Google Cloud Data Loss Prevention 拡張機能

バージョン: 1.2.0

この拡張機能を使用すると、コンテンツや画像に含まれる機密データを難読化できます。たとえば、クレジット カード番号、名前、社会保障番号を秘匿化できます。

ここでは、この拡張機能を構成して使用する方法についてのリファレンスを提供します。この拡張機能の構成に関するリファレンスについては、構成リファレンスをご覧ください。

前提条件

ここでは、この拡張機能を構成して使用する方法についてのリファレンスを提供します。ExtensionCallout ポリシーで API プロキシ経由で拡張機能を使用する前に、次のことを行う必要があります。

  1. プロジェクトで Google Cloud DLP API を有効にします

  2. 拡張機能のために必要となるアクセスレベルに権限を付与します

  3. GCP Console でサービス アカウントキーを作成します

  4. 拡張機能の追加と構成を行うときに、構成リファレンスを使用して、生成されたキーの JSON ファイルのコンテンツを使用します。

Cloud Data Loss Prevention(DLP)について

Cloud Data Loss Prevention(DLP)は、機密データを識別して管理するため、テキスト、画像、その他のデータを検査する API です。

詳しくは、DLP の概要をご覧ください。この拡張機能が公開する API のリファレンスについては、Cloud Data Loss Prevention(DLP)API をご覧ください。

サンプル

次の例は、ExtensionCallout ポリシーを使用して Cloud Spanner 拡張機能アクションのサポートを構成する方法を示しています。

このサンプルコードを簡単にするため、以下の例では AssignMessage ポリシーを使用して、Trace ツールに表示するフロー変数の値を設定し、拡張機能のレスポンス値を取得します。

アスタリスクによるマスキング

この例は deidentifyWithMask アクションを使用して、指定されたテキストのタイプをポリシーで指定された文字でマスクします(ここでは * 文字)。

次の AssignMessage ポリシーは、明確にする目的で request.content 変数を設定します。通常は、クライアントのリクエストからリクエストを取得します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AssignMessage async="false" continueOnError="false" enabled="true" name="Set-Variable">
        <DisplayName>Set Variable</DisplayName>
        <AssignTo type="response" createNew="false"/>
        <AssignVariable>
            <Name>request.content</Name>
            <Value>Visit my site at https://example.com. Or contact me at gladys@example.com.</Value>
        </AssignVariable>
    </AssignMessage>
    

次の ExtensionCallout ポリシーは request.content 変数の値を取得し、これを Cloud DLP 拡張機能(ここでは example-dlp と呼ばれます)に渡します。この拡張機能は URLEMAIL_ADDRESSinfoTypes に基づいた値をマスクするように構成されています。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <ConnectorCallout async="false" continueOnError="true" enabled="true" name="Data-Loss-Extension-Callout">
        <DisplayName>Data Loss Prevention Extension Callout</DisplayName>
        <Connector>example-dlp</Connector>
        <Action>deidentifyWithMask</Action>
        <Input><![CDATA[{
            "text" : "{request.content}",
            "mask" : "*"
        }]]></Input>
        <Output>masked.output</Output>
    </ConnectorCallout>
    

次の AssignMessage ポリシーは、Trace ツールに表示する拡張機能の出力を取得します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AssignMessage async="false" continueOnError="false" enabled="true" name="Get-DLP-Output">
        <DisplayName>Get DLP Output</DisplayName>
        <AssignTo type="response" createNew="false"/>
        <Set>
            <Payload contentType="application/json">{masked.output}</Payload>
        </Set>
    </AssignMessage>
    

このコードからの出力の例は次のとおりです。

{"text":"Visit my site at ******************* Or contact me at *****************."}
    

名前によるマスキング

この例は deidentifyWithType アクションを使用して、指定されたテキストのタイプを infoType 名自身でマスクします。たとえば、メールアドレス gladys@example.comEMAIL_ADDRESS に置き換えます。

次の AssignMessage ポリシーは、明確にする目的で request.content 変数を設定します。通常は、クライアントのリクエストからリクエストを取得します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AssignMessage async="false" continueOnError="false" enabled="true" name="Set-Variable">
        <DisplayName>Set Variable</DisplayName>
        <AssignTo type="response" createNew="false"/>
        <AssignVariable>
            <Name>request.content</Name>
            <Value>Visit my site at https://example.com. Or contact me at gladys@example.com.</Value>
        </AssignVariable>
    </AssignMessage>
    

次の ExtensionCallout ポリシーrequest.content 変数の値を取得し、これを Cloud DLP 拡張機能(ここでは example-dlp と呼ばれます)に渡します。この拡張機能は URLEMAIL_ADDRESSinfoTypes に基づいた値をマスクするように構成されています。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <ConnectorCallout async="false" continueOnError="true" enabled="true" name="Data-Loss-Extension-Callout">
        <DisplayName>Data Loss Prevention Extension Callout</DisplayName>
        <Connector>example-dlp</Connector>
        <Action>deidentifyWithType</Action>
        <Input><![CDATA[{
            "text" : "{request.content}"
        }]]></Input>
        <Output>masked.output</Output>
    </ConnectorCallout>
    

次の AssignMessage ポリシーは、Trace ツールに表示する拡張機能の出力を取得します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <AssignMessage async="false" continueOnError="false" enabled="true" name="Get-DLP-Output">
        <DisplayName>Get DLP Output</DisplayName>
        <AssignTo type="response" createNew="false"/>
        <Set>
            <Payload contentType="application/json">{masked.output}</Payload>
        </Set>
    </AssignMessage>
    

このコードからの出力の例は次のとおりです。

{"text":"Visit my site at [URL] Or contact me at [EMAIL_ADDRESS]."}
    

アクション

deidentifyWithMask

text に含まれる機密データを匿名化し、そのデータを mask 文字でマスクします。このアクションは、拡張機能の構成infoTypes プロパティで指定された text の部分をマスクします。

機密データのマスキングによって、文字がアスタリスク(*)やハッシュ(#)などの記号で置き換えられます。処理対象とする機密データのタイプは、拡張機能構成で構成できます。

構文

<Action>deidentifyWithMask</Action>
    <Input><![CDATA[{
      "text" : "text-to-deidentify",
      "mask" : "masking-character"
    }]]></Input>
    

次の例では、マスク対象の入力は input.email.address フロー変数に保存されたメールアドレスです。この特定の例をサポートするには、この拡張機能が EMAIL_ADDRESS infoType をサポートするように構成されている必要があります。infoType のリストについては、infoType 検出器リファレンスをご覧ください。

<Action>deidentifyWithMask</Action>
    <Input><![CDATA[{
        "text" : "{input.email.address}",
        "mask" : "*"
    }]]></Input>
    <Output>masked.output</Output>
    

この例の出力は次のようになります。

{"text":"*****************"}
    

リクエスト パラメータ

パラメータ 説明 デフォルト 必須
text 匿名化するテキスト。 文字列 なし
mask 機密データをマスクするために使用する文字。 文字列 なし

レスポンス

入力テキストの値は、指定された infoTypes から指定文字に置き換えられます。次に例を示します。

{"text":"*********"}
    

deidentifyWithType

テキスト コンテンツ内の機密データを、一致する各値を infoType の名前で置き換えることによって匿名化します。infoType のリストについては、infoType 検出器リファレンスをご覧ください。このアクションは、拡張機能の構成infoTypes プロパティで指定された text の部分をマスクします。

次の例では、サービスによって電話番号が識別されると、その番号が infoType 自体の名前で置き換えられます。

  • 入力テキスト:

    John Smith, 123 Main St, Seattle, WA 98122, 206-555-0123.

  • 処理後のテキスト:

    John Smith, 123 Main St, Seattle, WA 98122, PHONE_NUMBER.

構文

<Action>deidentifyWithType</Action>
    <Input><![CDATA[{
      "text" : "text-to-deidentify"
    }]]></Input>
    

次の例では、マスク対象の入力は input.email.address フロー変数に保存されたメールアドレスです。この特定の例をサポートするには、この拡張機能が EMAIL_ADDRESS infoType をサポートするように構成されている必要があります。infoType のリストについては、infoType 検出器リファレンスをご覧ください。

<Action>deidentifyWithType</Action>
    <Input><![CDATA[{
        "text" : "{input.email.address}"
    }]]></Input>
    

この例の出力は次のようになります。

{"text":"EMAIL_ADDRESS"}
    

リクエスト パラメータ

パラメータ 説明 デフォルト 必須
text 匿名化するテキスト。 文字列 なし

レスポンス

入力テキストの値は、指定された infoTypes から infoType 名に置き換えられます。次に例を示します。

{"text":"EMAIL_ADDRESS"}
    

redactImage

infoType カテゴリのいずれかに分類されるテキストを秘匿化します。秘匿化されたコンテンツが検出されると、不透明な矩形で難読化されます。このアクションは、拡張機能の構成infoTypes プロパティで指定された image_data の部分をマスクします。

infoType のリストについては、infoType 検出器リファレンスをご覧ください。

リクエスト パラメータ

<Action>redactImage</Action>
    <Input><![CDATA[{
      "image_data" : "base64-encoded-image-to-analyze",
      "image_type" : "type-of-image"
    }]]></Input>
    
パラメータ 説明 デフォルト 必須
image_data base64 でエンコードされた画像データ。 文字列 なし
image_type 画像タイプの定数。有効な値は、IMAGE_JPEG、IMAGE_BMP、IMAGE_PNG、IMAGE_SVG です。 文字列 なし

レスポンス

テキストが秘匿化された画像。

構成リファレンス

API プロキシで使用するためにこの拡張機能を構成およびデプロイする場合は、次の項目を参照してください。Apigee Console で拡張機能を構成する手順については、拡張機能の追加と構成をご覧ください。

拡張機能の共通プロパティ

以下のプロパティはすべての拡張機能に存在します。

プロパティ 説明 デフォルト 必須
name この拡張機能の構成に指定する名前。 なし
packageName Apigee Edge によって指定された、拡張機能パッケージの名前。 なし
version 構成する拡張機能が含まれる拡張機能パッケージのバージョン番号。 なし
configuration 追加する拡張機能に固有の構成値。こちらの拡張機能パッケージのプロパティをご覧ください。 なし

この拡張機能パッケージのプロパティ

この拡張機能に固有の以下の構成プロパティに値を指定します。

プロパティ 説明 デフォルト 必須
projectId Cloud Data Loss Prevention API が有効にされている GCP プロジェクトのプロジェクト ID。 なし
infoType 機密データの情報タイプ。省略すると、サービスはすべての組み込みタイプを検出します。Google Cloud DLP サービスがサポートする infoTypes のリストについては、infoType 検出器リファレンスをご覧ください。 なし ×
credentials Apigee Edge コンソール内で入力する場合は、サービス アカウントのキーファイルの内容です。管理 API を使用して設定する場合は、サービス アカウントのキーファイルから生成された、base64 でエンコード済みの値です。 なし