GSP1282

Visão geral

Proteção de Dados Sensíveis é um serviço totalmente gerenciado criado para ajudar a descobrir, classificar e proteger informações sensíveis. As principais opções incluem a descoberta de dados sensíveis para a caracterização contínua de perfil dos seus dados sensíveis, a desidentificação de dados sensíveis, incluindo encobrimento, e a API Cloud Data Loss Prevention (DLP) para permitir a descoberta, inspeção e desidentificação em cargas de trabalho e aplicativos personalizados.

Você pode proteger dados sensíveis no BigQuery usando a Proteção de Dados Sensíveis junto com o Identity and Access Management (IAM) no Google Cloud para incluir tag automaticamente dados sensíveis durante verificações de descoberta e conceder acesso condicional a dados do BigQuery para usuários da sua organização.

Neste laboratório, primeiro você vai criar uma configuração de verificação de descoberta para o BigQuery no modo pausado. Depois, vai definir uma tag para sinalizar os dados sensíveis no BigQuery e atualizar a configuração para usar essa tag na verificação automatizada. Por fim, você vai utilizá-la para conceder a outros usuários acesso condicional aos dados do BigQuery.

O que você vai aprender

Neste laboratório, você vai aprender a:

• Criar uma configuração de verificação de descoberta para o BigQuery no modo pausado.
• Criar tags e atribuir papéis para a inclusão de tag automatizada durante a verificação de descoberta.
• Atualizar a verificação de descoberta pausada para usar as tags criadas para a inclusão de tag automática e iniciar a verificação.
• Conceder acesso condicional aos dados do BigQuery usando tags.

Configuração e requisitos

Antes de clicar no botão Começar o Laboratório

Leia estas instruções. Os laboratórios são cronometrados e não podem ser pausados. O timer é ativado quando você clica em Iniciar laboratório e mostra por quanto tempo os recursos do Google Cloud vão ficar disponíveis.

Este laboratório prático permite que você realize as atividades em um ambiente real de nuvem, e não em uma simulação ou demonstração. Você vai receber novas credenciais temporárias para fazer login e acessar o Google Cloud durante o laboratório.

Confira os requisitos para concluir o laboratório:

• Acesso a um navegador de Internet padrão (recomendamos o Chrome).

Observação: para executar este laboratório, use o modo de navegação anônima (recomendado) ou uma janela anônima do navegador. Isso evita conflitos entre sua conta pessoal e de estudante, o que poderia causar cobranças extras na sua conta pessoal.

• Tempo para concluir o laboratório: não se esqueça que, depois de começar, não será possível pausar o laboratório.

Observação: use apenas a conta de estudante neste laboratório. Se usar outra conta do Google Cloud, você poderá receber cobranças nela.

Como iniciar seu laboratório e fazer login no console do Google Cloud

1. Clique no botão Começar o laboratório. Se for preciso pagar por ele, uma caixa de diálogo vai aparecer para você selecionar a forma de pagamento. No painel Detalhes do Laboratório, à esquerda, você vai encontrar o seguinte:

   • O botão Abrir Console do Google Cloud
   • O tempo restante
   • As credenciais temporárias que você vai usar neste laboratório
   • Outras informações, se forem necessárias

2. Se você estiver usando o navegador Chrome, clique em Abrir console do Google Cloud ou clique com o botão direito do mouse e selecione Abrir link em uma janela anônima.

   O laboratório ativa os recursos e depois abre a página Fazer Login em outra guia.

   Dica: coloque as guias em janelas separadas lado a lado.

   Observação: se aparecer a caixa de diálogo Escolher uma conta, clique em Usar outra conta.

3. Se necessário, copie o Nome de usuário abaixo e cole na caixa de diálogo Fazer login.

   {{{user_0.username | "Username"}}}

   Você também encontra o nome de usuário no painel Detalhes do Laboratório.

4. Clique em Próxima.

5. Copie a Senha abaixo e cole na caixa de diálogo de Olá.

   {{{user_0.password | "Password"}}}

   Você também encontra a senha no painel Detalhes do Laboratório.

6. Clique em Próxima.

   Importante: você precisa usar as credenciais fornecidas no laboratório, e não as da sua conta do Google Cloud. Observação: se você usar sua própria conta do Google Cloud neste laboratório, é possível que receba cobranças adicionais.

7. Acesse as próximas páginas:

   • Aceite os Termos e Condições.
   • Não adicione opções de recuperação nem autenticação de dois fatores (porque essa é uma conta temporária).
   • Não se inscreva em testes gratuitos.

Depois de alguns instantes, o console do Google Cloud será aberto nesta guia.

Observação: para acessar os produtos e serviços do Google Cloud, clique no Menu de navegação ou digite o nome do serviço ou produto no campo Pesquisar.

Tarefa 1: criar uma configuração de verificação de descoberta para o BigQuery no modo pausado

O serviço de descoberta da Proteção de Dados Sensíveis permite identificar onde na sua organização estão os dados sensíveis e de alto risco. Ao criar uma configuração de verificação de descoberta, a Proteção de Dados Sensíveis verifica os recursos selecionados para análise e gera perfis dos dados, que são um conjunto de insights sobre os InfoTypes (tipos de dados sensíveis) identificados e metadados sobre o risco de dados e o nível de sensibilidade.

Nesta tarefa, você vai criar uma verificação de descoberta para criar perfis de dados automaticamente no BigQuery. Pode levar algum tempo para que os resultados completos da descoberta sejam gerados, então você verá os destaques e resumos dos principais resultados na última tarefa do laboratório.

1. No console do Google Cloud, clique no Menu de navegação () > Segurança.

2. Em Proteção de dados, clique em Proteção de Dados Sensíveis.

3. Clique na guia Descoberta.

4. Em BigQuery, clique em Ativar.

5. Em Selecionar um tipo de descoberta, mantenha a opção ativada para BigQuery e clique em Continuar.

6. Em Selecionar escopo, mantenha a opção ativada para Verificar o projeto selecionado e clique em Continuar.

7. Em Programações gerenciadas, mantenha o padrão e clique em Continuar.

   Neste laboratório, você vai programar a verificação de descoberta para ser executada imediatamente após a criação, mas há muitas opções para programar verificações a serem executadas periodicamente (diariamente ou semanalmente) ou após determinados eventos (como quando um modelo de inspeção é atualizado).

8. Em Selecionar modelo de inspeção, deixe a opção ativada para Criar um novo modelo de inspeção.

9. Mantenha os outros valores como o padrão e clique em Continuar.

   Por padrão, o novo modelo de inspeção inclui todos os InfoTypes atuais.

   No Limite de confiança, o padrão para Probabilidade mínima é Possível, o que significa que você recebe apenas as descobertas avaliadas como Possível, Provável e Muito provável.

   Em uma tarefa posterior, você vai modificar esse modelo de inspeção para conhecer outras opções de InfoTypes e limite de confiança.

10. Em Adicionar ações, ative Publicar no Security Command Center.

11. Em Adicionar ações, ative também Salvar cópias do perfil dos dados no BigQuery e forneça o conjunto de dados e a tabela (que foram pré-criados neste laboratório) para salvar os resultados no BigQuery.

Propriedade	Valor
ID do projeto
ID do conjunto de dados	bq_discovery
ID da tabela	data_profiles

Veja a mensagem abaixo da ação incluir tag recursos sobre o agente de serviço precisar de um papel específico para que a inclusão de tag automatizada ocorra.

Na próxima tarefa, você vai criar as tags e conceder o papel necessário à conta de serviço para a aplicação automática de tags durante a verificação de descoberta.

12. Mantenha os outros valores como o padrão e clique em Continuar.

13. Em Definir local para armazenar a configuração, deixe a opção us (várias regiões nos Estados Unidos) ativada e clique em Continuar.

14. Crie um nome de exibição para esta configuração: BigQuery Discovery

15. Ative a opção Criar verificação no modo pausado.

Isso gera a configuração de verificação de descoberta, mas ainda não inicia a verificação. Assim, você pode criar as tags e conceder o papel apropriado do IAM ao ID do agente de serviço para a verificação de descoberta.

16. Clique em Criar e confirme clicando em Criar configuração.

Clique em Verificar meu progresso para conferir o objetivo. Criar uma configuração de verificação de descoberta para o BigQuery

Tarefa 2: criar tags e atribuir o papel para a inclusão de tag automatizada durante a verificação de descoberta

No IAM, você pode criar uma tag de nível de sensibilidade que pode ser usada para incluir tag a recursos automaticamente durante verificações de descoberta e conceder ou negar acesso a recursos específicos marcados com a tag de nível de sensibilidade.

Nesta tarefa, você vai gerar uma tag de nível de sensibilidade no IAM com quatro valores representando diferentes níveis de sensibilidade: baixo, moderado, alto e desconhecido.

Criar uma tag de nível de sensibilidade no IAM

1. No console do Google Cloud, clique no menu de navegação () > IAM e administrador > Tags.

2. Clique em + Criar.

3. Em Chave de tag, digite um nome de exibição para sua tag: sensitivity-level

4. Em Descrição da tag, digite uma descrição para esta tag: Nível de sensibilidade marcado como baixo, moderado, alto e desconhecido

5. Clique em + Adicionar valor.

6. Em Valor da tag, digite um nome de exibição para o primeiro valor da tag: baixo

7. Em Descrição do valor da tag, digite uma descrição para este valor de tag: Valor da tag a ser anexado a dados de baixa sensibilidade

8. Repita as etapas 5 a 7 para criar mais três valores de tag:

Valor da tag	Descrição da tag
moderado	Valor da tag a ser anexado a dados de sensibilidade moderada
alto	Valor da tag a ser anexado a dados de alta sensibilidade
desconhecido	Valor da tag a ser anexado aos recursos com um nível de sensibilidade desconhecido

9. Clique em Criar chave de tag.

A criação da chave de tag pode levar até um minuto.

10. Depois de criada, clique no nome dela para ver os detalhes.

A chave de tag terá o caminho (/sensitivity-level) e os seguintes valores: alto, baixo, moderado, desconhecido

A combinação do caminho com o valor fornece o caminho do valor da tag a ser usado na próxima tarefa. Exemplo:

• /sensitivity-level/high

Clique em Verificar meu progresso para conferir o objetivo. Criar uma tag de nível de sensibilidade no IAM

Conceder papel à conta de serviço para verificação de descoberta usando o IAM

Para aplicar tags a recursos automaticamente, o agente de serviço precisa do papel resourcemanager.tagUser. Nesta seção, você vai seguir as etapas na documentação Controle de acesso IAM baseado em sensibilidade dos dados para concedê-lo.

1. Clique em Ativar o Cloud Shell na parte de cima do console do Google Cloud.

Se solicitado, clique em Continuar.

2. Execute o comando a seguir para criar uma variável para o número do projeto atual:

export PROJECT_NUMBER=$(gcloud projects describe {{{project_0.project_id | Project ID}}} --format="get(projectNumber)")

Se solicitado, clique em Autorizar.

3. Execute o comando a seguir para conceder o papel de usuário das tags à conta de serviço da verificação de descoberta:

gcloud projects add-iam-policy-binding {{{project_0.project_id | Project ID}}} --member=serviceAccount:service-$PROJECT_NUMBER@dlp-api.iam.gserviceaccount.com --role=roles/resourcemanager.tagUser

Clique em Verificar meu progresso para conferir o objetivo. Conceder papel à conta de serviço para verificação de descoberta usando o IAM

Tarefa 3: atualizar a verificação de descoberta pausada com a inclusão de tag automatizada e iniciar a verificação

Agora que você concedeu à conta de serviço o papel apropriado para a aplicação automática de tags, é possível ativar as opções de recursos de tags na verificação de descoberta.

Adicionar valores de tag e iniciar a verificação de descoberta

1. Volte para a página de visão geral da Proteção de Dados Sensíveis.

2. Na guia Descoberta > Configurações de verificação, localize a linha Descoberta do BigQuery. Clique em Ver ações (ícone com três pontos verticais) nessa linha e selecione Editar.

3. Em Adicionar ações, ative Incluir tags nos recursos e as seguintes opções relacionadas:

Propriedade	Valor
Incluir tags a recursos de sensibilidade alta	Ative e forneça o valor da tag: /sensitivity-level/high
Incluir tags a recursos de sensibilidade moderada	Ative e forneça o valor da tag: /sensitivity-level/moderate
Incluir tags a recursos de sensibilidade baixa	Ative e forneça o valor da tag: /sensitivity-level/low
Incluir tags a recursos com sensibilidade desconhecida	Ative e forneça o valor da tag: /sensitivity-level/unknown

4. Além disso, ative estas duas opções:

   • Quando uma tag é aplicada a um recurso, diminua o risco de dados do perfil para BAIXO.
   • Incluir tag a um recurso quando ele recebe um perfil pela primeira vez.

5. Clique em Salvar e em Confirmar edição.

6. Por fim, clique em Retomar verificação para iniciar a verificação de descoberta.

Clique em Verificar meu progresso para conferir o objetivo. Atualizar a verificação de descoberta pausada com a inclusão de tag automatizada e iniciar a verificação

O que os resultados da descoberta dizem sobre seus dados

Observação: depois do início da verificação de configuração, pode levar algum tempo até que os resultados completos estejam disponíveis.

As imagens abaixo mostram os principais resultados de ativar a descoberta para o BigQuery neste ambiente de laboratório.

Para os dados do BigQuery incluídos neste ambiente, os resultados sinalizaram a possível presença de vários InfoTypes, incluindo números de SSN dos EUA, que são dados altamente sensíveis.

Imagem 1. Descoberta para BigQuery ativada na interface

Três perfis foram identificados para o BigQuery: dois com baixa sensibilidade (um conjunto de dados para os resultados da descoberta e um conjunto de dados para metadados de imagens de carros danificados) e um com alta sensibilidade (conjunto de dados com detalhes sobre compradores de carros).

Imagem 2. Detalhes do inventário de dados sensíveis

Esta seção dos resultados fornece a localização global dos três perfis de dados. Neste exemplo, ambos estão na região us-central1.

Imagem 3. Perfis do BigQuery com InfoTypes

Os resultados da descoberta também fornecem os InfoTypes principais identificados no BigQuery: número de SSN dos EUA, endereço de e-mail, nome etc.

Imagem 4. Guia "Perfis" dos resultados da descoberta

A guia Perfis identifica os níveis de sensibilidade e o risco de cada nome de conjunto de dados específico do BigQuery: um com baixa sensibilidade (bucket vazio para receber o resultado dos jobs) e outro com alta sensibilidade (bucket que contém dados brutos, incluindo o número do SSN dos EUA).

Neste ambiente de laboratório, selecione Tipo de local como Região > para visualizar os perfis.

Tarefa 4: explorar o acesso condicional para o BigQuery usando tags

Com o IAM, é possível atribuir um papel a um usuário com base em uma tag de nível de sensibilidade anexada a um recurso específico usando vinculações de papel condicionais. Por exemplo, você pode conceder a um usuário acesso apenas aos dados do BigQuery que foram marcados como de baixa sensibilidade. O usuário só poderá acessar dados que tenham essa tag, incluindo BigQuery sem tags.

Nesta tarefa, você vai começar revisando o acesso ao BigQuery que já foi concedido ao Usuário 2 neste ambiente de laboratório. Em seguida, o acesso para o Usuário 2 deverá ser atualizado como condicional de acordo com a tag de dados de baixa sensibilidade, atribuindo manualmente essa tag a um dos conjuntos de dados do BigQuery. Por fim, você vai testar o acesso atualizado do BigQuery para o Usuário 2 e verificar o acesso condicional.

Testar o acesso atual ao BigQuery como Usuário 2

Nesta seção, comece fazendo login no projeto do Google Cloud como Usuário 2 (). Confira a dica abaixo para saber como mudar para um novo usuário.

Solução completa (expanda para ver todas as etapas)

Após fazer o login como Usuário 2, siga estas etapas para verificar o acesso ao BigQuery que já foi concedido a ele.

1. No console do Google Cloud, clique no Menu de navegação () > BigQuery.

2. No painel "Explorador", expanda a seta ao lado do ID do projeto () para ver a lista de conjuntos de dados do BigQuery.

   Observe que há quatro conjuntos de dados do BigQuery:

   • bq_discovery: usado para armazenar os perfis gerados pela verificação de descoberta
   • bq_inspection: usado para armazenar os resultados gerados pela inspeção
   • car_buyers: contém dados sensíveis de compradores de carros, como SSN dos EUA
   • damaged_car_image_info: contém dados não sensíveis sobre carros danificados

Atualizar os papéis do IAM para o Usuário 2

Nesta seção, comece fazendo login no projeto do Google Cloud como Usuário 1 (). Confira a dica abaixo para saber como mudar para um novo usuário.

Solução completa (expanda para ver todas as etapas)

1. No console do Google Cloud, clique no menu de navegação () > IAM e administrador > IAM.

2. Localize a linha do Usuário 2 () e clique em Editar principal (ícone de lápis).

3. Localize a linha do papel chamado Leitor e clique em Excluir papel (ícone de lixeira).

4. Clique em Adicionar outro papel.

5. Em Selecionar um papel, selecione Básico > Navegador.

6. Localize a linha do papel Leitor de dados do BigQuery e clique em Adicionar condição do IAM.

7. Em Título, digite: Low Sensitivity Data Access Only.

8. Em Criador de condições, selecione Tag para Tipo de condição 1 e tem valor para Operador.

9. Para Caminho do valor, forneça o valor da tag para is recursos de baixa sensibilidade usados na Tarefa 3.

Expanda a dica para ver o valor da tag se precisar revê-lo.

10. Clique em Salvar e em Salvar novamente.

Adicionar tag de baixa sensibilidade ao conjunto de dados do BigQuery

Nesta seção, continue usando o Usuário 1 ().

Lembrete: a verificação completa de descoberta leva algum tempo para ser concluída. Por isso, ainda não há conjuntos de dados do BigQuery marcados com as tags de nível de sensibilidade.

Para testar o acesso condicional, atribua manualmente a tag de baixa sensibilidade ao conjunto de dados damaged_car_image_info, que não contém dados sensíveis.

1. No console do Google Cloud, clique no Menu de navegação () > BigQuery.

2. No painel "Explorador", expanda a seta ao lado do ID do projeto () para ver a lista de conjuntos de dados do BigQuery.

3. Clique em damaged_car_image_info para abrir a guia de informações do conjunto de dados e em Editar detalhes (ícone de lápis).

4. Em Tags, clique em Selecionar escopo > Selecionar projeto atual.

5. Selecione os seguintes detalhes.

Propriedade	Valor
Chave 1	sensitivity-level
Valor 1	baixa

6. Clique em Salvar.

Testar o acesso condicional ao BigQuery como Usuário 2

Para esta seção, faça login no projeto do Google Cloud pela última vez como Usuário 2 (). Expanda a dica abaixo se precisar de ajuda para trocar para um novo usuário.

Solução completa (expanda para ver todas as etapas)

Como Usuário 2, siga estas etapas para verificar o acesso condicional ao BigQuery que foi concedido a esse usuário.

1. Volte ao BigQuery clicando no Menu de navegação () > BigQuery.

2. No painel do explorador de dados, expanda a seta ao lado do ID do projeto () para ver a lista de conjuntos de dados do BigQuery.

   Depois que o papel do IAM é atualizado com a condição apropriada, apenas um conjunto de dados do BigQuery é listado, porque é o único com a tag de baixa sensibilidade:

   • damaged_car_image_info

Observação: pode levar de 5 a 10 minutos para que as atualizações de papel do IAM sejam totalmente propagadas. Continue atualizando a página do BigQuery até que reste apenas o conjunto de dados do BigQuery damaged_car_image_info.

3. Saia do projeto como Usuário 2.

Clique em Verificar meu progresso para conferir o objetivo. Explorar o acesso condicional para o BigQuery usando tags

Tarefa 5: analisar os resultados iniciais da descoberta

Observação: como mencionamos, após o início da verificação de configuração, pode levar algum tempo até que os resultados completos estejam disponíveis.

Agora que já passou algum tempo desde que você concedeu o acesso condicional a outro usuário e o testou, alguns resultados estarão disponíveis no painel do Looker gerado pela verificação de descoberta.

Para esta seção, comece fazendo login no projeto do Google Cloud novamente como Usuário 1 ().

Confira a dica abaixo para saber como trocar para um novo usuário.

Solução completa (expanda para ver todas as etapas)

Ver o resumo dos resultados no painel do Looker

1. Volte para a página de visão geral da Proteção de Dados Sensíveis.

2. Na guia Descoberta > Configurações de verificação, localize a linha Descoberta do BigQuery. Em Looker Studio, clique em Looker na linha.

3. Em Solicitar autorização, clique em Autorizar.

4. Na janela de diálogo Escolha uma conta no qwiklabs.net, selecione .

5. Revise a Visão geral do resumo.

   Há blocos de dados que resumem informações importantes, como risco e sensibilidade de dados e tipos de recursos.

6. Clique em Análise detalhada (detalhes do recurso).

7. Localize a linha que tem o InfoType US_SOCIAL_SECURITY_NUMBER. Em "Ação", clique em Abrir nessa linha.

Veja os resultados detalhados na Proteção de Dados Sensíveis

1. Analise a página que será aberta, intitulada Descoberta de dados sensíveis: detalhes do perfil de armazenamento de arquivos.

   Há muitos detalhes fornecidos sobre os recursos verificados, incluindo permissões do IAM.

2. Expanda a seta ao lado de Ver permissões detalhadas do IAM.

3. Expanda a seta ao lado de Leitor do BigQuery.

Observe que outro usuário () está listado como Leitor do BigQuery com a condição definida na Tarefa 3.

Parabéns!

Neste laboratório, você criou uma configuração de verificação de descoberta para o BigQuery no modo pausado. Depois, definiu uma tag para sinalizar os dados sensíveis no BigQuery e atualizou a configuração para usar essa tag na verificação automatizada. Por fim, usou a tag criada para conceder acesso condicional aos dados do BigQuery para outros usuários.

Próximas etapas / Saiba mais

Confira os recursos a seguir para saber mais sobre a Proteção de Dados Sensíveis para o BigQuery:

• Página de documentação sobre Como usar a Proteção de Dados Sensíveis com o BigQuery
• Página de documentação sobre Como consultar as descobertas da Proteção de Dados Sensíveis no BigQuery

Treinamento e certificação do Google Cloud

Esses treinamentos ajudam você a aproveitar as tecnologias do Google Cloud ao máximo. Nossas aulas incluem habilidades técnicas e práticas recomendadas para ajudar você a alcançar rapidamente o nível esperado e continuar sua jornada de aprendizado. Oferecemos treinamentos que vão do nível básico ao avançado, com opções de aulas virtuais, sob demanda e por meio de transmissões ao vivo para que você possa encaixá-las na correria do seu dia a dia. As certificações validam sua experiência e comprovam suas habilidades com as tecnologias do Google Cloud.

Manual atualizado em 18 de novembro de 2024

Laboratório testado em 18 de novembro de 2024

Copyright 2025 Google LLC. Todos os direitos reservados. Google e o logotipo do Google são marcas registradas da Google LLC. Todos os outros nomes de produtos e empresas podem ser marcas registradas das respectivas empresas a que estão associados.