# Proteger dados sensíveis
<a name="mask-sensitive-data"></a>

O Amazon CloudWatch Logs usa políticas de proteção de dados para identificar dados sensíveis e definir ações para proteger esses dados. Você deve usar identificadores de dados para selecionar os dados sigilosos de interesse. O Amazon CloudWatch Logs detecta os dados sensíveis usando machine learning e comparação de padrões. Você pode definir operações de auditoria e mascaramento para registrar em log descobertas de dados sensíveis e mascarar dados sensíveis ao visualizar eventos de logs.

Para saber mais, consulte [Proteger dados de logs sensíveis com mascaramento](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/cloudwatch-logs-data-protection-policies.html).

Você pode configurar a proteção de dados no Amazon Bedrock AgentCore ao **nível da conta** ou ao **nível do grupo de logs**. Com a proteção de dados ao nível da conta, as regras de proteção de dados são aplicadas a todos os logs da conta. Com a proteção de dados ao nível do log, as regras de proteção de dados são aplicadas a todos os grupos de logs da conta. Dessa maneira, você tem controle granular de como os dados de PII são mascarados em sua conta.

**Para configurar a proteção de dados ao nível da conta**

1. Abra o console do Amazon CloudWatch.

1. No painel de navegação, selecione **Configurações**.

1. Escolha a guia **Logs**.

1. Escolha **Configurar a política de proteção de dados da conta**.

1. Especifique os identificadores de dados relevantes para seus dados.
   + Para usar um identificador de dados predefinido, no menu suspenso **Identificadores de dados gerenciados**, selecione os identificadores de dados relevantes para seus dados.
   + Para usar um identificador de dados personalizado, escolha **Adicionar identificador de dados personalizado** e especifique um nome para o identificador e um padrão Regex para os dados a serem protegidos.

1. (*Opcional*) Escolha um destino para as descobertas de auditoria.
   + Para enviar as descobertas de auditoria para um log do CloudWatch, escolha **Amazon CloudWatch Logs** e depois selecione o grupo de logs de destino.
   + Para enviar as descobertas de auditoria para um fluxo do Firehose, escolha **Amazon Data Firehose** e depois selecione o fluxo de destino no Firehose.
   + Para enviar as descobertas de auditoria para um bucket do Amazon S3, escolha **Amazon S3** e depois selecione o bucket de destino no Amazon S3.

1. Escolha **Activate data protection (Ativar proteção de dados)**.

**Para configurar a proteção de dados ao nível do grupo de logs**

1. Abra o console do Amazon CloudWatch.

1. No painel de navegação, selecione **Logs**, **Gerenciamento de logs**.

1. Escolha a guia **Grupos de logs**, selecione o grupo de logs no qual deseja habilitar a proteção de dados e escolha **Criar política de proteção de dados**.

1. Especifique os identificadores de dados relevantes para seus dados.
   + Para usar um identificador de dados predefinido, no menu suspenso **Identificadores de dados gerenciados**, selecione os identificadores de dados relevantes para seus dados.
   + Para usar um identificador de dados personalizado, escolha **Adicionar identificador de dados personalizado** e especifique um nome para o identificador e um padrão Regex para os dados a serem protegidos.

1. (*Opcional*) Escolha um destino para as descobertas de auditoria.
   + Para enviar as descobertas de auditoria para um log do CloudWatch, escolha **Amazon CloudWatch Logs** e depois selecione o grupo de logs de destino.
   + Para enviar as descobertas de auditoria para um fluxo do Firehose, escolha **Amazon Data Firehose** e depois selecione o fluxo de destino no Firehose.
   + Para enviar as descobertas de auditoria para um bucket do Amazon S3, escolha **Amazon S3** e depois selecione o bucket de destino no Amazon S3.

1. Escolha **Activate data protection (Ativar proteção de dados)**.