使用遮罩功能協助保護敏感日誌資料

您可以使用記錄群組資料保護原則，協助保護 CloudWatch 記錄所擷取的敏感資料。這些政策可讓您稽核和遮罩出現在帳戶中日誌群組擷取之日誌事件中的敏感資料。

當您建立資料保護原則時，依預設，會在所有輸出點 (包括 CloudWatch Logs Insights、指標篩選器和訂閱篩選器) 上遮罩符合您選取之資料識別碼的敏感資料。只有具有 logs:Unmask IAM 許可的使用者才能檢視未遮罩的資料。

您可以為帳戶中的所有日誌群組建立資料保護政策，也可以為個別日誌群組建立資料保護政策。當您為整個帳戶建立政策時，它會套用至現有的日誌群組和未來建立的日誌群組。

如果您為整個帳戶建立資料保護政策，並且也為單一日誌群組建立政策，則這兩個政策都會套用至該日誌群組。在任一政策中指定的所有受管資料識別符都會在該日誌群組中進行稽核和遮罩。

每個日誌群組只能有一個日誌群組層級資料保護政策，但該政策可以指定許多受管資料識別符來稽核和遮罩。資料保護政策的限制為 30,720 個字元。

CloudWatch Logs 支援許多受管資料識別碼，這些識別碼提供預先設定的資料類型，您可以選擇保護財務資料、個人健康資訊 (PHI) 和個人識別資訊 (PII)。 CloudWatch 日誌資料保護可讓您利用模式比對和機器學習模型來偵測機密資料。對於某些類型的託管數據標識符，檢測還取決於找到與敏感數據相鄰的某些關鍵字。您還可以使用自定義數據標識符來創建根據您的特定用例量身定制的數據標識符。

CloudWatch 當偵測到符合您選取的資料識別碼的敏感資料時，就會發出指標。這是LogEventsWithFindings量度，會在 AWS/ 記錄檔命名空間中發出。您可以使用此量度建立 CloudWatch 警示，也可以在圖形和儀表板中將其視覺化。資料保護發出的指標是付費指標，但在此免費提供。如需有關 CloudWatch 記錄檔傳送至的指標的詳細資訊 CloudWatch，請參閱使用 CloudWatch 指標監控。

每個受管理資料識別碼都是為了偵測特定類型的敏感資料而設計，例如特定國家或地區的信用卡號碼、 AWS 秘密存取金鑰或護照號碼。建立資料保護政策時，您可以將 CloudWatch Logs 設定為使用這些識別符，來分析由日誌群組擷取的日誌，並在偵測到日誌時採取動作。

CloudWatch 記錄檔資料安全防護可以使用受管資料識別碼來偵測下列類別的敏感資料：

如需有關可保護之資料類型的詳細資訊，請參閱您可以保護的資料類型。