Création de politiques de protection des données dans Amazon SNS à l'aide de la console

Le nombre et la taille des ressources Amazon SNS d'un AWS compte sont limités. Pour plus d'informations, consultez Points de terminaison et quotas Amazon Simple Notification Service.

Pour créer une politique de protection des données ainsi qu'une rubrique Amazon SNS (console)

Cette option permet de créer une politique de protection des données ainsi qu'une rubrique Amazon SNS standard.

1. Connectez-vous à la console Amazon SNS.

2. Choisissez une rubrique ou créez-en une. Pour plus d'informations sur la création de rubriques, consultez Création d'une rubrique Amazon SNS.

3. Sur la page Create topic (Création d'une rubrique), dans la section Details (Détails), choisissez Standard.

   1. Entrez un Nom pour la rubrique.

   2. (Facultatif) Entrez un Nom d'affichage pour votre rubrique.

4. Développez Data protection policy (Politique de protection des données).

5. Choisissez un Configuration mode (Mode de configuration) :

   • Basic (Basique) : définissez une politique de protection des données à l'aide d'un menu simple.

   • Advanced (Avancé) : définissez une politique de protection des données personnalisée à l'aide de JSON.

6. (Facultatif) Pour créer votre propre identifiant de données personnalisé, développez la section Configuration d'un identifiant de données personnalisé et procédez comme suit :

   1. Attribuez un nom unique à l'identificateur de données personnalisé. Les noms d'identifiants de données personnalisés prennent en charge les caractères alphanumériques, le trait de soulignement (_) et le tiret (-). La prise en charge se limite à 128 caractères. Ce nom ne peut pas être identique à un identifiant de données géré. Pour obtenir la liste complète des limitations des identifiants de données personnalisés, consultez Contraintes liées aux identifiants de données personnalisés.

   2. Entrez une expression régulière (RegEx) pour l'identifiant de données personnalisé. RegExprend en charge les caractères alphanumériques, les caractères RegEx réservés et les symboles. RegEx a une longueur maximale de 200 caractères. Si RegEx c'est trop compliqué, Amazon SNS échouera à l'appel d'API. Pour une liste complète des RegEx limitations, voirContraintes liées aux identifiants de données personnalisés.

   3. (Facultatif) Sélectionnez Ajouter un identifiant de données personnalisé pour ajouter des identifiants de données supplémentaires, si nécessaire. Le nombre d'identifiants de données personnalisés pris en charge pour chaque politique de protection des données est limité à 10.

7. Choisissez la ou les instructions que vous souhaitez ajouter à votre politique de protection des données. Vous pouvez ajouter les types de déclarations audit (auditer), de-identify (anonymiser) (masquage ou suppression) et deny (refuser) (blocage) à la même politique de protection des données.

   1. Add audit statement (Ajouter une instruction d'audit) : configurez les données sensibles à auditer, le pourcentage de messages que vous souhaitez auditer pour ces données et l'endroit où envoyer les journaux d'audit.

      Note

      Une seule instruction d'audit est autorisée par politique ou rubrique de protection des données.

      1. Sélectionnez les identifiants des données pour définir les données sensibles que vous souhaitez auditer.

      2. Pour Audit sample rate (Taux d'échantillonnage d'audit), entrez le pourcentage de messages à auditer pour détecter des informations sensibles, jusqu'à un maximum de 99 %.

      3. Pour Destination de l'audit, sélectionnez celle Services AWS à laquelle vous souhaitez envoyer les résultats de l'audit et entrez un nom de destination pour chacune des destinations Service AWS que vous utilisez. Vous pouvez faire votre choix parmi les Amazon Web Services suivants :

         • Amazon CloudWatch — CloudWatch Logs est la solution de journalisation AWS standard. À l'aide de CloudWatch Logs, vous pouvez effectuer des analyses de journaux à l'aide de Logs Insights (voir des exemples ici) et créer des métriques et des alarmes. CloudWatch Les journaux sont l'endroit où de nombreux services publient des journaux, ce qui facilite l'agrégation de tous les journaux à l'aide d'une seule solution. Pour plus d'informations sur Amazon CloudWatch, consultez le guide de CloudWatch l'utilisateur Amazon.

         • Amazon Data Firehose — Firehose répond aux demandes de diffusion en temps réel vers Splunk, et OpenSearch Amazon Redshift pour des analyses supplémentaires des journaux. Pour plus d'informations sur Amazon Data Firehose, consultez le guide de l'utilisateur d'Amazon Data Firehose.

         • Amazon Simple Storage Service : Amazon S3 est une destination économique pour les journaux à des fins d'archivage. Il se peut que vous deviez conserver des journaux pendant plusieurs années. Dans ce cas, vous pouvez les placer dans Amazon S3 pour réduire les coûts. Pour plus d'informations sur Amazon Simple Storage Service, consultez le Guide de l'utilisateur Amazon Simple Storage Service.

   2. Add a de-identify statement (Ajouter une déclaration d'anonymisation) : configurez les données sensibles que vous souhaitez anonymiser dans le message, que vous souhaitiez masquer ou supprimer ces données, et les comptes pour arrêter la diffusion de ces données.

      1. Pour Data identifiers (Identifiants de données), sélectionnez les données sensibles que vous souhaitez anonymiser.

      2. Pour Définir cette déclaration d'anonymisation pour, sélectionnez les AWS comptes ou les principaux IAM auxquels cette déclaration d'anonymisation s'applique. Vous pouvez l'appliquer à tous les AWS comptes, ou à des AWS comptes ou entités IAM spécifiques (racines de compte, rôles ou utilisateurs) qui utilisent un compte IDs ou une entité IAM. ARNs Séparez les multiples IDs ou ARNs utilisez une virgule (,).

         Les principaux IAM suivants sont pris en charge :

         • IAM account principals (Principaux du compte IAM) : par exemple, arn:aws:iam::AWS-account-ID:root.

         • IAM role principals (Principaux du rôle IAM) : par exemple, arn:aws:iam::AWS-account-ID:role/role-name.

         • IAM user principals (Principaux de l'utilisateur IAM) : par exemple, arn:aws:iam::AWS-account-ID:user/user-name.

      3. Pour De-identify Option (Option d'anonymisation), sélectionnez les données sensibles que vous souhaitez anonymiser. Les options suivantes sont prises en charge :

         • Redact (Supprimer) : supprime complètement les données. Par exemple, l'e-mail : [e-mail] devient l'e-mail : .

         • Mask (Masquer) : remplace les données par des caractères uniques. Par exemple, l'e-mail : [e-mail] devient l'e-mail : *********************.

      4. (Facultatif) Continuez à ajouter des instructions d'anonymisation si nécessaire.

   3. Add deny statement (Ajouter une instruction de refus) : configurez les données sensibles dont vous souhaitez empêcher la circulation dans votre rubrique et les principaux qui ne doivent pas fournir ces données.

      1. Pour Data direction (Direction des données), choisissez la direction des messages pour l'instruction de refus :

         • Inbound messages (Messages entrants) : appliquez cette instruction de refus aux messages envoyés à la rubrique.

         • Outbound messages (Messages sortants) : appliquez cette instruction de refus aux messages que la rubrique envoie aux points de terminaison d'abonnement.

      2. Sélectionnez les identifiants des données pour définir les données sensibles que vous souhaitez refuser.

      3. Sélectionnez les principaux IAM auxquels s'applique cette instruction de refus. Vous pouvez l'appliquer à tous les AWS comptes, à des entités spécifiques Comptes AWS ou IAM (par exemple, racines de comptes, rôles ou utilisateurs) qui utilisent un compte IDs ou une entité IAM. ARNs Séparez les multiples IDs ou ARNs utilisez une virgule (,). Les principaux IAM suivants sont pris en charge :

         • IAM account principals (Principaux du compte IAM) : par exemple, arn:aws:iam::AWS-account-ID:root.

         • IAM role principals (Principaux du rôle IAM) : par exemple, arn:aws:iam::AWS-account-ID:role/role-name.

         • IAM user principals (Principaux de l'utilisateur IAM) : par exemple, arn:aws:iam::AWS-account-ID:user/user-name.

      4. (Facultatif) Continuez à ajouter des instructions de refus si nécessaire.