デフォルトでは、Datadog 管理者ロールを持つユーザーは、スキャンルールを表示および設定するためのアクセス権を持っています。他のユーザーにアクセスを許可するには、Compliance で data_scanner_read または data_scanner_write の権限をカスタムロールに付与します。ロールと権限のセットアップ方法の詳細については、[アクセス制御][3]を参照してください。

1. 適切な権限を付与します。デフォルトでは、Datadog 管理者ロールを持つユーザーは、スキャンルールを表示および設定するためのアクセス権を持っています。他のユーザーにアクセスを許可するには、Compliance で data_scanner_read または data_scanner_write の権限をカスタムロールに付与します。ロールと権限のセットアップ方法の詳細については、アクセス制御を参照してください。

2. リモート構成を有効にする手順に従ってください。

3. Datadog Agent v7.54 以降をインストールします。

スキャングループは、スキャンするデータを決定します。これは、ログ、APM、RUM、およびイベントのスキャンを有効にするためのクエリフィルターとトグルのセットで構成されています。クエリフィルターの詳細については、ログ検索構文のドキュメントを参照してください。

Terraform に関しては、Datadog 機密データスキャナーグループのリソースを参照してください。

スキャングループをセットアップするには、以下の手順を実行します。

1. Sensitive Data Scanner 構成ページに移動します。
2. Add scanning group をクリックします。または、ページ右上にある Add ドロップダウンメニューをクリックし、Add Scanning Group を選択します。
3. スキャンしたいデータのクエリーフィルターを入力します。フィルタリングされたスパンをプレビューするには、一番上の APM Spans をクリックします。フィルタリングされたログを表示するには、Logs をクリックします。
4. グループの名前と説明を入力します。
5. トグルボタンをクリックし、希望する製品 (例: ログ、APM スパン、RUM イベント、Datadog イベント) で機密データスキャナーを有効にします。
6. Create をクリックします。

スキャングループは、スキャンするログを決定します。ホストタグに基づいて適格な Agent に一致させるクエリフィルターで構成されます。

スキャングループをセットアップするには、以下の手順を実行します。

1. Sensitive Data Scanner using the Agent の構成ページに移動します。
2. Add scanning group をクリックします。または、ページ右上にある Add ドロップダウンメニューをクリックし、Add Scanning Group を選択します。
3. スキャンするデータのクエリフィルターを入力します。Agent の一致にはホストレベルのタグのみを使用できます。最下部には、タグに一致する Agent の総数を含む、一致して対象となる Agent の数が表示されます。
4. グループの名前と説明を入力します。
5. Save をクリックします。

スキャンルールは、スキャングループで定義されたデータ内のどの機密情報をマッチングさせるかを決定します。Datadog のスキャンルールライブラリから事前定義されたスキャンルールを追加するか、正規表現パターンを使って独自のルールを作成することができます。データは、処理の中で取り込みが行われる際にスキャンされます。ログの場合、これはインデックス化やその他のルーティング関連の決定の前にスキャンが行われることを意味します。

Terraform に関しては、Datadog Sensitive Data Scanner ルールのリソースを参照してください。

スキャンルールを追加するには、以下の手順を実行します。

1. Sensitive Data Scanner 構成ページに移動します。
2. スキャンルールを追加する対象のスキャングループをクリックします。
3. Add Scanning Rule をクリックします。または、ページ右上にある Add ドロップダウンメニューをクリックし、Add Scanning Rule を選択します。
4. ライブラリルールを追加するか、カスタムスキャンルールを作成するかを選択します。

注:

• 追加または更新するルールは、ルールが定義された後に Datadog に送られるデータにのみ影響します。
• 機密データスキャナーは、Datadog Agent で直接定義するルールには影響しません。
• ルールが追加されたら、スキャングループのトグルが有効になっていることを確認してスキャンを開始します。

機密データの問題をトリアージするための Summary ページの使い方について、詳しくは機密データの問題を調査するを参照してください。

スキャンルールは、スキャングループによって定義されたデータ内のどの機密情報を対象にするかを決定します。Datadog Agent は、ログが Datadog プラットフォームに送信される前に、ログ収集中にローカル環境でデータをスキャンします。

スキャンルールを追加するには、以下の手順を実行します。

1. Sensitive Data Scanner using the Agent の構成ページに移動します。
2. Add Scanning Rule をクリックします。または、ページ右上にある Add ドロップダウンメニューをクリックし、Add Scanning Rule を選択します。
3. Add library rules to the scanning group セクションで、使用するライブラリルールを選択します。既存のライブラリルールを検索するには、Filter library rules 入力を使用します。ルール名の横には、各ルールの定義済みタグのリストがあります。
4. Define rule target and action セクションで、一致した機密情報に対して実行するアクションを選択します。注: マスキング、部分的なマスキング、およびハッシュ化はすべて不可逆アクションです。
   • Redact: 一致するすべての値を Replacement text フィールドで指定したテキストに置換します。
   • Partially Redact: 一致するすべてのデータの指定した部分を置換します。Redact セクションでは、編集する文字数と、一致するデータのどの部分を編集するかを指定します。
   • Hash: 一致するすべてのデータを一意の識別子に置換します。マッチの UTF-8 バイトは FarmHash の 64 ビットフィンガープリントでハッシュされます。
5. オプションとして、指定された正規表現パターンに一致する値を含むイベントに関連付ける追加タグを追加します。Datadog は、デフォルトで sensitive_data および sensitive_data_category のタグを追加します。これらのタグは、検索、ダッシュボード、およびモニターで使用できます。タグを利用して機密情報を含むログへのアクセス権を決定する方法については、機密データを含むログへのアクセス制御を参照してください。
6. Save をクリックします。

注:

• 追加または更新するルールは、ルールが定義された後に Datadog に送られるデータにのみ影響します。
• ルールが追加されたら、スキャングループのトグルが有効になっていることを確認してスキャンを開始します。

1. Sensitive Data Scanner 構成ページに移動します。

2. 編集するスキャンルールにカーソルを合わせ、Edit (鉛筆) アイコンをクリックします。

   Define match conditions セクションには、カスタムルールに記述した正規表現、または選択したライブラリスキャンルールの説明が、一致した機密情報の例と共に表示されます。

3. ルールがデータに一致することを確認するには、Add sample data セクションにサンプルを提供します。ルールがサンプルデータに一致すると、入力フィールドの横に緑色の Match ラベルが表示されます。

4. Create keyword dictionary では、検出精度を向上させるためのキーワードを追加できます。例えば、16 桁の Visa クレジットカード番号をスキャンする場合、visa、credit、card のようなキーワードを追加できます。

5. キーワードが一致する前に出現しなければならない文字数を選択します。デフォルトでは、キーワードは一致する前の 30 文字以内に出現する必要があります。

6. オプションとして、Define rule target and action で、ルールに一致する値を含むイベントに関連付けるタグを編集します。Datadog では、検索、ダッシュボード、およびモニターで使用できる sensitive_data および sensitive_data_category のタグの使用を推奨しています。タグを利用して機密データを含むログへのアクセス権を決定する方法については、機密データを含むログへのアクセス制御を参照してください。

7. Set priority level では、ビジネスニーズに基づいて値を選択します。

8. Update をクリックします。

1. Sensitive Data Scanner using the Agent の構成ページに移動します。

2. 編集するスキャンルールにカーソルを合わせ、Edit (鉛筆) アイコンをクリックします。

   Define match conditions セクションには、選択したライブラリスキャンルールの説明が、一致した機密情報の例と共に表示されます。

3. Create keyword dictionary では、検出精度を向上させるためのキーワードを追加できます。例えば、16 桁の Visa クレジットカード番号をスキャンする場合、visa、credit、card のようなキーワードを追加できます。

4. キーワードが一致する前に出現しなければならない文字数を選択します。デフォルトでは、キーワードは一致する前の 30 文字以内に出現する必要があります。

5. Save をクリックします。

タグに含まれる機密データを秘匿化するには、タグを属性にリマップしてから、その属性を秘匿化する必要があります。リマッピング中にタグが保存されないように、リマッパープロセッサーで Preserve source attribute のチェックを外してください。

タグを属性にリマップするには:

1. ログパイプラインに移動します。
2. Add Processor をクリックします。
3. プロセッサーの種類のドロップダウンメニューで Remapper を選択します。
4. プロセッサーに名前を付けます。
5. Tag key(s) を選択します。
6. タグキーを入力します。
7. タグキーをリマップする属性の名前を入力します。
8. Preserve source attribute を無効にします。
9. Create をクリックします。

属性を秘匿化するには:

1. スキャングループに移動します。
2. Add Scanning Rule をクリックします。
3. 使用したいライブラリルールにチェックを入れます。
4. Scan entire event or portion of it (イベント全体またはその一部をスキャンする)で Specific Attributes を選択します。
5. 予め作成しておいた属性の名前を入力し、スキャンの対象に指定します。
6. マッチングした場合のアクションを選択します。
7. オプションで、タグを追加します。
8. Add Rules をクリックします。

この関数は Sensitive Data Scanner using the Agent では使用できません。