Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Erstellen einer Datenschutzrichtlinie für eine einzelne Protokollgruppe
Sie können die CloudWatch Logs-Konsole oder AWS CLI Befehle verwenden, um eine Datenschutzrichtlinie zum Maskieren vertraulicher Daten zu erstellen.
Sie können jeder Protokollgruppe eine Datenschutzrichtlinie zuweisen. Jede Datenschutzrichtlinie kann mehrere Arten von Informationen überprüfen. Jede Datenschutzrichtlinie kann eine Audit-Anweisung enthalten.
**Topics**
+ [Konsole](#mask-sensitive-log-data-start-console)
+ [AWS CLI](#mask-sensitive-log-data-start-cli)
## Konsole
**Verwenden der Konsole zum Erstellen einer Datenschutzrichtlinie**
1. Öffnen Sie die CloudWatch Konsole unter [https://console.aws.amazon.com/cloudwatch/](https://console.aws.amazon.com/cloudwatch/).
1. Wählen Sie im Navigationsbereich **Logs (Protokolle)**, **Log groups (Protokollgruppen)** aus.
1. Wählen Sie den Namen der Protokollgruppe aus.
1. Wählen Sie **Actions** (Aktionen), **Create data protection policy** (Datenschutzrichtlinie erstellen) aus.
1. Wählen Sie **unter Verwaltete Datenbezeichner** die Datentypen aus, die Sie in dieser Protokollgruppe prüfen und maskieren möchten. Sie können im Auswahlfeld eingeben, welche Kennungen Sie finden möchten.
Wir empfehlen Ihnen, nur die Datenkennungen auszuwählen, die für Ihre Protokolldaten und Ihr Unternehmen relevant sind. Die Auswahl vieler Datentypen kann zu falsch-positiven Ergebnissen führen.
Einzelheiten dazu, welche Datentypen Sie mithilfe verwalteter Datenbezeichner schützen können, finden Sie unter. [Arten von Daten, die Sie schützen können](protect-sensitive-log-data-types.md)
1. (Optional) Wenn Sie andere Datentypen mithilfe benutzerdefinierter Datenbezeichner prüfen und maskieren möchten, wählen Sie Benutzerdefinierten Datenbezeichner **hinzufügen**. Geben Sie dann einen Namen für den Datentyp und den regulären Ausdruck ein, mit dem in den Protokollereignissen nach diesem Datentyp gesucht werden soll. Weitere Informationen finden Sie unter [Benutzerdefinierte Datenbezeichner](CWL-custom-data-identifiers.md).
Eine einzelne Datenschutzrichtlinie kann bis zu 10 benutzerdefinierte Datenkennungen enthalten. Jeder reguläre Ausdruck, der einen benutzerdefinierten Datenbezeichner definiert, muss 200 Zeichen oder weniger lang sein.
1. (Optional) Wählen Sie einen oder mehrere Services aus, an die Sie die Audit-Ergebnisse senden möchten. Auch wenn Sie sich dafür entscheiden, keine Audit-Ergebnisse an einen dieser Services zu senden, werden die von Ihnen ausgewählten vertraulichen Datentypen dennoch maskiert.
1. Wählen Sie **Activate data protection** (Datenschutz aktivieren) aus.
## AWS CLI
**Um den AWS CLI zu verwenden, um eine Datenschutzrichtlinie zu erstellen**
1. Verwenden Sie einen Text-Editor, um eine Richtliniendatei mit dem Namen `DataProtectionPolicy.json` zu erstellen. Informationen zur Richtliniensyntax finden Sie im folgenden Abschnitt.
1. Geben Sie den folgenden Befehl ein:
```
aws logs put-data-protection-policy --log-group-identifier "{{my-log-group}}" --policy-document file:///Path/DataProtectionPolicy.json --region {{us-west-2}}
```
### Syntax der Datenschutzrichtlinie für AWS CLI unsere API-Operationen
Wenn Sie eine JSON-Datenschutzrichtlinie zur Verwendung in einem AWS CLI Befehl oder einer API-Operation erstellen, muss die Richtlinie zwei JSON-Blöcke enthalten:
+ Der erste Block muss sowohl ein `DataIdentifer`-Array als auch eine `Operation`-Eigenschaft mit einer`Audit`-Aktion enthalten. Das `DataIdentifer`-Array listet die vertraulichen Datentypen auf, die Sie maskieren möchten. Weitere Informationen zu den verfügbaren Optionen finden Sie unter [Arten von Daten, die Sie schützen können](protect-sensitive-log-data-types.md).
Die `Operation`-Eigenschaft mit der `Audit`-Aktion ist erforderlich, um die Begriffe für vertrauliche Daten zu finden. Diese `Audit`-Aktion muss ein `FindingsDestination`-Objekt enthalten. Sie können dieses `FindingsDestination`-Objekt optional verwenden, um ein oder mehrere Ziele aufzulisten, an die Prüfergebnisberichte gesendet werden sollen. Wenn Sie Ziele wie Protokollgruppen, Amazon Data Firehose-Streams und S3-Buckets angeben, müssen diese bereits vorhanden sein. Ein Beispiel für einen Prüfergebnisbericht finden Sie unter [Prüfergebnisberichte](mask-sensitive-log-data-audit-findings.md).
+ Der zweite Block muss sowohl ein `DataIdentifer`-Array als auch eine `Operation`-Eigenschaft mit einer `Deidentify`-Aktion enthalten. Das `DataIdentifer`-Array muss genau mit dem `DataIdentifer`-Array im ersten Block der Richtlinie übereinstimmen.
Die `Operation`-Eigenschaft mit der `Deidentify`-Aktion maskiert die Daten tatsächlich und muss das` "MaskConfig": {}`-Objekt enthalten. Das ` "MaskConfig": {}`-Objekt muss leer sein.
Im Folgenden finden Sie ein Beispiel für eine Datenschutzrichtlinie, die E-Mail-Adressen und Führerscheine der Vereinigten Staaten maskiert.
```
{
"Name": "data-protection-policy",
"Description": "test description",
"Version": "2021-06-01",
"Statement": [{
"Sid": "audit-policy",
"DataIdentifier": [
"arn:aws:dataprotection::aws:data-identifier/EmailAddress",
"arn:aws:dataprotection::aws:data-identifier/DriversLicense-US"
],
"Operation": {
"Audit": {
"FindingsDestination": {
"CloudWatchLogs": {
"LogGroup": "{{EXISTING_LOG_GROUP_IN_YOUR_ACCOUNT}},"
},
"Firehose": {
"DeliveryStream": "{{EXISTING_STREAM_IN_YOUR_ACCOUNT}}"
},
"S3": {
"Bucket": "{{EXISTING_BUCKET}}"
}
}
}
}
},
{
"Sid": "redact-policy",
"DataIdentifier": [
"arn:aws:dataprotection::aws:data-identifier/EmailAddress",
"arn:aws:dataprotection::aws:data-identifier/DriversLicense-US"
],
"Operation": {
"Deidentify": {
"MaskConfig": {}
}
}
}
]
}
```