GSP1281

總覽

Sensitive Data Protection 是一項全代管服務，可以協助您找出、分類和保護機密資訊。這項服務的主要功能包括：機密資料探索 (能持續剖析機密資料)、機密資料去識別化 (包括遮蓋) 和 Cloud Data Loss Prevention (DLP) API (可將探索、檢查和去識別化功能整合至自訂工作負載和應用程式)。

假設您在 Cloud Storage 的原始資料包含機密資料，而您想先找出、保護及遮蓋這類資料，再提供檔案給使用者分析或訓練機器學習模型。這時 Sensitive Data Protection 便可派上用場！

在這個實驗室，您會先啟用探索功能，持續監控 Cloud Storage 中的機密資料，然後根據探索結果建立並修改可重複使用的自訂範本，用來檢查和去識別化 (遮蓋) Cloud Storage 檔案。最後，您要使用這些範本執行工作，進一步檢查及遮蓋 Cloud Storage 檔案中特定類型的機密資料。

課程內容

在這個實驗室，您將瞭解如何執行下列工作：

• 啟用探索功能，持續監控 Cloud Storage 檔案中的機密資料
• 建立並修改可重複使用的範本，用來檢查和去識別化工作
• 查看並解讀探索結果
• 啟用將工作結果寫入 BigQuery 的選項，並依此執行檢查和去識別化工作

設定和需求

瞭解以下事項後，再點選「Start Lab」按鈕

請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。

您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。

為了順利完成這個實驗室，請先確認：

• 可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。

注意事項：請使用無痕模式 (建議選項) 或私密瀏覽視窗執行此實驗室，這可以防止個人帳戶和學員帳戶之間的衝突，避免個人帳戶產生額外費用。

• 是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。

注意事項：務必使用實驗室專用的學員帳戶。如果使用其他 Google Cloud 帳戶，可能會產生額外費用。

如何開始研究室及登入 Google Cloud 控制台

1. 點選「Start Lab」按鈕。如果實驗室會產生費用，畫面上會出現選擇付款方式的對話方塊。左側的「Lab Details」窗格會顯示下列項目：

   • 「Open Google Cloud console」按鈕
   • 剩餘時間
   • 必須在這個研究室中使用的臨時憑證
   • 完成這個實驗室所需的其他資訊 (如有)

2. 點選「Open Google Cloud console」；如果使用 Chrome 瀏覽器，也能按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。

   接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。

   提示：您可以在不同的視窗中並排開啟分頁。

   注意：如果頁面中顯示「選擇帳戶」對話方塊，請點選「使用其他帳戶」。

3. 如有必要，請將下方的 Username 貼到「登入」對話方塊。

   {{{user_0.username | "Username"}}}

   您也可以在「Lab Details」窗格找到 Username。

4. 點選「下一步」。

5. 複製下方的 Password，並貼到「歡迎使用」對話方塊。

   {{{user_0.password | "Password"}}}

   您也可以在「Lab Details」窗格找到 Password。

6. 點選「下一步」。

   重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。 注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。

7. 按過後續的所有頁面：

   • 接受條款及細則。
   • 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
   • 請勿申請免費試用。

Google Cloud 控制台稍後會在這個分頁開啟。

注意：如要使用 Google Cloud 產品和服務，請點選「導覽選單」，或在「搜尋」欄位輸入服務或產品名稱。

工作 1：啟用探索功能，持續監控 Cloud Storage

使用 Sensitive Data Protection 的探索服務，即可找出組織內機密和高風險資料的所在位置。建立探索掃描設定後，Sensitive Data Protection 會掃描您指定要檢查的資源，並生成資料剖析檔，也就是針對找到的 infoType (機密資料類型) 提供一系列洞察資訊，以及有關資料風險和機密程度的中繼資料。

在這項工作，您將建立探索掃描作業，自動剖析專案中所有 Cloud Storage bucket 的資料。完整的探索結果可能需要一段時間才會生成完畢，因此這項工作的最後一節，會提供主要結果的重點和摘要供您參考。

建立掃描設定並排定執行時間

1. 前往 Google Cloud 控制台，依序點選「導覽選單」圖示 >「安全性」。

2. 在「資料保護」下方，點選「Sensitive Data Protection」。

3. 點選「探索」分頁標籤。

4. 在「Cloud Storage」下方，點選「啟用」。

5. 在「選取探索類型」部分，將「Cloud Storage」選項保持啟用，然後點選「繼續」。

6. 在「選取範圍」部分，將「掃描所選專案」選項保持啟用，然後點選「繼續」。

7. 保留「管理時間表」部分的預設值，然後點選「繼續」。

   在這個實驗室，您會將探索掃描作業安排在建立後立即執行，但其實還有許多其他掃描作業排程選項，包括定期執行 (如每天或每週)，或在特定事件發生後執行 (如檢查範本更新時)。

8. 在「選取檢查範本」部分，將「建立新的檢查範本」選項保持啟用。其餘設定均保留預設值，然後點選「繼續」。

   新的檢查範本預設包含約 80 個預先定義的 infoType。

   在「可信度門檻」部分，「最低可能性」的預設值為「或許可能」，這表示您只會看到評估結果為「或許可能」、「有可能」和「非常可能」的發現項目。

   在後續工作，您將修改這個檢查範本，探索其他 infoType 和可信度門檻選項。

9. 在「新增動作」部分，啟用「發布至 Security Command Center」。

10. 在「新增動作」部分，一併啟用「將資料剖析檔副本儲存至 BigQuery」，並提供實驗室預先建立的資料集和資料表，以將結果儲存至 BigQuery。

屬性	值
專案 ID
資料集 ID	cloudstorage_discovery
資料表 ID	data_profiles

11. 點選「繼續」。

12. 保留「設定備用處理位置」部分的預設值，然後點選「繼續」。

13. 在「設定儲存設定的位置」部分，將「us (多個美國區域)」選項保持啟用，然後點選「繼續」。

14. 輸入這項設定的顯示名稱：Cloud Storage Discovery

15. 依序點選「建立」>「建立設定」來確認操作。

16. 點選「剖析檔」分頁標籤。

17. 在「位置類型」部分，依序選取「區域」>「」，以查看剖析檔。

18. 找到 的資料剖析檔資料表，點選「檔案儲存庫」分頁標籤。

注意：點選查看「檔案儲存庫」分頁標籤後，請參考下一節的螢幕截圖，大致瞭解探索結果顯示的資料相關資訊，再繼續工作 2。您無須等到探索掃描作業完成，可直接點選下方的實驗室進度確認按鈕，繼續工作 2。

如果您決定將這個頁面保持開啟，方便查看各階段的進度，請務必定期重新整理，才能看見新資訊。

點選「Check my progress」，確認目標已達成。 建立掃描設定並排定執行時間。

探索結果顯示的資料相關資訊

注意：設定掃描開始後，可能要過一段時間才能取得完整結果。

下圖呈現在這個實驗室環境中，為 Cloud Storage 啟用探索功能後的主要結果。

就這個實驗室環境的 Cloud Storage 資料而言，結果指出可能有數種 infoType，包括屬於高度機密資料的美國社會安全號碼。

圖 1. 探索結果的「剖析檔」分頁

「剖析檔」分頁會顯示各個 Cloud Storage bucket 名稱的機密程度和風險等級：一個機密程度低 (用於接收工作輸出內容的空 bucket)，另一個機密程度高 (包含美國社會安全號碼等原始資料的 bucket)。

在這個實驗室環境，請務必在「位置類型」部分依序選取「區域」>「」，這樣才能查看剖析檔。

圖 2. 在 UI 啟用 Cloud Storage 探索功能

系統已為 Cloud Storage 找出兩個剖析檔：一個機密程度低 (用於接收工作輸出內容的空 bucket)，另一個機密程度高 (包含原始資料的 bucket)。

圖 3. 機密資料目錄詳情

結果的這個部分會顯示兩個資料剖析檔的全球位置。在本例中，兩者都位於 us-central1 區域。

圖 4. 含有 infoType 的 Cloud Storage 剖析檔

探索結果也提供了在 Cloud Storage 找到的主要 infoType：美國社會安全號碼、出生日期、電子郵件地址、姓名等。

工作 2：建立並修改可重複使用的範本，用來檢查和遮蓋特定 infoType

知道系統在 Cloud Storage 檔案發現美國社會安全號碼後，您可以開始規劃，先檢查及遮蓋這類機密資料，再提供檔案給使用者訓練機器學習模型。

在這項工作，您將設定兩個範本：

1. 修改現有的檢查範本，從 Cloud Storage 檔案找出所有的美國社會安全號碼。
2. 建立去識別化範本，用來遮蓋結構化資料檔案 (例如文字檔和 CSV) 中的美國社會安全號碼。

稍後，您需要使用這些範本執行檢查和去識別化工作，進一步檢查及遮蓋美國社會安全號碼。

修改現有的檢查範本

還記得嗎？啟用 Cloud Storage 探索功能時，新的檢查範本就會隨即建立，並套用 infoType 和可信度門檻等多項設定的預設值。

在這一節，假設您已查看完整的探索結果，現在想修改檢查範本，將重點放在美國社會安全號碼。

1. 依序點選「導覽選單」圖示 >「安全性」>「Sensitive Data Protection」(位於「資料保護」下方)，返回 Sensitive Data Protection 的「總覽」頁面。

2. 點選「設定」分頁標籤。

3. 在「範本」分頁，找到探索功能產生的範本 (例如範本 ID 7216194786087173213) 那一行。

   請記下這組範本 ID，稍後工作 4 會用到。

4. 在該範本 ID 的「動作」下方，點選直向三點圖示，然後選取「編輯」。

5. 將「顯示名稱」改為 Inspection Template for US SSN。

6. 將「說明」改為 This template was created as part of a Sensitive Data Protection profiler configuration and was modified for deeper inspection for US Social Security numbers.

7. 在「InfoType」部分，點選「管理 infoType」。

8. 勾選「US_SOCIAL_SECURITY_NUMBER」核取方塊，其他選項全部取消勾選。

   如果想輕鬆取消勾選所有其他選項，只要點選「篩選器」圖示下方的「選取所有列」，然後再按一次，就能取消選取所有值。

9. 點選「完成」，返回檢查範本。

10. 在「可信度門檻」(「最低可能性」) 部分，選取「不可能」。

    除了評估為「或許可能」、「有可能」和「非常可能」的發現項目外，現在還會顯示「不太可能」的結果，有助您進一步檢查可能為美國社會安全號碼的資料。

11. 其餘設定均保留預設值，然後點選「儲存」。

12. 點選「確定儲存」。

為結構化資料建立去識別化範本

1. 返回 Sensitive Data Protection 的「總覽」頁面。

2. 點選「設定」分頁標籤。

3. 在「範本」分頁，點選「建立範本」。

4. 提供下列值來建立去識別化範本：

屬性	值
範本類型	去識別化 (移除機密資料)
資料轉換類型	記錄
範本 ID	us_ssn_deidentify
顯示名稱	De-identification Template for US SSN
位置類型	「多區域」>「global (全球)」

5. 其餘設定均保留預設值，然後點選「繼續」。

6. 在「設定去識別化作業」>「轉換規則」部分，輸入要新增的欄位名稱 ssn 和 email，然後按下 Enter 鍵。

7. 在「轉換類型」部分，選取「原始欄位轉換」。

8. 在「轉換方法」>「轉換」部分，選取「取代」。

   這個選項會根據您在步驟 6 提供的欄位 (ssn 和 email)，替換當中每個例項的內容。

9. 在「轉換方法」>「替換類型」部分，選取「字串」。

10. 在「轉換方法」>「字串值」部分，保留預設值 [redacted]。

11. 點選「+ 新增轉換規則」，新增第二項規則。

12. 在第二項規則的「轉換規則」部分，輸入 message 並按下 Enter 鍵，即可新增該欄位名稱。

在這個實驗室環境，Cloud Storage 中有 CSV 檔案，內含名為 message 的資料欄 (或欄位)，用來儲存顧客與服務專員間的即時通訊訊息範例。

13. 在「轉換類型」部分，選取「比對 infoType」，然後點選「新增轉換」。

14. 在「轉換方法」部分，選取「替換為 infoType 名稱」。

15. 在「要轉換的 InfoType」部分，選取「系統偵測到的所有 infoType (已於檢查範本或檢查設定中定義，但並未在其他規則中指定)」。

    採用這個選項後，如果使用這個範本執行工作，系統就會對有 message 欄位的所有檔案執行 infoType 檢查和遮蓋作業。

16. 點選「建立」。

點選「Check my progress」，確認目標已達成。 修改現有的檢查範本，並為結構化資料建立去識別化範本。

工作 3：查看初步探索結果

注意：如先前所述，設定掃描開始後，可能要過一段時間才能取得完整結果。

您剛才在建立範本，距離掃描開始已有一段時間，因此探索掃描作業產生的 Looker 資訊主頁會顯示部分結果。

在這項工作，您將查看初步探索結果。這些結果會顯示在 Looker 資訊主頁，資料來源是工作 1 中儲存至 BigQuery 的資料剖析檔資訊。

在 Looker 資訊主頁查看結果摘要

1. 返回 Sensitive Data Protection 的「總覽」頁面。

2. 在「探索」>「掃描設定」分頁，找到 Cloud Storage Discovery 資料列。接著，在「Looker Studio」下方，點選該列的「Looker」。

3. 在「正在要求授權」部分，點選「授權」。

4. 在「從 qwiklabs.net 中選擇一個帳戶」對話方塊，選取「」。

5. 在「Review data access」視窗，點選「Acknowledge」。

6. 在「Grant Consent」視窗，點選「Allow」。

7. 查看「Summary Overview」頁面。

   請注意，這裡的資料方塊彙整了資料風險、資料機密程度和資產類型等重要資訊。

8. 點選「Advanced Exploration (Asset Details)」，然後查看資料表。

您會看見 infoType 為 US_SOCIAL_SECURITY_NUMBER 的資料列。

9. 點選「Edit and share」。

10. 在「Enter your basic info」部分，選取任一國家/地區，並提供公司名稱，例如 NA。

11. 勾選方塊來同意服務條款，然後點選「Continue」。

12. 對於所有電子郵件接收設定，都選取「No」，然後點選「Continue」。

13. 在「Review data access before saving」視窗，點選「Acknowledgement and save」。

14. 在 Looker Studio，點選「View」即可查看報表。

15. 找出 infoType 為 US_SOCIAL_SECURITY_NUMBER 的資料列，然後點選該列第一欄的「Open」。

在 Sensitive Data Protection 查看詳細結果

1. 在「機密資料探索：Cloud Storage 檔案儲存庫剖析檔詳細資料」頁面，確認頂端選單列的「選取專案」已設為專案 ID ，然後查看頁面內容。

   請注意，該頁面顯示許多已掃描資源的詳細資料，包括 IAM 權限。

2. 展開「查看詳細的身分與存取權管理權限」旁的箭頭。

3. 展開「Storage 管理員」旁的箭頭。

這裡會將另一位使用者 () 列為 Cloud Storage 管理員，代表該使用者擁有資料的完整存取權。

工作 4：建立並執行檢查工作

在 Sensitive Data Protection 完成探索掃描後，通常會執行更詳細的檢查工作，進一步調查特定 infoType。

回想一下，您在工作 2 建立了檢查範本，打算用來進一步檢查美國社會安全號碼。在這項工作，您將使用該範本建立及執行檢查工作。

建立並執行檢查工作

1. 返回 Sensitive Data Protection 的「總覽」頁面。

2. 依序點選「檢查」分頁標籤 >「建立工作和工作觸發條件」。

3. 在「選擇輸入資料」部分，提供下列值：

屬性	值
工作 ID	us_ssn_inspection
位置類型	「多區域」>「us (多個美國區域)」
儲存空間類型	Google Cloud Storage
位置類型	掃描單一檔案或資料夾路徑
網址	gs://-input/ (務必在網址結尾加上 /)
以遞迴方式掃描	啟用這個選項 (必須在上述網址結尾加上 / 才能啟用)
取樣方法	將值調高至 100%
取樣方式	不進行任何取樣作業
檔案	選取「文字」和「CSV」(其他選項全部取消選取)，然後點選「確定」

4. 點選「繼續」。

5. 在「檢查範本」>「範本名稱」部分，新增檢查範本的路徑 (如下所示)，並將 TEMPLATE_ID 改成您在工作 2 修改的檢查範本 ID (例如 7216194786087173213)：

   projects//locations/global/inspectTemplates/TEMPLATE_ID

   如要再次查看範本 ID，請前往 Sensitive Data Protection「總覽」頁面的「設定」分頁。

注意：在「範本名稱」加入檢查範本路徑時，請確認路徑中沒有空格。

6. 其餘設定均保留預設值，然後點選「繼續」。

7. 在「新增動作」部分，啟用「儲存至 BigQuery」選項，並勾選「包含引言」核取方塊。

   啟用這個選項後，檢查工作會將可能包含機密資料的位置和內容複製到 BigQuery。

8. 提供實驗室預先建立的資料集和資料表，以將結果儲存至 BigQuery：

屬性	值
專案 ID
資料集 ID	cloudstorage_inspection
資料表 ID	us_ssn

9. 在「新增動作」部分，一併啟用「發布至 Security Command Center」。

10. 點選「繼續」。

11. 保留「時間表」的預設值「無 (建立後立即執行一次性工作)」，指示系統立即執行工作，然後點選「繼續」。

與探索掃描作業類似，您可以將檢查工作設為依特定排程執行。在本例中，工作會在建立完畢後立即執行。

12. 依序點選「建立」>「建立設定」來確認操作。

請留在這個頁面，等待工作完成。

工作狀態顯示為「完成」後，請繼續按照下一節的指示操作。

在 BigQuery 查看檢查工作結果

在上一節，您已選擇將檢查結果儲存至名為 us_ssn 的 BigQuery 資料表。只要點選下方按鈕，即可輕鬆前往 BigQuery 查看結果。

1. 點選「在 BigQuery 中查看發現項目」。

2. 點選 BigQuery 的「預覽」分頁標籤，查看資料表內容。

   請注意名為 quote 的資料欄，該欄包含檢查工作標為需額外檢查的確切值。您也可以向右捲動資料表，查看 container name 資料欄，確認引用值的所在位置 (尤其是檔案名稱)。

點選「Check my progress」，確認目標已達成。 建立並執行檢查工作。

工作 5：建立並執行去識別化工作

除了探索功能，您還能使用 Sensitive Data Protection 的另一項服務：去識別化。這項服務可協助您執行去識別化工作，建立 Cloud Storage 檔案的新副本，將機密資料遮蓋起來，藉此減少 Cloud Storage 的機密資料安全漏洞。這些新副本可供給下游工作流程使用，不必使用含有機密資料的原始版本。

在這項工作，您將使用在工作 2 建立的去識別化範本，建立並執行去識別化工作。

1. 返回 Sensitive Data Protection 的「總覽」頁面。

2. 依序點選「檢查」分頁標籤 >「建立工作和工作觸發條件」。

3. 在「選擇輸入資料」部分，提供下列值：

屬性	值
工作 ID	us_ssn_deidentify
位置類型	「多區域」>「us (多個美國區域)」
儲存空間類型	Google Cloud Storage
位置類型	透過選用的納入/排除規則掃描 bucket
bucket 名稱	-input
取樣方法	將值調高至 100%
取樣方式	不進行任何取樣作業
檔案	選取「文字」和「CSV」(其他選項全部取消選取)，然後點選「確定」

注意：請確認 bucket 名稱中沒有空格。

4. 在「排除路徑」部分，點選「新增檔案排除規則運算式」，然後在「排除路徑」部分輸入 ignore。

「排除路徑 1」的值現在會變成：

gs://-input/ignore

這個選項會指示去識別化工作忽略 ignore 子目錄中的檔案。

5. 其餘設定均保留預設值，然後點選「繼續」。

請注意，這裡不需要為檢查範本新增值。您將在後續步驟設定去識別化範本的值。

6. 在「設定偵測作業」部分，保留所有預設值，然後點選「繼續」。

7. 在「新增動作」部分，捲動頁面至底部，找到並啟用「建立去識別化副本」。

8. 在「結構化去識別化範本」部分，輸入先前為結構化檔案 (如 CSV 和文字檔) 建立的去識別化範本：

   projects//locations/global/deidentifyTemplates/us_ssn_deidentify

注意：請確認去識別化範本的路徑中沒有空格。

9. 啟用「將轉換作業詳細資料匯出至 BigQuery」，並提供實驗室預先建立的資料集和資料表，以將結果儲存至 BigQuery。

屬性	值
專案 ID
資料集 ID	cloudstorage_transformations
資料表 ID	deidentify_ssn_csv

10. 在「Cloud Storage 輸出位置」部分，指定以下值：

gs://-output

這個值會指示工作將遮蓋處理後的輸出內容，寫入實驗室為輸出檔案預先建立的第二個 bucket。

11. 在「檔案」部分，選取「文字」和「CSV」(其他選項全部取消選取)，然後點選「確定」

12. 點選「繼續」。

13. 保留「時間表」的預設值「無」，指示系統立即執行工作，然後點選「繼續」。

與檢查工作類似，去識別化工作的排程選項也包括定期 (例如每週) 執行。

14. 依序點選「建立」>「建立設定」來確認操作。

請留在這個頁面，等待工作完成。

工作狀態顯示為「完成」後，請勿關閉這個瀏覽器分頁，繼續按照下一節的指示操作。

在 BigQuery 查看去識別化的轉換詳細資料

在上一節，您選擇將去識別化詳細資料儲存至名為 deidentify_ssn_csv 的 BigQuery 資料表。在這一節，您將前往 BigQuery 查看轉換詳細資料。

1. 在 Google Cloud 控制台，依序點選「導覽選單」圖示 >「BigQuery」。

2. 在「Explorer」窗格，依序展開「」>「cloudstorage_transformations」，然後點選 deidentify_ssn_csv 資料表。

3. 點選「預覽」即可查看結果。

   請特別留意 container_name 和 transformation.type 資料欄，這兩欄會針對已使用特定轉換規則去識別化的檔案提供詳細資料。

查看去識別化的輸出內容

1. 返回檢查工作結果頁面，然後點選「設定」。

2. 向下捲動至「動作」>「Output bucket for de-identified Cloud Storage Data」。

3. 點選 bucket 連結 (gs://-output)，即可前往該 Cloud Storage bucket 查看去識別化檔案。

點選「Check my progress」，確認目標已達成。 建立並執行去識別化工作。

恭喜！

在這個實驗室，您完成了下列工作：啟用探索功能來持續監控 Cloud Storage 檔案中的機密資料、建立及修改可重複使用的檢查和去識別化範本、啟用將工作結果寫入 BigQuery 的選項，並依此執行檢查和去識別化工作，展開進一步調查。

後續步驟/瞭解詳情

歡迎參考下列資源，進一步瞭解如何在 Cloud Storage 使用 Sensitive Data Protection：

• 說明如何搭配 Cloud Storage 使用 Sensitive Data Protection 的文件頁面
• 說明如何為上傳至 Cloud Storage 的資料自動分類的文件頁面

Google Cloud 教育訓練與認證

協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。

使用手冊上次更新日期：2026 年 3 月 10 日

實驗室上次測試日期：2026 年 3 月 10 日

Copyright 2026 Google LLC 保留所有權利。Google 和 Google 標誌是 Google LLC 的商標，其他公司和產品名稱則有可能是其關聯公司的商標。