOKEN"
           },
           "surrogateType":{
   
           }
         }
       ]
     },
     "item":{
       "value": "My name is Alicia Abernathy, and my email address is TOKEN."
     }
   }
   

   Reemplaza lo siguiente:

   • PROJECT_ID: Es el ID de tu proyecto.
   • WRAPPED_KEY: Es la clave unida que creaste en el Paso 3.
   • TOKEN: El token que recibiste en el Paso 4, por ejemplo, EMAIL_ADDRESS_TOKEN(52):AVAx2eIEnIQP5jbNEr2j9wLOAd5m4kpSBR/0jjjGdAOmryzZbE/q.

   Asegúrate de que el valor resultante de cryptoKeyName forma el nombre completo del recurso de tu clave de Cloud KMS.

   Para obtener más información sobre los componentes de esta solicitud JSON, consulta projects.locations.content.reidentify. Después de completar esta guía de inicio rápido, intenta experimentar con diferentes entradas para esta solicitud. Puedes usar curl como se describe aquí. Como alternativa, puedes usar el Explorador de API en esa página de referencia de la API en Probar esta API.

2. Guarda el archivo como reidentify-request.json.

3. Usa curl para realizar una solicitud projects.locations.content.reidentify:

   curl -s \
   -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
   -H "Content-Type: application/json" \
   https://dlp.googleapis.com/v2/projects/PROJECT_ID/locations/global/content:reidentify \
   -d @reidentify-request.json
   

   Reemplaza PROJECT_ID por el ID de tu proyecto.

   Para pasar un nombre de archivo a curl, se usa la opción -d (para datos) y se incluye un signo @ antes del nombre. Este archivo debe estar en el mismo directorio en el que ejecutaste el comando curl.

   La respuesta que obtienes de la Protección de datos sensibles es similar al siguiente código JSON:

   {
    "item": {
      "value": "My name is Alicia Abernathy, and my email address is aabernathy@example.com."
    },
    "overview": {
      "transformedBytes": "70",
      "transformationSummaries": [
        {
          "infoType": {
            "name": "EMAIL_ADDRESS"
          },
          "transformation": {
            "cryptoDeterministicConfig": {
              "cryptoKey": {
                "kmsWrapped": {
                  "wrappedKey": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
                  "cryptoKeyName": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key"
                }
              },
              "surrogateInfoType": {
                "name": "EMAIL_ADDRESS_TOKEN"
              }
            }
          },
          "results": [
            {
              "count": "1",
              "code": "SUCCESS"
            }
          ],
          "transformedBytes": "70"
        }
      ]
    }
   }
   

   En el campo item, el token de dirección de correo electrónico se reemplaza por la dirección de correo electrónico real del texto original.

   Acabas de desidentificar y reidentificar datos sensibles en el contenido de texto con encriptación determinista.