对组织或文件夹中的 Cloud SQL 数据进行性能分析

本页面介绍了如何在组织或文件夹级层配置 Cloud SQL 数据发现。如果您想分析某个项目，请参阅分析单个项目中的 Cloud SQL 数据。

如需详细了解发现服务，请参阅数据配置文件。

工作原理

以下是剖析 Cloud SQL 数据的高级工作流程：

  1. 创建扫描配置。

    创建扫描配置后，Sensitive Data Protection 会开始识别您的 Cloud SQL 实例，并为每个实例创建默认连接。此过程可能需要几个小时，具体取决于发现范围内的实例数量。您可以退出Google Cloud 控制台，稍后再检查连接。

  2. 向与扫描配置关联的服务代理授予所需的 IAM 角色。

  3. 默认连接准备就绪后，请使用正确的数据库用户凭据更新每个连接，以授予 Sensitive Data Protection 对 Cloud SQL 实例的访问权限。您可以提供现有的数据库用户账号，也可以创建数据库用户。

  4. 建议：增加 Sensitive Data Protection 可用于分析数据的最大连接数。增加连接数可以加快发现速度。

支持的服务

此功能支持以下各项：

  • Cloud SQL for MySQL
  • Cloud SQL for PostgreSQL

不支持 Cloud SQL for SQL Server。

处理和存储区域

Sensitive Data Protection 是一项区域级和多区域级服务，不会区分可用区。当 Sensitive Data Protection 服务对 Cloud SQL 实例进行分析时，数据会在其当前区域（但不一定在其当前可用区）中进行处理。例如，如果 Cloud SQL 实例存储在 us-central1-a 可用区中，则 Sensitive Data Protection 会在 us-central1 区域中处理和存储数据剖析结果。

如需了解详情，请参阅数据驻留注意事项。

准备工作

  1. 确认您拥有在组织级层配置数据剖析文件所需的 IAM 权限。

    如果您没有 Organization Administrator (roles/resourcemanager.organizationAdmin) 或 Security Admin (roles/iam.securityAdmin) 角色，您仍然可以创建扫描配置。不过，创建扫描配置后，必须由拥有上述任一角色的人员向您的服务代理授予数据剖析访问权限。

  2. 您必须在每个包含要剖析的数据的区域中都有一个检查模板。如果您想在多个区域中使用单个模板，可以使用存储在 global 区域中的模板。如果组织政策禁止您在 global 区域中创建检查模板，则您必须为每个区域设置专用检查模板。如需了解详情，请参阅数据驻留注意事项。

    此任务仅允许您在 global 区域中创建检查模板。 如果您需要为一个或多个区域创建专用检查模板，则必须先创建这些模板，然后再执行此任务。

  3. 如需在发生特定事件（例如敏感数据保护分析新表）时向主题发送 Pub/Sub 通知，请在执行此任务之前创建 Pub/Sub 主题。

  4. 您可以将 Sensitive Data Protection 配置为自动将标记附加到资源。借助此功能，您可以根据这些资源的计算敏感度级别有条件地授予访问权限。如果您想使用此功能，必须先完成根据数据敏感度控制对资源的 IAM 访问权限中的任务。

  5. 您可以配置 Sensitive Data Protection，使其根据发现的数据洞见自动将方面附加到已分析的 Cloud SQL 资源。如果您想使用此功能，必须在 Cloud SQL for MySQL 实例或 Cloud SQL for PostgreSQL 实例上启用通用目录集成。

如需生成数据剖析文件，您需要在服务代理容器中创建服务代理容器和服务代理。借助此任务，您可以自动创建这些资源。

创建扫描配置

  1. 转到创建扫描配置页面。

    转到“创建扫描配置”

  2. 前往您的组织。在工具栏上，点击项目选择器，然后选择您的组织。

以下部分详细介绍了创建扫描配置页面中的各个步骤。在每个部分结束时，点击继续。

选择发现类型

选择 Cloud SQL。

选择范围

执行下列其中一项操作：

  • 如需在组织级层配置分析，请选择扫描整个组织。
  • 如需在文件夹级层配置分析，请选择扫描所选文件夹。点击浏览，然后选择相应文件夹。

管理时间表

如果默认分析频率符合您的需求，您可以跳过创建扫描配置页面的这一部分。

配置此部分的原因如下：

  • 对所有数据或特定数据子集的分析频率进行精细调整。
  • 用于指定您不想分析的表。
  • 指定您不想多次分析的表。

如需对性能分析频率进行精细调整，请按以下步骤操作：

  1. 点击添加日程。

  2. 在过滤条件部分中，您可以定义一个或多个过滤条件，以指定哪些表在相应时间表的范围内。如果某个表与至少一个已定义的过滤条件匹配，则该表会被视为在相应时间表的范围内。

    如需配置过滤条件，请至少指定以下一项：

    • 项目 ID 或用于指定一个或多个项目的正则表达式。
    • 实例 ID 或用于指定一个或多个实例的正则表达式。
    • 数据库 ID 或用于指定一个或多个数据库的正则表达式。
    • 表 ID 或指定一个或多个表的正则表达式。 在数据库资源名称或正则表达式字段中输入此值。

    正则表达式必须遵循 RE2 语法。

    例如，如果您希望将数据库中的所有表都纳入过滤条件，请在数据库 ID 字段中输入数据库 ID。

    如需匹配过滤条件，表必须满足相应过滤条件中指定的所有正则表达式。

    如果您想添加更多过滤条件，请点击添加过滤条件，然后重复此步骤。

  3. 点击频次。

  4. 在频率部分，指定发现服务是否应分析所选表，以及分析频率：

    • 如果您不希望系统分析这些表，请关闭分析此数据。

    • 如果您希望至少对表进行一次分析，请保持分析此数据处于开启状态。

      在此部分的后续字段中，您可以指定系统是否应重新分析您的数据，以及哪些事件应触发重新分析操作。如需了解详情，请参阅生成数据剖析的频率。

      1. 对于按时间安排，请指定您希望重新分析表的频率。无论表是否发生任何更改，系统都会重新分析这些表。
      2. 对于架构更改时，请指定敏感数据保护功能应以多高的频率检查所选表在上次分析后是否发生了架构更改。系统只会重新剖析存在架构更改的表。
      3. 对于架构更改类型，请指定哪些类型的架构更改应触发重新分析操作。选择以下选项之一：
        • 新列：重新分析添加了新列的表。
        • 移除的列：重新分析已移除列的表。

        例如，假设您有每天都会添加新列的表，并且每次都需要分析这些表的内容。 您可以将架构更改时设置为每日重新分析，并将架构更改类型设置为新列。

      4. 对于检查模板发生更改时，请指定您是否希望在关联的检查模板更新时重新分析数据，如果希望，请指定重新分析的频率。

        当发生以下任一情况时，系统会检测到检查模板发生了更改：

        • 扫描配置中的检查模板名称发生更改。
        • 检查模板的 updateTime 发生变化。

        5. 例如，如果您为 us-west1 区域设置了检查模板，并且您更新了该检查模板，则只有 us-west1 区域中的数据会被重新分析。

  5. 点击条件。

    在条件部分中，您可以指定要分析的数据库资源类型。默认情况下，Sensitive Data Protection 会分析所有受支持的数据库资源类型。随着 Sensitive Data Protection 增加对更多数据库资源类型的支持，这些类型也会自动进行分析。

  6. 可选：如果您想明确设置要分析的数据库资源类型，请按以下步骤操作：

    1. 点击数据库资源类型字段。
    2. 选择要分析的数据库资源类型。

    如果 Sensitive Data Protection 稍后添加了对更多 Cloud SQL 数据库资源类型的发现支持，那么只有当您返回此列表并选择这些类型时，系统才会对这些类型进行分析。

  7. 点击完成。

  8. 可选：如需添加更多安排，请点击添加安排，然后重复上述步骤。

  9. 如需指定各个安排之间的优先级，请使用 向上箭头和 向下箭头重新排序。

    时间表的顺序指定了如何解决时间表之间的冲突。如果某个表同时符合两个不同调度中的过滤条件，则调度列表中的较高调度会决定该表的分析频率。

  10. 可选：修改或关闭兜底时间安排。

    列表中的最后一个时间表是包罗万象的时间表。此时间表涵盖所选范围内的所有表，但这些表与您创建的任何时间表都不匹配。包罗万象的时间表遵循系统默认的剖析频率。

    • 如需调整“全部”时间表，请点击 修改时间表，然后根据需要调整设置。
    • 如需防止 Sensitive Data Protection 分析全盘扫描时间表涵盖的任何资源，请关闭对与任何自定义时间表都不匹配的资源进行分析。

选择检查模板

根据您希望提供检查配置的方式，选择以下选项之一。无论您选择哪个选项，敏感数据保护都会扫描数据存储区域中的数据。也就是说，您的数据不会离开其原始区域。

选项 1：创建检查模板

如果您想在 global 区域中创建新的检查模板，请选择此选项。

  1. 点击创建新的检查模板。

  2. 可选：如需修改默认选择的 infoType，请点击管理 infoType。

    如需详细了解如何管理内置和自定义 infoType，请参阅通过Google Cloud 控制台管理 infoType。

    您必须至少选择一种 infoType 才能继续。

  3. 可选：通过添加规则集并设置置信度阈值，进一步配置检查模板。如需了解详情，请参阅配置检测。

Sensitive Data Protection 创建扫描配置时，会将此新检查模板存储在 global 区域中。

方法 2：使用现有的检查模板

如果您有想要使用的现有检查模板，请选择此选项。

  1. 点击选择现有的检查模板。
  2. 输入您要使用的检查模板的完整资源名称。 区域字段会自动填充检查模板的存储区域名称。

    您输入的检查模板必须与要剖析的数据位于同一区域。

    为了遵循数据驻留要求，Sensitive Data Protection 不会使用存储区域以外的检查模板。

    如需查找检查模板的完整资源名称，请按以下步骤操作：

    1. 转到检查模板列表。系统会在另一个标签页中打开此页面。

      前往检查模板

    2. 切换到包含您要使用的检查模板的项目。
    3. 在模板标签页上，点击要使用的模板的 ID。
    4. 在打开的页面上，复制模板的完整资源名称。完整资源名称采用以下格式： 
      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID
    5. 在创建扫描配置页面上，在模板名称字段中粘贴模板的完整资源名称。
  3. 如需添加其他区域的检查模板，请点击添加检查模板，然后输入模板的完整资源名称。针对您拥有专用检查模板的每个区域重复此操作。
  4. 可选：添加存储在 global 区域中的检查模板。 敏感数据保护功能会自动将该模板用于您没有专用检查模板的区域中的数据。

添加操作

本部分介绍如何指定在分析表后，您希望敏感数据保护采取的操作。如果您想将从数据分析中获得的分析洞见发送到其他Google Cloud 服务，这些操作会非常有用。

发布到 Google Security Operations

从数据配置文件中收集的指标可以为 Google Security Operations 的发现结果添加背景信息。添加的上下文可帮助您确定最需要解决的安全问题。

例如，如果您正在调查某个特定服务代理，Google Security Operations 可以确定该服务代理访问了哪些资源，以及其中是否有任何资源包含高敏感度数据。

如需将数据分析结果发送到您的 Google Security Operations 实例，请开启发布到 Google Security Operations。

如果您尚未为组织启用 Google Security Operations 实例（通过独立产品或 Security Command Center Enterprise），那么开启此选项没有任何效果。

发布到 Security Command Center

在 Security Command Center 中对漏洞和威胁发现结果进行分类并制定应对方案时，数据剖析的发现结果可提供相关背景信息。

您必须先在组织级层激活 Security Command Center，然后才能使用此操作。在组织级层启用 Security Command Center 后，即可接收来自集成服务（例如敏感数据保护）的发现结果。Sensitive Data Protection 可与 Security Command Center 的所有服务层级配合使用。

如果未在组织级层激活 Security Command Center，则 Sensitive Data Protection 发现结果不会显示在 Security Command Center 中。如需了解详情，请参阅查看 Security Command Center 的激活级层。

如需将数据分析结果发送到 Security Command Center，请确保发布到 Security Command Center 选项处于开启状态。

如需了解详情，请参阅将数据分析结果发布到 Security Command Center。

将数据配置文件副本保存到 BigQuery

敏感数据保护功能会将每个生成的数据剖析文件的副本保存到 BigQuery 表中。如果您未提供首选表的详细信息，Sensitive Data Protection 会在服务代理容器中创建数据集和表。默认情况下，数据集名为 sensitive_data_protection_discovery，表名为 discovery_profiles。

使用此选项可以保留所有已生成剖析文件的历史记录。此历史记录可用于创建审核报告和直观呈现数据配置文件。您还可以将这些信息加载到其他系统。

此外，使用此选项，您可以在一个视图中查看所有数据剖析文件，而不考虑数据位于哪个区域。虽然您也可以通过Google Cloud 控制台查看数据分析，但控制台一次只能显示一个区域的分析。

如果敏感数据保护功能无法分析某个表，会定期重试。为了最大限度地减少导出数据中的噪声，敏感数据保护仅将成功生成的剖析文件导出到 BigQuery。

Sensitive Data Protection 会从您开启此选项时开始导出剖析文件。在您启用导出功能之前生成的数据分析文件不会保存到 BigQuery。

如需查看可在分析数据剖析时使用的示例查询，请参阅分析数据剖析。

将发现结果示例保存到 BigQuery

敏感数据保护可以将抽样结果添加到您选择的 BigQuery 表中。抽样结果仅代表部分结果，可能无法代表发现的所有 infoType。 通常，系统会为每个表生成大约 10 个示例发现，但每次发现运行的示例发现数量可能会有所不同。

每项发现结果都包含检测到的实际字符串（也称为引用）及其确切位置。

如果您想评估检查配置是否正确匹配了您想标记为敏感的信息类型，此操作会非常有用。使用导出的数据配置文件和导出的样本发现结果，您可以运行查询来获取有关被标记的特定项、它们匹配的 infoType、它们的确切位置、计算出的敏感度级别和其他详细信息的更多信息。

此示例需要同时启用将数据剖析文件副本保存到 BigQuery 和将发现结果示例保存到 BigQuery。

以下查询对导出的数据配置文件表和导出的样本发现表都使用了 INNER JOIN 操作。在生成的表格中，每条记录都显示了发现结果的引用、匹配的 infoType、包含发现结果的资源以及计算出的资源敏感度。 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name

如需将发现结果示例保存到 BigQuery 表中，请按以下步骤操作：

  1. 开启将发现结果示例保存到 BigQuery。

  2. 输入要保存发现结果示例的 BigQuery 表的详细信息。

    您为此操作指定的表必须不同于用于将数据剖析文件副本保存到 BigQuery 操作的表。

    • 对于项目 ID，请输入要将发现结果导出到的现有项目的 ID。

    • 在数据集 ID 中，输入项目中现有数据集的名称。

    • 在表 ID 部分，输入您要将发现结果保存到的 BigQuery 表的名称。如果此表不存在，Sensitive Data Protection 会使用您提供的名称自动为您创建此表。

如需了解保存在 BigQuery 表中的每项发现结果的内容，请参阅 DataProfileFinding。

将标记附加到资源

启用将标记附加到资源后，敏感数据保护功能会根据计算出的数据敏感度级别自动标记数据。在完成根据数据敏感度控制对资源的 IAM 访问权限中的任务之前，您无法完成本部分中的任务。

如需根据资源的计算敏感度级别自动标记资源，请按以下步骤操作：

  1. 开启标记资源选项。

  2. 对于每个敏感度级别（高、中、低和未知），请输入您为相应敏感度级别创建的标记值的路径。

    如果您跳过某个敏感度级别，则系统不会附加相应标记。

  3. 如需在存在敏感度级别标记时自动降低资源的数据风险级别，请选择对资源应用标记时，将其分析结果的数据风险降为“低”。此选项可帮助您衡量数据安全和隐私保护状况的改善情况。

  4. 选择以下一个或两个选项：

    • 首次分析资源时对其添加标记。

    • 更新资源分析文件时对资源添加标记。如果您希望 Sensitive Data Protection 在后续发现运行中覆盖敏感度级别标记值，请选择此选项。因此，当资源的计算数据敏感度级别升高或降低时，正文对该资源的访问权限会自动发生变化。

      如果您计划手动更新发现服务附加到资源上的敏感度级别标记值，请勿选择此选项。如果您选择此选项，Sensitive Data Protection 可能会覆盖您的手动更新。

发布到 Pub/Sub

启用发布到 Pub/Sub 后，您可以根据分析结果采取程序化操作。您可以使用 Pub/Sub 通知来开发工作流，以捕获和修正具有重大数据风险或敏感性的发现结果。

如需向 Pub/Sub 主题发送通知，请按以下步骤操作：

  1. 开启发布到 Pub/Sub。

    系统会显示一个选项列表。每个选项都描述了一个事件，该事件会导致 Sensitive Data Protection 向 Pub/Sub 发送通知。

  2. 选择应触发 Pub/Sub 通知的事件。

    如果您选择每当更新配置文件时就发送 Pub/Sub 通知，Sensitive Data Protection 会在配置文件中的敏感度级别、数据风险级别、检测到的 infoType、公开访问权限和其他重要指标发生变化时发送通知。

  3. 对于您选择的每个活动，请按以下步骤操作：

    1. 输入主题的名称。名称必须采用以下格式：

      projects/PROJECT_ID/topics/TOPIC_ID

      替换以下内容：

      • PROJECT_ID：与 Pub/Sub 主题关联的项目的 ID。
      • TOPIC_ID：Pub/Sub 主题的 ID。

    2. 指定是在通知中包含完整的表剖析，还是仅包含已剖析表的完整资源名称。

    3. 设置必须满足的最低数据风险等级和敏感程度，以便 Sensitive Data Protection 发送通知。

    4. 指定是必须满足数据风险和敏感度条件中的一个还是两个。例如，如果您选择 AND，则必须同时满足数据风险条件和敏感度条件，Sensitive Data Protection 才会发送通知。

以切面形式发送到 Dataplex Universal Catalog

此操作可让您根据数据分析中的信息，向已分析的表添加 Dataplex Universal Catalog 切面。 此操作仅适用于新个人资料和更新后的个人资料。 未更新的现有个人资料不会发送到 Dataplex Universal Catalog。

启用此操作后，敏感数据保护会为每个新分析或更新的表将 Sensitive Data Protection profile 切面附加到 Dataplex Universal Catalog 条目。生成的方面包含从数据配置文件中收集的分析洞见。然后，您可以在组织和项目中搜索具有特定 Sensitive Data Protection profile 方面值的条目。

如需将数据分析文件发送到 Dataplex Universal Catalog，请确保已开启以切面形式发送到 Dataplex Catalog 选项。

如需了解详情，请参阅根据数据分析中的数据洞见添加 Dataplex Universal Catalog 切面。

管理服务代理容器和结算

在本部分中，您将指定要用作服务代理容器的项目。您可以让敏感数据保护自动创建新项目，也可以选择现有项目。

无论您是使用新创建的服务代理还是重用现有服务代理，都要确保该服务代理具有对要进行性能剖析的数据的读取权限。

自动创建项目

如果您没有在组织中创建项目所需的权限，则需要选择现有项目，或者获取所需的权限。如需了解所需的权限，请参阅在组织或文件夹级层使用数据剖析文件所需的角色。

如需自动创建项目以用作服务代理容器，请按照以下步骤操作：

  1. 在服务代理容器字段中，查看建议的项目 ID，并根据需要进行修改。
  2. 点击创建。
  3. 可选：更新默认项目名称。

  4. 选择要对与此新项目相关的所有可计费操作（包括与发现无关的操作）付费的账号。

  5. 点击创建。

Sensitive Data Protection 会创建新项目。此项目中的服务代理将用于向 Sensitive Data Protection 和其他 API 进行身份验证。

选择现有项目

如需选择现有项目作为服务代理容器，请点击服务代理容器字段，然后选择相应项目。

设置用于存储配置的位置

点击资源位置列表，然后选择要存储此扫描配置的区域。您日后创建的所有扫描配置也将存储在此位置。

您选择存储扫描配置的位置不会影响要扫描的数据。系统会扫描存储数据的同一个区域中的数据。如需了解详情，请参阅数据驻留注意事项。

检查并创建

  1. 如果您想确保在创建扫描配置后剖析不会自动开始，请选择在暂停模式下创建扫描。

    此选项适用于以下情况：

    • 您的 Google Cloud 管理员仍需向服务代理授予数据剖析访问权限。
    • 您要创建多项扫描配置，并且希望某些配置替换其他配置。
    • 您选择将数据剖析文件保存到 BigQuery，并希望确保服务代理对将要保存数据剖析文件副本的 BigQuery 表具有写入权限。
    • 您已选择将发现结果示例保存到 BigQuery，并且想要确保服务代理对将要保存示例发现结果的 BigQuery 表具有写入权限。
    • 您已配置 Pub/Sub 通知，并希望向服务代理授予发布访问权限。
    • 您已启用将标记附加到资源操作，并且需要授予服务代理对敏感度级别标记的访问权限。
  2. 检查设置，然后点击创建。

    Sensitive Data Protection 会创建扫描配置并将其添加到发现扫描配置列表中。

如需查看或管理扫描配置，请参阅管理扫描配置。

Sensitive Data Protection 开始识别您的 Cloud SQL 实例，并为每个实例创建默认连接。此过程可能需要几个小时，具体取决于发现范围内的实例数量。您可以退出 Google Cloud 控制台，稍后再检查连接。

默认连接准备就绪后，请使用您希望 Sensitive Data Protection 用于分析 Cloud SQL 实例的数据库用户凭据更新这些连接。如需了解详情，请参阅管理用于发现的连接。

后续步骤

了解如何更新连接。