本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 使用主控台在 Amazon SNS 中建立資料保護政策
<a name="sns-message-data-protection-configure-console"></a>

**重要**  
Amazon SNS 訊息資料保護不再提供給新客戶。如需替代方案的詳細資訊和指引，請參閱 [Amazon SNS 訊息資料保護可用性變更](https://docs.aws.amazon.com/sns/latest/dg/sns-message-data-protection-availability-change.html)。

 AWS 帳戶中 Amazon SNS 資源的數量和大小有限。如需詳細資訊，請參閱 [Amazon Simple Notification Service 端點和配額](https://docs.aws.amazon.com/general/latest/gr/sns.html)。

**若要與 Amazon SNS 主題一起建立資料保護政策 (主控台)**  
使用此選項可同時建立新的資料保護政策與標準 Amazon SNS 主題。

1. 登入 [Amazon SNS 主控台](https://console.aws.amazon.com/sns/home)。

1. 選擇主題或建立新主題。如需建立主題的詳細資訊，請參閱[建立 Amazon SNS 主題](sns-create-topic.md)。

1. 在 **Create topic** (建立主題) 頁面的 **Details** (詳細資訊) 區段中，選擇 **Standard** (標準)。

   1. 輸入新主題的 **名稱** (Name)。

   1. (選用) 為主題輸入 **Display name** (顯示名稱)。

1. 展開 **Data protection policy** (資料保護政策)。

1. 選擇 **Configuration mode** (組態模式)：
   + **Basic** (基本) - 使用簡單的功能表定義資料保護政策。
   + **Advanced** (進階) - 使用 JSON 定義自訂資料保護政策。

1. (選用) 若要建立自己的**自訂資料識別符**，請展開**自訂資料識別符組態區段**，並執行下列動作：

   1. 輸入自訂資料識別符的唯一**名稱**。自訂資料識別符的名稱可支援英數字、底線 (\_) 和連字號 (-) 字元。最多可支援 128 個字元。此名稱不可與[受管資料識別符](sns-message-data-protection-managed-data-identifiers.md)的名稱相同。如需自訂資料識別符限制的完整清單，請參閱 [自訂資料識別符的限制](sns-message-data-protection-custom-data-identifiers.md#custom-data-identifiers-limitations)。

   1. 輸入自訂資料識別符的規則運算式 (RegEx)。RegEx 可支援英數字元、RegEx 保留字元和符號。RegEx 的長度上限為 200 個字元。如果 RegEx 太過複雜，Amazon SNS 會讓 API 呼叫失敗。如需 RegEx 限制的完整清單，請參閱 [自訂資料識別符的限制](sns-message-data-protection-custom-data-identifiers.md#custom-data-identifiers-limitations)。

   1. (選用) 選擇**新增自訂資料識別符**，視需要新增其他資料識別符。每個資料保護政策最多可支援 10 個自訂資料識別符。

1. 選擇您要新增至資料保護政策的陳述式。您可以將**audit** (稽核)、**de-identify** (去識別化) (遮罩或修訂) 和**deny** (拒絕) (封鎖) 陳述式類型新增至相同的資料保護政策。

   1. **Add audit statement** (新增稽核陳述式) - 設定要稽核的敏感資料、要稽核該資料的訊息百分比，以及將稽核日誌傳送到何處。
**注意**  
每個資料保護政策或主題僅允許一個稽核陳述式。

      1. 選取 **data identifiers** (資料識別符) 定義您要稽核的敏感資料。

      1. 對於 **Audit sample rate** (稽核採樣率)，輸入要稽核機密資訊的訊息百分比，上限為 99%。

      1. 針對**稽核目的地**，選取要 AWS 服務 傳送稽核調查結果結果的目的地，然後針對 AWS 服務 您使用的每個項目輸入目的地名稱。您可以從以下 Amazon Web Services 中進行選擇：
         + **Amazon CloudWatch** - CloudWatch Logs 是 AWS 標準記錄解決方案。使用 CloudWatch Logs，您可以使用 Logs Insights 執行日誌分析 ([在這裡查看範例](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_QuerySyntax-examples.html)) 並建立指標和警示。CloudWatch Logs 是許多服務發佈日誌的地方，這可以簡化使用單一解決方案彙總所有日誌。如需 Amazon CloudWatch 的詳細資訊，請參閱 [Amazon CloudWatch 使用者指南](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/WhatIsCloudWatch.html)。
         + **** – Firehose 滿足即時串流至 Splunk、OpenSearch 和 Amazon Redshift 的需求，以進行進一步的日誌分析。如需 的相關資訊，請參閱[《 使用者指南》](https://docs.aws.amazon.com/firehose/latest/dev/what-is-this-service.html)。
         + **Amazon Simple Storage Service** - Amazon S3 是用於存檔的經濟型日誌目的地。您可能需要保留日誌一段時間。在此情況下，您可以將日誌放入 Amazon S3 中以節省成本。如需 Amazon Simple Storage Service 的相關資訊，請參閱 [Amazon Simple Storage Service 使用者指南](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Welcome.html)。

   1. **Add a de-identify statement** (新增去識別化陳述式) - 設定您要在訊息中去識別化 (無論遮罩或修訂) 的敏感資料，以及停止傳遞該資料的帳戶。

      1. 針對 **Data identifiers** (資料識別符)，請選取您要去識別化的敏感資料。

      1. 針對**定義此去識別化陳述**式，選取套用此去識別化陳述式 AWS 的帳戶或 IAM 主體。您可以將其套用至**所有 AWS 帳戶**，或使用帳戶 ID 或 IAM 實體 ARN 的**特定 AWS 帳戶**或 **IAM 實體** (帳戶根目錄、角色或使用者)。使用逗號 (,) 分隔多個 ID 或 ARN。

         以下是支援的 [IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html) 主體：
         + **IAM account principals** (IAM 帳戶主體) - 例如 `arn:aws:iam::AWS-account-ID:root`。
         + **IAM role principals** (IAM 角色主體) - 例如 `arn:aws:iam::AWS-account-ID:role/role-name`。
         + **IAM user principals** (IAM 使用者主體) - 例如 `arn:aws:iam::AWS-account-ID:user/user-name`。

      1. 針對 **De-identify Option** (去識別化選項)，請選取您要如何去識別化敏感資料。支援下列選項：
         + **Redact** (修訂) - 完全移除資料。例如，電子郵件：`classified@amazon.com` 變成電子郵件：` `。
         + **Mask** (遮罩) - 以單一字元取代資料。例如，電子郵件：`classified@amazon.com` 變成電子郵件：`*********************`。

      1. (選用) 視需要繼續新增去識別化陳述式。

   1. **Add deny statement** (新增拒絕陳述式) - 設定要防止在您的主題中移動的敏感資料，以及要防止哪些主參與者傳送該資料。

      1. 針對 **data direction** (資料方向)，請選擇拒絕陳述式的訊息方向：
         + **Inbound messages** (傳入訊息) - 將此拒絕陳述式套用至傳送至主題的訊息。
         + **Outbound messages** (傳出訊息) - 將此拒絕陳述式套用至主題傳遞給訂閱端點的訊息。

      1. 選擇 **data identifiers** (資料識別符) 定義您要拒絕的敏感資料。

      1. 選擇此拒絕陳述式套用的 **IAM principals** (IAM 主體)。您可以將其套用至使用** AWS 帳戶 ID 或 IAM 實體 ARN 的所有**帳戶、**特定 AWS 帳戶**或 IAM 實體 （例如帳戶根目錄、角色或使用者）。 **** IDs ARNs 使用逗號 (,) 分隔多個 ID 或 ARN。以下是支援的 [IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html) 主體：
         + **IAM account principals** (IAM 帳戶主體) - 例如 `arn:aws:iam::AWS-account-ID:root`。
         + **IAM role principals** (IAM 角色主體) - 例如 `arn:aws:iam::AWS-account-ID:role/role-name`。
         + **IAM user principals** (IAM 使用者主體) - 例如 `arn:aws:iam::AWS-account-ID:user/user-name`。

      1. (選用) 視需要繼續新增拒絕陳述式。