Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Sécurité Amazon Rekognition
La sécurité du cloud AWS est la priorité absolue. En tant que AWS client, vous bénéficiez d'un centre de données et d'une architecture réseau conçus pour répondre aux exigences des entreprises les plus sensibles en matière de sécurité.
Consultez les rubriques suivantes pour apprendre à sécuriser vos ressources Amazon Rekognition.
**Topics**
+ [Gestion des identités et des accès pour Amazon Rekognition](security-iam.md)
+ [Protection des données dans Amazon Rekognition](data-protection.md)
+ [Utilisation d'Amazon Rekognition avec les points de terminaison d’un VPC Amazon](vpc.md)
+ [Validation de la conformité pour Amazon Rekognition](rekognition-compliance.md)
+ [Résilience dans Amazon Rekognition](disaster-recovery-resiliency.md)
+ [Configuration et analyse des vulnérabilités dans Amazon Rekognition](vulnerability-analysis-and-management.md)
+ [Prévention du problème de l’adjoint confus entre services](cross-service-confused-deputy-prevention.md)
+ [Sécurité de l’infrastructure dans Amazon Rekognition](infrastructure-security.md)
# Gestion des identités et des accès pour Amazon Rekognition
Gestion des identités et des accès AWS (IAM) est un outil Service AWS qui permet à un administrateur de contrôler en toute sécurité l'accès aux AWS ressources. Des administrateurs IAM contrôlent les personnes qui peuvent être *authentifiées* (connectées) et *autorisées* (disposant d’autorisations) à utiliser des ressources Amazon Rekognition. IAM est un Service AWS outil que vous pouvez utiliser sans frais supplémentaires.
**Topics**
+ [Public ciblé](#security_iam_audience)
+ [Authentification par des identités](#security_iam_authentication)
+ [Gestion de l’accès à l’aide de politiques](#security_iam_access-manage)
+ [Fonctionnement d’Amazon Rekognition avec IAM](security_iam_service-with-iam.md)
+ [AWS politiques gérées pour Amazon Rekognition](security-iam-awsmanpol.md)
+ [Bonnes pratiques en matière de politiques](#security_iam_service-with-iam-policy-best-practices)
+ [Utilisation de la console Amazon Rekognition](security_iam_id-based-policy-examples-console.md)
+ [Exemples d'utilisation d'Amazon Rekognition Exemples de politiques basées sur l'identité](security_iam_id-based-policy-examples.md)
+ [Exemples de politique basée sur les ressources Amazon Rekognition](security_iam_resource-based-policy-examples.md)
+ [Résolution de problèmes pour identité et accès Amazon Rekognition](security_iam_troubleshoot.md)
## Public ciblé
La façon dont vous utilisez Gestion des identités et des accès AWS (IAM) varie en fonction de votre rôle :
+ **Utilisateur du service** : demandez des autorisations à votre administrateur si vous ne pouvez pas accéder aux fonctionnalités (voir [Résolution de problèmes pour identité et accès Amazon Rekognition](security_iam_troubleshoot.md))
+ **Administrateur du service** : déterminez l’accès des utilisateurs et soumettez les demandes d’autorisation (voir [Fonctionnement d’Amazon Rekognition avec IAM](security_iam_service-with-iam.md))
+ **Administrateur IAM** : rédigez des politiques pour gérer l’accès (voir [Exemples d'utilisation d'Amazon Rekognition Exemples de politiques basées sur l'identité](security_iam_id-based-policy-examples.md))
## Authentification par des identités
L'authentification est la façon dont vous vous connectez à AWS l'aide de vos informations d'identification. Vous devez être authentifié en tant qu'utilisateur IAM ou en assumant un rôle IAM. Utilisateur racine d'un compte AWS
Vous pouvez vous connecter en tant qu'identité fédérée à l'aide d'informations d'identification provenant d'une source d'identité telle que AWS IAM Identity Center (IAM Identity Center), d'une authentification unique ou d'informations d'identification. Google/Facebook Pour plus d’informations sur la connexion, consultez [Connexion à votre Compte AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) dans le *Guide de l’utilisateur Connexion à AWS *.
Pour l'accès par programmation, AWS fournit un SDK et une CLI pour signer les demandes de manière cryptographique. Pour plus d’informations, consultez [Signature AWS Version 4 pour les demandes d’API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) dans le *Guide de l’utilisateur IAM*.
### Utilisateurs et groupes IAM
Un *[utilisateur IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* est une identité qui dispose d’autorisations spécifiques pour une seule personne ou application. Nous vous recommandons d’utiliser ces informations d’identification temporaires au lieu des utilisateurs IAM avec des informations d’identification à long terme. Pour plus d'informations, voir [Exiger des utilisateurs humains qu'ils utilisent la fédération avec un fournisseur d'identité pour accéder à AWS l'aide d'informations d'identification temporaires](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) dans le *guide de l'utilisateur IAM*.
[https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) spécifient une collection d’utilisateurs IAM et permettent de gérer plus facilement les autorisations pour de grands ensembles d’utilisateurs. Pour plus d’informations, consultez [Cas d’utilisation pour les utilisateurs IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) dans le *Guide de l’utilisateur IAM*.
### Rôles IAM
Un *[rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* est une identité dotée d’autorisations spécifiques qui fournit des informations d’identification temporaires. Vous pouvez assumer un rôle en [passant d'un rôle utilisateur à un rôle IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou en appelant une opération AWS CLI ou AWS API. Pour plus d’informations, consultez [Méthodes pour endosser un rôle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) dans le *Guide de l’utilisateur IAM*.
Les rôles IAM sont utiles pour l’accès des utilisateurs fédérés, les autorisations temporaires des utilisateurs IAM, les accès intercompte, les accès entre services et les applications exécutées sur Amazon EC2. Pour plus d’informations, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.
## Gestion de l’accès à l’aide de politiques
Vous contrôlez l'accès en AWS créant des politiques et en les associant à AWS des identités ou à des ressources. Une politique définit les autorisations lorsqu'elles sont associées à une identité ou à une ressource. AWS évalue ces politiques lorsqu'un directeur fait une demande. La plupart des politiques sont stockées AWS sous forme de documents JSON. Pour plus d’informations les documents de politique JSON, consultez [Vue d’ensemble des politiques JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) dans le *Guide de l’utilisateur IAM*.
À l’aide de politiques, les administrateurs précisent qui a accès à quoi en définissant quel **principal** peut effectuer des **actions** sur quelles **ressources** et dans quelles **conditions**.
Par défaut, les utilisateurs et les rôles ne disposent d’aucune autorisation. Un administrateur IAM crée des politiques IAM et les ajoute aux rôles, que les utilisateurs peuvent ensuite assumer. Les politiques IAM définissent les autorisations quelle que soit la méthode que vous utilisez pour exécuter l’opération.
### Utilisation de politiques basées sur l’identité
Les stratégies basées sur l’identité sont des documents de stratégie d’autorisations JSON que vous attachez à une identité (utilisateur, groupe ou rôle). Ces politiques contrôlent les actions que peuvent exécuter ces identités, sur quelles ressources et dans quelles conditions. Pour découvrir comment créer une politique basée sur l’identité, consultez [Définition d’autorisations IAM personnalisées avec des politiques gérées par le client](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) dans le *Guide de l’utilisateur IAM*.
Les politiques basées sur l’identité peuvent être des *politiques intégrées* (intégrées directement dans une seule identité) ou des *politiques gérées (politiques* autonomes associées à plusieurs identités). Pour découvrir comment choisir entre des politiques gérées et en ligne, consultez [Choix entre les politiques gérées et les politiques en ligne](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) dans le *Guide de l’utilisateur IAM*.
### Utilisation de stratégies basées sur une ressource
Les politiques basées sur les ressources sont des documents de politique JSON que vous attachez à une ressource. Les exemples incluent *les politiques de confiance de rôle* IAM et les *stratégies de compartiment* Amazon S3. Dans les services qui sont compatibles avec les politiques basées sur les ressources, les administrateurs de service peuvent les utiliser pour contrôler l’accès à une ressource spécifique. Vous devez [spécifier un principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) dans une politique basée sur les ressources.
Les politiques basées sur les ressources sont des politiques en ligne situées dans ce service. Vous ne pouvez pas utiliser les politiques AWS gérées par IAM dans une stratégie basée sur les ressources.
### Listes de contrôle d'accès (ACLs)
Les listes de contrôle d'accès (ACLs) contrôlent les principaux (membres du compte, utilisateurs ou rôles) autorisés à accéder à une ressource. ACLs sont similaires aux politiques basées sur les ressources, bien qu'elles n'utilisent pas le format de document de politique JSON.
Amazon S3 et AWS WAF Amazon VPC sont des exemples de services compatibles. ACLs Pour en savoir plus ACLs, consultez la [présentation de la liste de contrôle d'accès (ACL)](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html) dans le *guide du développeur Amazon Simple Storage Service*.
### Autres types de politique
AWS prend en charge des types de politiques supplémentaires qui peuvent définir les autorisations maximales accordées par les types de politiques les plus courants :
+ **Limites d’autorisations** : une limite des autorisations définit le nombre maximum d’autorisations qu’une politique basée sur l’identité peut accorder à une entité IAM. Pour plus d’informations, consultez [Limites d’autorisations pour des entités IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) dans le *Guide de l’utilisateur IAM*.
+ **Politiques de contrôle des services (SCPs)** — Spécifiez les autorisations maximales pour une organisation ou une unité organisationnelle dans AWS Organizations. Pour plus d’informations, consultez [Politiques de contrôle de service](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) dans le *Guide de l’utilisateur AWS Organizations *.
+ **Politiques de contrôle des ressources (RCPs)** : définissez le maximum d'autorisations disponibles pour les ressources de vos comptes. Pour plus d'informations, voir [Politiques de contrôle des ressources (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) dans le *guide de AWS Organizations l'utilisateur*.
+ **Politiques de session** : politiques avancées que vous passez en tant que paramètre lorsque vous créez par programmation une session temporaire pour un rôle ou un utilisateur fédéré. Pour plus d’informations, consultez [Politiques de session](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) dans le *Guide de l’utilisateur IAM*.
### Plusieurs types de politique
Lorsque plusieurs types de politiques s’appliquent à la requête, les autorisations en résultant sont plus compliquées à comprendre. Pour savoir comment AWS déterminer s'il faut autoriser une demande lorsque plusieurs types de politiques sont impliqués, consultez la section [Logique d'évaluation des politiques](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) dans le *guide de l'utilisateur IAM*.
# Fonctionnement d’Amazon Rekognition avec IAM
Avant d’utiliser IAM pour gérer l’accès à Amazon Rekognition, vous devez comprendre quelles sont les fonctionnalités IAM qui peuvent être utilisées avec Amazon Rekognition. *Pour obtenir une vue d'ensemble de la manière dont Amazon Rekognition AWS et les autres services fonctionnent avec IAM [AWS , consultez la section Services That Work with IAM dans le guide de l'utilisateur](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) IAM.*
**Topics**
+ [Politiques basées sur l’identité Amazon Rekognition](#security_iam_service-with-iam-id-based-policies)
+ [Politiques basées sur les ressources Amazon Rekognition](#security_iam_service-with-iam-resource-based-policies)
+ [Rôles IAM Amazon Rekognition](#security_iam_service-with-iam-roles)
## Politiques basées sur l’identité Amazon Rekognition
Avec les politiques IAM basées sur l’identité, vous pouvez spécifier des actions et ressources autorisées ou refusées, ainsi que les conditions dans lesquelles les actions sont autorisées ou refusées. Amazon Rekognition prend en charge des actions, des ressources et des clés de condition spécifiques. Pour en savoir plus sur tous les éléments que vous utilisez dans une politique JSON, veuillez consulter [Références des éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) dans le *Guide de l’utilisateur IAM*.
### Actions
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L’élément `Action` d’une politique JSON décrit les actions que vous pouvez utiliser pour autoriser ou refuser l’accès à une politique. Intégration d’actions dans une politique afin d’accorder l’autorisation d’exécuter les opérations associées.
Les actions de politique dans Amazon Rekognition utilisent le préfixe suivant avant l’action : `rekognition:`. Par exemple, pour accorder à quelqu’un l’autorisation de détecter des objets, des scènes ou des concepts dans une image avec l’opération d’API `DetectLabels` Amazon Rekognition, vous incluez l’action `rekognition:DetectLabels` dans sa stratégie. Les déclarations de politique doivent inclure un élément `Action` ou `NotAction`. Amazon Rekognition définit son propre ensemble d’actions qui décrivent les tâches que vous pouvez effectuer avec ce service.
Pour spécifier plusieurs actions dans une seule déclaration, séparez-les par des virgules comme suit :
```
"Action": [
"rekognition:action1",
"rekognition:action2"
```
Vous pouvez aussi spécifier plusieurs actions à l’aide de caractères génériques (\$1). Par exemple, pour spécifier toutes les actions qui commencent par le mot `Describe`, incluez l’action suivante :
```
"Action": "rekognition:Describe*"
```
Pour afficher la liste des actions Amazon Rekognition, consultez [Actions définies par Amazon Rekognition](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonrekognition.html#amazonrekognition-actions-as-permissions) dans le *Guide de l’utilisateur IAM*.
### Ressources
Les administrateurs peuvent utiliser les politiques AWS JSON pour spécifier qui a accès à quoi. C’est-à-dire, quel **principal** peut effectuer **des actions** sur quelles **ressources** et dans quelles **conditions**.
L’élément de politique JSON `Resource` indique le ou les objets auxquels l’action s’applique. Il est recommandé de définir une ressource à l’aide de son [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Pour les actions qui ne sont pas compatibles avec les autorisations de niveau ressource, utilisez un caractère générique (\$1) afin d’indiquer que l’instruction s’applique à toutes les ressources.
```
"Resource": "*"
```
Pour plus d'informations sur le format de ARNs, consultez [Amazon Resource Names (ARNs) et AWS Service Namespaces](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html).
Par exemple, pour spécifier la collection `MyCollection` dans votre instruction, utilisez l’ARN suivant :
```
"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/MyCollection"
```
Pour spécifier toutes les instances qui appartiennent à un compte spécifique, utilisez le caractère générique (\$1) :
```
"Resource": "arn:aws:rekognition:us-east-1:123456789012:collection/*"
```
Certaines actions Amazon Rekognition, telles que celles destinées à la création de ressources, ne peuvent pas être exécutées sur une ressource spécifique. Dans ces cas-là, vous devez utiliser le caractère générique (\$1).
```
"Resource": "*"
```
*Pour consulter la liste des types de ressources Amazon Rekognition ARNs et leurs caractéristiques[, consultez la section Ressources définies par Amazon Rekognition](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonrekognition.html#amazonrekognition-resources-for-iam-policies) dans le guide de l'utilisateur IAM.* Pour savoir les actions avec lesquelles vous pouvez spécifier l’ARN de chaque ressource, consultez [Actions définies par Amazon Rekognition](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonrekognition.html#amazonrekognition-actions-as-permissions).
### Clés de condition
Amazon Rekognition ne fournit pas de clés de condition spécifiques au service, mais prend en charge l’utilisation de certaines clés de condition globales. Pour voir toutes les clés de condition AWS globales, consultez la section [Clés contextuelles de condition AWS globale](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dans le *guide de l'utilisateur IAM*.
## Politiques basées sur les ressources Amazon Rekognition
Amazon Rekognition ne prend en charge que les politiques basées sur les ressources pour la copie des modèles d’étiquettes personnalisées. Pour de plus amples informations, veuillez consulter [Exemples de stratégies basées sur les ressources Amazon Rekognition](https://docs.aws.amazon.com/rekognition/latest/dg/security_iam_resource-based-policy-examples.html).
D’autres services, tels qu’Amazon S3, prennent également en charge les politiques d’autorisation basées sur une ressource. Par exemple, vous pouvez attacher une politique à un compartiment S3 pour gérer les autorisations d’accès à ce compartiment.
Pour accéder à des images stockées dans un compartiment Amazon S3, vous devez être autorisé à accéder à l’objet de ce compartiment S3. Grâce à cette autorisation, Amazon Rekognition peut télécharger des images à partir du compartiment S3. L'exemple de politique suivant permet à l'utilisateur d'effectuer l'`s3:GetObject`action sur le compartiment S3 nommé amzn-s3-demo-bucket3.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3:GetObject",
"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket3/*"
]
}
]
}
```
------
Pour utiliser un compartiment S3 avec la gestion des versions activée, ajoutez l’action `s3:GetObjectVersion`, comme indiqué dans l’exemple suivant.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:GetObjectVersion"
],
"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket3/*"
]
}
]
}
```
------
## Rôles IAM Amazon Rekognition
Un [rôle IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) est une entité de votre AWS compte qui possède des autorisations spécifiques.
### Utilisation d’informations d’identification temporaires avec Amazon Rekognition
Vous pouvez utiliser des informations d’identification temporaires pour vous connecter à l’aide de la fédération, endosser un rôle IAM ou encore pour endosser un rôle intercompte. Vous obtenez des informations d'identification de sécurité temporaires en appelant des opérations d' AWS STS API telles que [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)ou [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html).
Amazon Rekognition prend en charge l’utilisation d’informations d’identification temporaires.
### Rôles liés à un service
Les [rôles liés aux](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) AWS services permettent aux services d'accéder aux ressources d'autres services pour effectuer une action en votre nom. Les rôles liés à un service s’affichent dans votre compte IAM et sont la propriété du service. Un administrateur IAM peut consulter, mais ne peut pas modifier, les autorisations concernant les rôles liés à un service.
Amazon Rekognition ne prend pas en charge les fonctions liées à un service.
### Fonctions du service
Cette fonction permet à un service d’endosser une [fonction du service](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) en votre nom. Ce rôle autorise le service à accéder à des ressources d’autres services pour effectuer une action en votre nom. Les rôles de service s’affichent dans votre compte IAM et sont la propriété du compte. Cela signifie qu’un administrateur IAM peut modifier les autorisations associées à ce rôle. Toutefois, une telle action peut perturber le bon fonctionnement du service.
Amazon Rekognition prend en charge les fonctions du service.
L’utilisation d’une fonction du service peut créer un problème de sécurité dans lequel Amazon Rekognition est utilisé pour appeler un autre service et agir sur des ressources auxquelles il ne devrait pas avoir accès. Pour garantir la sécurité de votre compte, vous devez limiter l’accès d’Amazon Rekognition aux seules ressources que vous utilisez. Pour ce faire, attachez une politique de confiance à votre fonction du service IAM. Pour plus d’informations sur la procédure à utiliser, consultez [Prévention du problème de l’adjoint confus entre services](cross-service-confused-deputy-prevention.md).
### Choix d’un rôle IAM dans Amazon Rekognition
Lorsque vous configurez Amazon Rekognition pour analyser des vidéos stockées, vous devez choisir un rôle pour autoriser Amazon Rekognition à accéder à Amazon SNS en votre nom. Si vous avez déjà créé une fonction du service ou un rôle lié à un service, Amazon Rekognition vous fournit une liste de rôles dans laquelle effectuer votre choix. Pour de plus amples informations, veuillez consulter [Configuration de Vidéo Amazon Rekognition](api-video-roles.md).
### Exemple : Configuration d'Amazon Rekognition pour accéder aux images d'un compartiment Amazon S3
Voici un exemple de la manière dont vous pouvez configurer Amazon Rekognition pour analyser des images dans un compartiment Amazon S3. Si vous souhaitez utiliser Amazon Rekognition pour analyser des images dans un compartiment Amazon S3, vous devez effectuer les opérations suivantes :
1. Assurez-vous que votre IAM user/role (le client) est autorisé à appeler les opérations d'API Amazon Rekognition pertinentes (comme, etc.) DetectLabels DetectFaces
Joignez une politique basée sur l'identité qui accorde les autorisations appropriées pour appeler les opérations d'API souhaitées. Par exemple, pour autoriser votre rôle à appeler `DetectLabels` et`DetectFaces`, vous devez associer à votre rôle une politique semblable à celle-ci :
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"rekognition:DetectLabels",
"rekognition:DetectFaces"
],
"Resource": "*"
}
]
}
```
------
1. Le service Amazon Rekognition a besoin d'une autorisation pour accéder à votre compartiment Amazon S3. Créez un rôle de service IAM, que vous devrez transmettre à Amazon Rekognition lorsque vous effectuez des appels d'API. Assurez-vous que le rôle de service : fait confiance au principal `s3:GetObject` du service Amazon Rekognition et dispose d'autorisations pour votre compartiment.
La politique de confiance peut ressembler à ceci :
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "rekognition.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
La politique basée sur l'identité attachée au rôle de service peut ressembler à ceci :
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*"
}
]
}
```
------
# AWS politiques gérées pour Amazon Rekognition
Pour ajouter des autorisations aux utilisateurs, aux groupes et aux rôles, il est plus facile d'utiliser des politiques AWS gérées que de les rédiger vous-même. Il faut du temps et de l’expertise pour [créer des politiques gérées par le client IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) qui ne fournissent à votre équipe que les autorisations dont elle a besoin. Pour démarrer rapidement, vous pouvez utiliser nos politiques AWS gérées. Ces politiques couvrent les cas d'utilisation courants et sont disponibles dans votre AWS compte. Pour plus d'informations sur les politiques AWS gérées, voir les [politiques AWS gérées](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) dans le *guide de l'utilisateur IAM*.
AWS les services maintiennent et mettent à jour les politiques AWS gérées. Vous ne pouvez pas modifier les autorisations dans les politiques AWS gérées. Les services ajoutent occasionnellement des autorisations à une politique gérée par AWS pour prendre en charge de nouvelles fonctionnalités. Ce type de mise à jour affecte toutes les identités (utilisateurs, groupes et rôles) auxquelles la politique est attachée. Les services sont très susceptibles de mettre à jour une politique gérée par AWS quand une nouvelle fonctionnalité est lancée ou quand de nouvelles opérations sont disponibles. Les services ne suppriment pas les autorisations d'une politique AWS gérée. Les mises à jour des politiques n'endommageront donc pas vos autorisations existantes.
En outre, AWS prend en charge les politiques gérées pour les fonctions professionnelles qui couvrent plusieurs services. Par exemple, la politique **ReadOnlyAccess** AWS gérée fournit un accès en lecture seule à tous les AWS services et ressources. Lorsqu'un service lance une nouvelle fonctionnalité, il AWS ajoute des autorisations en lecture seule pour les nouvelles opérations et ressources. Pour obtenir la liste des politiques de fonctions professionnelles et leurs descriptions, consultez la page [politiques gérées par AWS pour les fonctions de tâche](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*.
## Politique gérée par AWS : AmazonRekognitionFullAccess
`AmazonRekognitionFullAccess` octroie un accès total aux ressources Amazon Rekognition comprenant la création et la suppression des collections.
Vous pouvez associer la politique `AmazonRekognitionFullAccess` à vos identités IAM.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"rekognition:*"
],
"Resource": "*"
}
]
}
```
------
## Politique gérée par AWS : AmazonRekognitionReadOnlyAccess
`AmazonRekognitionReadOnlyAccess` accorde un accès en lecture seule aux ressources Amazon Rekognition.
Vous pouvez associer la politique `AmazonRekognitionReadOnlyAccess` à vos identités IAM.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AmazonRekognitionReadOnlyAccess",
"Effect": "Allow",
"Action": [
"rekognition:CompareFaces",
"rekognition:DetectFaces",
"rekognition:DetectLabels",
"rekognition:ListCollections",
"rekognition:ListFaces",
"rekognition:SearchFaces",
"rekognition:SearchFacesByImage",
"rekognition:DetectText",
"rekognition:GetCelebrityInfo",
"rekognition:RecognizeCelebrities",
"rekognition:DetectModerationLabels",
"rekognition:GetLabelDetection",
"rekognition:GetFaceDetection",
"rekognition:GetContentModeration",
"rekognition:GetPersonTracking",
"rekognition:GetCelebrityRecognition",
"rekognition:GetFaceSearch",
"rekognition:GetTextDetection",
"rekognition:GetSegmentDetection",
"rekognition:DescribeStreamProcessor",
"rekognition:ListStreamProcessors",
"rekognition:DescribeProjects",
"rekognition:DescribeProjectVersions",
"rekognition:DetectCustomLabels",
"rekognition:DetectProtectiveEquipment",
"rekognition:ListTagsForResource",
"rekognition:ListDatasetEntries",
"rekognition:ListDatasetLabels",
"rekognition:DescribeDataset",
"rekognition:ListProjectPolicies",
"rekognition:ListUsers",
"rekognition:SearchUsers",
"rekognition:SearchUsersByImage",
"rekognition:GetMediaAnalysisJob",
"rekognition:ListMediaAnalysisJobs"
],
"Resource": "*"
}
]
}
```
------
## Politique gérée par AWS : AmazonRekognitionServiceRole
`AmazonRekognitionServiceRole` permet à Amazon Rekognition d’appeler les services Amazon Kinesis Data Streams et Amazon SNS en votre nom.
Vous pouvez associer la politique `AmazonRekognitionServiceRole` à vos identités IAM.
Si vous utilisez cette fonction du service, vous devez protéger votre compte en limitant l’accès d’Amazon Rekognition aux seules ressources que vous utilisez. Pour ce faire, attachez une politique de confiance à votre fonction du service IAM. Pour plus d’informations sur la procédure à utiliser, consultez [Prévention du problème de l’adjoint confus entre services](cross-service-confused-deputy-prevention.md).
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sns:Publish"
],
"Resource": "arn:aws:sns:*:*:AmazonRekognition*"
},
{
"Effect": "Allow",
"Action": [
"kinesis:PutRecord",
"kinesis:PutRecords"
],
"Resource": "arn:aws:kinesis:*:*:stream/AmazonRekognition*"
},
{
"Effect": "Allow",
"Action": [
"kinesisvideo:GetDataEndpoint",
"kinesisvideo:GetMedia"
],
"Resource": "*"
}
]
}
```
------
## Politique gérée par AWS : AmazonRekognitionCustomLabelsFullAccess
Cette politique s’adresse aux utilisateurs d’Étiquettes personnalisées Amazon Rekognition. Utilisez cette AmazonRekognitionCustomLabelsFullAccess politique pour accorder aux utilisateurs un accès complet à l'API Amazon Rekognition Custom Labels et un accès complet aux compartiments de console créés par la console Amazon Rekognition Custom Labels.
**Détails de l’autorisation**
Cette politique inclut les autorisations suivantes.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:ListAllMyBuckets",
"s3:GetBucketAcl",
"s3:GetBucketLocation",
"s3:GetObject",
"s3:GetObjectAcl",
"s3:GetObjectTagging",
"s3:GetObjectVersion",
"s3:PutObject"
],
"Resource": "arn:aws:s3:::*custom-labels*"
},
{
"Effect": "Allow",
"Action": [
"rekognition:CopyProjectVersion",
"rekognition:CreateProject",
"rekognition:CreateProjectVersion",
"rekognition:StartProjectVersion",
"rekognition:StopProjectVersion",
"rekognition:DescribeProjects",
"rekognition:DescribeProjectVersions",
"rekognition:DetectCustomLabels",
"rekognition:DeleteProject",
"rekognition:DeleteProjectVersion",
"rekognition:TagResource",
"rekognition:UntagResource",
"rekognition:ListTagsForResource",
"rekognition:CreateDataset",
"rekognition:ListDatasetEntries",
"rekognition:ListDatasetLabels",
"rekognition:DescribeDataset",
"rekognition:UpdateDatasetEntries",
"rekognition:DistributeDatasetEntries",
"rekognition:DeleteDataset",
"rekognition:PutProjectPolicy",
"rekognition:ListProjectPolicies",
"rekognition:DeleteProjectPolicy"
],
"Resource": "*"
}
]
}
```
------
## Amazon AWS Rekognition met à jour les politiques gérées
Consultez les informations relatives aux mises à jour des politiques AWS gérées pour Amazon Rekognition depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques sur les modifications apportées à cette page, abonnez-vous au flux RSS de la page Historique des documents d’Amazon Rekognition.
| Modifier | Description | Date |
| --- | --- | --- |
| Les actions impliquant des tâches d’analyse des médias ont été ajoutées à la politique gérée suivante :[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | Amazon Rekognition a ajouté les actions suivantes à la politique gérée par AmazonRekognitionReadOnlyAccess : [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | 31 octobre 2023 |
| Les actions impliquant la gestion des utilisateurs ont été ajoutées à la politique gérée suivante :[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | Amazon Rekognition a ajouté les actions suivantes à la politique gérée par AmazonRekognitionReadOnlyAccess : [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | 12 juin 2023 |
| Les actions ProjectPolicy et la copie du modèle d'étiquettes personnalisées ont été ajoutées aux politiques gérées suivantes :[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | Amazon Rekognition a ajouté les actions suivantes aux politiques gérées par AmazonRekognitionCustomLabelsFullAccess et AmazonRekognitionFullAccess : [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | 21 juillet 2022 |
| Les actions ProjectPolicy et la copie du modèle d'étiquettes personnalisées ont été ajoutées aux politiques gérées suivantes :[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | Amazon Rekognition a ajouté les actions suivantes à la politique gérée par AmazonRekognitionReadOnlyAccess : [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | 21 juillet 2022 |
| Mise à jour de la gestion des jeux de données pour les politiques gérées suivantes : [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | Amazon Rekognition a ajouté les actions suivantes aux, et a géré les AmazonRekognitionReadOnlyAccess politiques AmazonRekognitionFullOnlyAccess AmazonRekognitionCustomLabelsFullAccess [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/fr_fr/rekognition/latest/dg/security-iam-awsmanpol.html) | 1er novembre 2021 |
| Mise à jour du balisage pour [Politique gérée par AWS : AmazonRekognitionReadOnlyAccess](#security-iam-awsmanpol-AmazonRekognitionReadOnlyAccess) et [Politique gérée par AWS : AmazonRekognitionFullAccess](#security-iam-awsmanpol-AmazonRekognitionFullAccess) | Amazon Rekognition a ajouté de nouvelles actions de balisage aux politiques et. AmazonRekognitionFullAccess AmazonRekognitionReadOnlyAccess | 2 avril 2021 |
| Amazon Rekognition a commencé à assurer le suivi des modifications | Amazon Rekognition a commencé à suivre les modifications apportées à ses politiques gérées. AWS | 2 avril 2021 |
## Bonnes pratiques en matière de politiques
Les politiques basées sur l’identité déterminent si une personne peut créer, consulter ou supprimer des ressources Amazon Rekognition dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :
+ **Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations** à vos utilisateurs et à vos charges de travail, utilisez les *politiques AWS gérées* qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez [politiques gérées par AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [politiques gérées par AWS pour les activités professionnelles](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) dans le *Guide de l’utilisateur IAM*.
+ **Accordez les autorisations de moindre privilège** : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées *autorisations de moindre privilège*. Pour plus d’informations sur l’utilisation d’IAM pour appliquer des autorisations, consultez [politiques et autorisations dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) dans le *Guide de l’utilisateur IAM*.
+ **Utilisez des conditions dans les politiques IAM pour restreindre davantage l’accès** : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que CloudFormation. Pour plus d’informations, consultez [Conditions pour éléments de politique JSON IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) dans le *Guide de l’utilisateur IAM*.
+ **Utilisez l’Analyseur d’accès IAM pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles** : l’Analyseur d’accès IAM valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez [Validation de politiques avec IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) dans le *Guide de l’utilisateur IAM*.
+ **Exiger l'authentification multifactorielle (MFA**) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger la MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez [Sécurisation de l’accès aux API avec MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) dans le *Guide de l’utilisateur IAM*.
Pour plus d’informations sur les bonnes pratiques dans IAM, consultez [Bonnes pratiques de sécurité dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dans le *Guide de l’utilisateur IAM*.
# Utilisation de la console Amazon Rekognition
À l’exception de la fonctionnalité Étiquettes personnalisées Amazon Rekognition, Amazon Rekognition ne nécessite aucune autorisation supplémentaire lors de l’utilisation de la console Amazon Rekognition. Pour plus d’informations sur les Étiquettes personnalisées Amazon Rekognition, consultez [étape 5 : Configurer les autorisations de la console des étiquettes personnalisées Amazon Rekognition](https://docs.aws.amazon.com/rekognition/latest/dg/su-console-policy.html).
Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API que vous tentez d’effectuer.
# Exemples d'utilisation d'Amazon Rekognition Exemples de politiques basées sur l'identité
Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Amazon Rekognition. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API AWS Management Console AWS CLI, ou. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d’API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces stratégies aux utilisateurs ou aux groupes ayant besoin de ces autorisations.
Pour savoir comment créer une politique IAM basée sur l’identité à l’aide de ces exemples de documents de politique JSON, consultez [Création de politiques dans l’onglet JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) dans le *Guide de l’utilisateur IAM*.
**Topics**
+ [Exemple de politiques d’étiquettes personnalisées Amazon Rekognition](#security_iam_id-based-policy-examples-custom-labels)
+ [Exemple 1 : accorder à un utilisateur un accès en lecture seule aux ressources](#security_iam_id-based-policy-examples-read-only)
+ [Exemple 2 : Accorder à un utilisateur un accès complet aux ressources](#security_iam_id-based-policy-examples-full-acess)
+ [Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations](#security_iam_id-based-policy-examples-view-own-permissions)
## Exemple de politiques d’étiquettes personnalisées Amazon Rekognition
Vous pouvez créer des stratégies basées sur l’identité pour les étiquettes personnalisées Amazon Rekognition. Pour plus d’informations, consultez [Sécurité](https://docs.aws.amazon.com/rekognition/latest/customlabels-dg/sc-introduction.html).
## Exemple 1 : accorder à un utilisateur un accès en lecture seule aux ressources
L’exemple suivant accorde un accès en lecture seule aux ressources Amazon Rekognition.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"rekognition:CompareFaces",
"rekognition:DetectFaces",
"rekognition:DetectLabels",
"rekognition:ListCollections",
"rekognition:ListFaces",
"rekognition:SearchFaces",
"rekognition:SearchFacesByImage",
"rekognition:DetectText",
"rekognition:GetCelebrityInfo",
"rekognition:RecognizeCelebrities",
"rekognition:DetectModerationLabels",
"rekognition:GetLabelDetection",
"rekognition:GetFaceDetection",
"rekognition:GetContentModeration",
"rekognition:GetPersonTracking",
"rekognition:GetCelebrityRecognition",
"rekognition:GetFaceSearch",
"rekognition:GetTextDetection",
"rekognition:GetSegmentDetection",
"rekognition:DescribeStreamProcessor",
"rekognition:ListStreamProcessors",
"rekognition:DescribeProjects",
"rekognition:DescribeProjectVersions",
"rekognition:DetectCustomLabels",
"rekognition:DetectProtectiveEquipment",
"rekognition:ListTagsForResource",
"rekognition:ListDatasetEntries",
"rekognition:ListDatasetLabels",
"rekognition:DescribeDataset"
],
"Resource": "*"
}
]
}
```
------
## Exemple 2 : Accorder à un utilisateur un accès complet aux ressources
L’exemple suivant accorde un accès complet aux ressources Amazon Rekognition.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"rekognition:*"
],
"Resource": "*"
}
]
}
```
------
## Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations
Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
# Exemples de politique basée sur les ressources Amazon Rekognition
Les étiquettes personnalisées Amazon Rekognition utilisent des politiques basées sur les ressources, appelées *politiques de projet*, pour gérer les autorisations de copie pour une version de modèle.
Une politique de projet donne ou refuse l’autorisation de copier une version de modèle d’un projet source vers un projet de destination. Vous avez besoin d'une politique de projet si le projet de destination se trouve dans un autre AWS compte ou si vous souhaitez restreindre l'accès au sein d'un AWS compte. Par exemple, vous pouvez refuser les autorisations de copie pour un rôle IAM spécifique. Pour plus d’informations, consultez [Copie d’un modèle](https://docs.aws.amazon.com/rekognition/latest/customlabels-dg/md-copy-model-overview.html).
## Octroi de l’autorisation de copier une version de modèle
L’exemple suivant permet au principal `arn:aws:iam::123456789012:role/Admin` de copier la version du modèle `arn:aws:rekognition:us-east-1:123456789012:project/my_project/version/test_1/1627045542080`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Principal":{
"AWS":"arn:aws:iam::123456789012:role/Admin"
},
"Action":"rekognition:CopyProjectVersion",
"Resource":"arn:aws:rekognition:us-east-1:123456789012:project/my_project/version/test_1/1627045542080"
}
]
}
```
------
# Résolution de problèmes pour identité et accès Amazon Rekognition
Utilisez les informations suivantes pour identifier et résoudre les problèmes courants que vous pouvez rencontrer lorsque vous travaillez avec Amazon Rekognition et IAM.
**Topics**
+ [Je ne suis pas autorisé à effectuer une action dans Amazon Rekognition](#security_iam_troubleshoot-no-permissions)
+ [Je ne suis pas autorisé à effectuer iam : PassRole](#security_iam_troubleshoot-passrole)
+ [Je suis un administrateur et je veux autoriser d’autres utilisateurs à accéder à Amazon Rekognition](#security_iam_troubleshoot-admin-delegate)
+ [Je souhaite autoriser des personnes extérieures à mon AWS compte à accéder à mes ressources Amazon Rekognition](#security_iam_troubleshoot-cross-account-access)
## Je ne suis pas autorisé à effectuer une action dans Amazon Rekognition
S'il vous AWS Management Console indique que vous n'êtes pas autorisé à effectuer une action, vous devez contacter votre administrateur pour obtenir de l'aide. Votre administrateur est la personne qui vous a fourni vos informations de connexion.
L'exemple d'erreur suivant se produit lorsque l'utilisateur IAM `mateojackson` tente d'utiliser la console pour afficher des informations détaillées concernant un élément *widget* mais ne dispose pas des autorisations `rekognition:GetWidget` nécessaires.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: rekognition:GetWidget on resource: my-example-widget
```
Dans ce cas, Mateo demande à son administrateur de mettre à jour ses politiques pour lui permettre d’accéder à la ressource `my-example-widget` à l’aide de l’action `rekognition:GetWidget`.
## Je ne suis pas autorisé à effectuer iam : PassRole
Si vous recevez une erreur selon laquelle vous n’êtes pas autorisé à exécuter l’action `iam:PassRole`, vos politiques doivent être mises à jour pour vous permettre de transmettre un rôle à Amazon Rekognition.
Certains vous Services AWS permettent de transmettre un rôle existant à ce service au lieu de créer un nouveau rôle de service ou un rôle lié à un service. Pour ce faire, vous devez disposer des autorisations nécessaires pour transmettre le rôle au service.
L’exemple d’erreur suivant se produit lorsqu’un utilisateur IAM nommé `marymajor` essaie d’utiliser la console pour effectuer une action dans Amazon Rekognition. Toutefois, l’action nécessite que le service ait des autorisations accordées par une fonction du service. Mary n'est pas autorisée à transmettre le rôle au service.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
Dans ce cas, les politiques de Mary doivent être mises à jour pour lui permettre d’exécuter l’action `iam:PassRole`.
Si vous avez besoin d'aide, contactez votre AWS administrateur. Votre administrateur vous a fourni vos informations d’identification de connexion.
## Je suis un administrateur et je veux autoriser d’autres utilisateurs à accéder à Amazon Rekognition
Pour autoriser d'autres personnes à accéder à Amazon Rekognition, vous devez accorder l'autorisation aux personnes ou aux applications qui ont besoin d'y accéder. Si vous utilisez AWS IAM Identity Center pour gérer des personnes et des applications, vous attribuez des ensembles d'autorisations aux utilisateurs ou aux groupes afin de définir leur niveau d'accès. Les ensembles d'autorisations créent et attribuent automatiquement des politiques IAM aux rôles IAM associés à la personne ou à l'application. Pour plus d'informations, consultez la section [Ensembles d'autorisations](https://docs.aws.amazon.com/singlesignon/latest/userguide/permissionsetsconcept.html) dans le *guide de AWS IAM Identity Center l'utilisateur*.
Si vous n'utilisez pas IAM Identity Center, vous devez créer des entités IAM (utilisateurs ou rôles) pour les personnes ou les applications qui ont besoin d'un accès. Vous devez ensuite attacher une politique à l’entité qui va lui accorder les autorisations nécessaires dans Amazon Rekognition. Une fois les autorisations accordées, fournissez les informations d'identification à l'utilisateur ou au développeur de l'application. Ils utiliseront ces informations d'identification pour y accéder AWS. Pour en savoir plus sur la création d'utilisateurs, de groupes, de politiques et d'autorisations [IAM, consultez la section Identités](https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html), [politiques et autorisations IAM dans le guide de l'utilisateur *IAM*](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html).
## Je souhaite autoriser des personnes extérieures à mon AWS compte à accéder à mes ressources Amazon Rekognition
Vous pouvez créer un rôle que les utilisateurs provenant d’autres comptes ou les personnes extérieures à votre organisation pourront utiliser pour accéder à vos ressources. Vous pouvez spécifier qui est autorisé à assumer le rôle. Pour les services qui prennent en charge les politiques basées sur les ressources ou les listes de contrôle d'accès (ACLs), vous pouvez utiliser ces politiques pour autoriser les utilisateurs à accéder à vos ressources.
Pour plus d’informations, consultez les éléments suivants :
+ Pour savoir si Amazon Rekognition est compatible avec ces fonctionnalités, veuillez consulter [Fonctionnement d’Amazon Rekognition avec IAM](security_iam_service-with-iam.md).
+ Pour savoir comment fournir l'accès à vos ressources sur celles Comptes AWS que vous possédez, consultez la section [Fournir l'accès à un utilisateur IAM dans un autre utilisateur Compte AWS que vous possédez](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) dans le Guide de l'*utilisateur IAM*.
+ Pour savoir comment fournir l'accès à vos ressources à des tiers Comptes AWS, consultez la section [Fournir un accès à des ressources Comptes AWS détenues par des tiers](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) dans le *guide de l'utilisateur IAM*.
+ Pour savoir comment fournir un accès par le biais de la fédération d’identité, consultez [Fournir un accès à des utilisateurs authentifiés en externe (fédération d’identité)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) dans le *Guide de l’utilisateur IAM*.
+ Pour en savoir plus sur la différence entre l’utilisation des rôles et des politiques basées sur les ressources pour l’accès intercompte, consultez [Accès intercompte aux ressources dans IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) dans le *Guide de l’utilisateur IAM*.
# Protection des données dans Amazon Rekognition
Le modèle de [responsabilité AWS partagée Le modèle](https://aws.amazon.com/compliance/shared-responsibility-model/) s'applique à la protection des données dans Amazon Rekognition. Comme décrit dans ce modèle, AWS est chargé de protéger l'infrastructure mondiale qui gère tous les AWS Cloud. La gestion du contrôle de votre contenu hébergé sur cette infrastructure relève de votre responsabilité. Vous êtes également responsable des tâches de configuration et de gestion de la sécurité des Services AWS que vous utilisez. Pour plus d’informations sur la confidentialité des données, consultez [Questions fréquentes (FAQ) sur la confidentialité des données](https://aws.amazon.com/compliance/data-privacy-faq/). Pour en savoir plus sur la protection des données en Europe, consultez le billet de blog Modèle de responsabilité partagée [AWS et RGPD (Règlement général sur la protection des données)](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) sur le *Blog de sécuritéAWS *.
À des fins de protection des données, nous vous recommandons de protéger les Compte AWS informations d'identification et de configurer les utilisateurs individuels avec AWS IAM Identity Center ou Gestion des identités et des accès AWS (IAM). Ainsi, chaque utilisateur se voit attribuer uniquement les autorisations nécessaires pour exécuter ses tâches. Nous vous recommandons également de sécuriser vos données comme indiqué ci-dessous :
+ Utilisez l’authentification multifactorielle (MFA) avec chaque compte.
+ Utilisez le protocole SSL/TLS pour communiquer avec les ressources. AWS Nous exigeons TLS 1.2 et recommandons TLS 1.3.
+ Configurez l'API et la journalisation de l'activité des utilisateurs avec AWS CloudTrail. Pour plus d'informations sur l'utilisation des CloudTrail sentiers pour capturer AWS des activités, consultez la section [Utilisation des CloudTrail sentiers](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) dans le *guide de AWS CloudTrail l'utilisateur*.
+ Utilisez des solutions de AWS chiffrement, ainsi que tous les contrôles de sécurité par défaut qu'ils contiennent Services AWS.
+ Utilisez des services de sécurité gérés avancés tels qu’Amazon Macie, qui contribuent à la découverte et à la sécurisation des données sensibles stockées dans Amazon S3.
+ Si vous avez besoin de modules cryptographiques validés par la norme FIPS 140-3 pour accéder AWS via une interface de ligne de commande ou une API, utilisez un point de terminaison FIPS. Pour plus d’informations sur les points de terminaison FIPS disponibles, consultez [Norme FIPS (Federal Information Processing Standard) 140-3](https://aws.amazon.com/compliance/fips/).
Nous vous recommandons fortement de ne jamais placer d’informations confidentielles ou sensibles, telles que les adresses e-mail de vos clients, dans des balises ou des champs de texte libre tels que le champ **Nom**. Cela inclut lorsque vous travaillez avec Rekognition ou Services AWS autre à l'aide de la console, de l'API ou. AWS CLI AWS SDKs Toutes les données que vous entrez dans des balises ou des champs de texte de forme libre utilisés pour les noms peuvent être utilisées à des fins de facturation ou dans les journaux de diagnostic. Si vous fournissez une adresse URL à un serveur externe, nous vous recommandons fortement de ne pas inclure d’informations d’identification dans l’adresse URL permettant de valider votre demande adressée à ce serveur.
# Chiffrement des données
Les informations suivantes expliquent dans quels cas Amazon Rekognition utilise le chiffrement des données pour protéger vos données.
## Chiffrement au repos
### Image Amazon Rekognition
#### Images
Les images transmises aux opérations de l’API Amazon Rekognition peuvent être stockées et utilisées pour améliorer le service, sauf si vous vous désinscrivez en vous rendant sur la [page de politique de désinscription des services d’intelligence artificielle](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html) et en suivant le processus qui y est expliqué. Les images stockées sont chiffrées au repos (Amazon S3) à l’aide d’AWS Key Management Service (SSE-KMS).
#### Collections
Pour les opérations de comparaison de visages qui stockent des informations dans une collection, l’algorithme de détection sous-jacent détecte d’abord les visages de l’image en entrée, extrait un vecteur pour chaque d’entre eux, puis stocke les vecteurs faciaux dans la collection. Amazon Rekognition utilise ces vecteurs faciaux lors de l'exécution d’une comparaison faciale. Les vecteurs faciaux sont stockés sous la forme d’un ensemble de valeurs flottantes et chiffrées au repos.
### Vidéo Amazon Rekognition
#### Vidéos
Pour analyser une vidéo, Amazon Rekognition copie vos vidéos dans le service pour traitement. Les images peuvent être stockées et utilisées pour améliorer le service, sauf si vous vous désinscrivez en vous rendant sur la page de [politique de désinscription des services d’intelligence artificielle](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html) et en suivant le processus qui y est expliqué. Les vidéos sont chiffrées au repos (Amazon S3) à l’aide d’AWS Key Management Service (SSE-KMS).
### Étiquettes personnalisées Amazon Rekognition
Étiquettes personnalisées Amazon Rekognition chiffre vos données au repos.
#### Images
Pour entraîner votre modèle, Étiquettes personnalisées Amazon Rekognition crée une copie de vos images d’entraînement et de test source. Les images copiées sont chiffrées au repos dans Amazon Simple Storage Service (S3) à l'aide d'un chiffrement côté serveur avec AWS KMS key une clé KMS que vous fournissez ou AWS que vous possédez. Étiquettes personnalisées Amazon Rekognition prend uniquement en charge les clés KMS symétriques. Vos images sources ne sont pas affectées. Pour de plus amples informations, veuillez consulter [Entraînement d’un modèle étiquettes personnalisées Amazon Rekognition](https://docs.aws.amazon.com/rekognition/latest/customlabels-dg/tm-train-model.html).
#### Modèles
Par défaut, Étiquettes personnalisées Amazon Rekognition chiffre les modèles entraînés et les fichiers de manifeste stockés dans des compartiments Amazon S3 à l’aide d’un chiffrement côté serveur avec un Clé détenue par AWS. Pour plus d’informations, consultez [Protection des données à l’aide du chiffrement côté serveur](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html). Les résultats d'entraînement sont écrits dans le compartiment spécifié dans le paramètre `OutputConfig` d'entrée to [CreateProjectVersion](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateProjectVersion.html). Les résultats de l’entraînement sont chiffrés à l’aide des paramètres de chiffrement configurés pour le compartiment (`OutputConfig`).
#### Compartiment de la console
La console Étiquettes personnalisées Amazon Rekognition crée un compartiment Amazon S3 (compartiment de console) que vous pouvez utiliser pour gérer vos projets. Le compartiment de console est chiffré à l’aide du chiffrement par défaut d’Amazon S3. Pour plus d’informations, veuillez consulter la rubrique [Chiffrement par défaut Amazon S3 pour les compartiments S3](https://docs.aws.amazon.com/AmazonS3/latest/dev/bucket-encryption.html). Si vous utilisez votre propre clé KMS, configurez le compartiment de console après sa création. Pour plus d’informations, consultez [Protection des données à l’aide du chiffrement côté serveur](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html). Les étiquettes personnalisées Amazon Rekognition bloquent l’accès public au compartiment de console.
### Rekognition Face Liveness
Toutes les données relatives à la session stockées dans le compte du service Rekognition Face Liveness sont entièrement chiffrées au repos. Par défaut, les images de référence et d’audit sont chiffrées à l’aide d’une clé AWS détenue dans le compte de service. Cependant, vous pouvez choisir de fournir vos propres AWS KMS clés pour chiffrer ces images.
## Chiffrement en transit
Les points de terminaison d’API Amazon Rekognition ne prennent en charge que des connexions sécurisées sur HTTPS. Toutes les communications sont chiffrées avec Transport Layer Security (TLS).
## Gestion des clés
Vous pouvez utiliser AWS Key Management Service (KMS) pour gérer les clés des images et vidéos en entrée que vous stockez dans des compartiments Amazon S3. Pour de plus amples informations, veuillez consulter [Concepts d’AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys).
### Chiffrement de clés géré par le client pour Face Liveness
L'[CreateFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateFaceLivenessSession.html)API prend en compte un `KmsKeyId` paramètre facultatif. Vous pouvez fournir l’`id` de la clé KMS que vous avez créée dans votre compte. Cette clé sera utilisée pour chiffrer les images de référence et d'audit obtenues pendant l'[StartFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_StartFaceLivenessSession.html)API, et pendant [GetFaceLivenessSessionResults](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_GetFaceLivenessSessionResults.html)l'API, les images seront déchiffrées à l'aide de cette clé avant de renvoyer les résultats. Si la CreateFaceLivenessSession demande inclut un OutputConfig, les images de référence et d'audit seront téléchargées sur les chemins Amazon S3 spécifiés. Nous vous recommandons d’activer le chiffrement côté serveur ([SSE-S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)) dans vos compartiments Amazon S3 afin que les données restent chiffrées au repos.
Lorsque vous fournissez votre propre identifiant de AWS KMS clé, le service Rekognition Face Liveness est autorisé à utiliser la clé gérée par le client pour le compte du principal qui invoque le. APIs Les principaux (utilisateurs ou rôles) utilisés pour invoquer le backend APIs du client (APIs`CreateFaceLivenessSession`et`GetFaceLivenessSessionResults`) doivent y avoir accès pour effectuer les opérations suivantes :
+ km : DescribeKey
+ km : GenerateDataKey
+ kms:Decrypt
# Confidentialité du trafic inter-réseau
Un point de terminaison d’Amazon Virtual Private Cloud (Amazon VPC) pour Amazon Rekognition est une entité logique au sein d’un VPC qui autorise la connectivité uniquement à Amazon Rekognition. Amazon VPC achemine les demandes vers Amazon Rekognition et les réponses en retour vers le VPC. Pour plus d’informations, consultez [Points de terminaison d’un VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) dans le *Guide de l’utilisateur Amazon VPC*. Pour plus d’informations sur l’utilisation des points de terminaison d’un VPC avec Amazon Rekognition, consultez [Utilisation d'Amazon Rekognition avec les points de terminaison d’un VPC Amazon](vpc.md).
# Utilisation d'Amazon Rekognition avec les points de terminaison d’un VPC Amazon
Si vous utilisez Amazon Virtual Private Cloud (Amazon VPC) pour héberger vos ressources AWS, vous pouvez établir une connexion entre votre VPC et Amazon Rekognition. Vous pouvez utiliser cette connexion pour permettre à Amazon Rekognition de communiquer avec vos ressources sur votre VPC sans passer par le réseau Internet public.
Amazon VPC est un service AWS que vous pouvez utiliser pour lancer des ressources AWS dans un réseau virtuel que vous définissez. Avec un VPC, vous contrôlez vos paramètres réseau, tels que la plage d'adresses IP, les sous-réseaux, les tables de routage et les passerelles réseau. Avec les points de terminaison d’un VPC, le réseau AWS gère le routage entre le VPC et les services AWS.
Pour connecter votre VPC à Amazon Rekognition, vous définissez un point de terminaison d'un VPC d'interface pour Amazon Rekognition. Un point de terminaison d'interface est une interface elastic network dotée d'une adresse IP privée qui sert de point d'entrée pour le trafic destiné à un AWS service pris en charge. Le point de terminaison assure une connectivité scalable et fiable à Amazon Rekognition, sans qu'une passerelle Internet, une traduction d'adresses réseau (NAT) ou une connexion VPN ne soit nécessaire. Pour de plus amples informations, veuillez consulter [Qu’est-ce qu’Amazon VPC ?](https://docs.aws.amazon.com/vpc/latest/userguide/) dans le *Guide de l’utilisateur Amazon VPC*.
Les points de terminaison VPC de l'interface sont activés par AWS. PrivateLink Cette technologie AWS permet une communication privée entre les services AWS en utilisant une interface réseau Elastic avec des adresses IP privées.
**Note**
Tous les points de terminaison Amazon Rekognition Federal Information Processing Standard (FIPS) sont pris en charge par AWS. PrivateLink
## Création de points de terminaison d’un VPC pour Amazon Rekognition
Vous pouvez créer deux types de point de terminaison d’un VPC Amazon à utiliser avec Amazon Rekognition.
+ Un point de terminaison d’un VPC à utiliser avec les opérations Amazon Rekognition. Pour la plupart des utilisateurs, ce type de point de terminaison d’un VPC est le plus approprié.
+ Un point de terminaison d’un VPC pour les opérations Amazon Rekognition avec des points de terminaison conformes à la norme FIPS (Federal Information Processing Standard) 140-2 du gouvernement américain.
Pour commencer à utiliser Amazon Rekognition avec votre VPC, utilisez la console Amazon VPC pour créer un point de terminaison d'un VPC pour Amazon Rekognition. Pour obtenir des instructions, consultez la procédure « Pour créer un point de terminaison d'interface vers un service AWS à l'aide de la console » dans [Création d'un point de terminaison d'interface](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint). Notez les étapes de la procédure suivante :
+ Étape 3 : pour **Catégorie de service**, choisissez *AWS services*.
+ Étape 4 : pour **Nom du service**, choisissez l'une des options suivantes :
+ *com.amazonaws.region.rekognition* : crée un point de terminaison d’un VPC pour les opérations Amazon Rekognition.
+ *com.amazonaws.region.rekognition-fips* : crée un point de terminaison d'un VPC pour les opérations Amazon Rekognition avec des points de terminaison conformes à la norme FIPS (Federal Information Processing Standard) 140-2 du gouvernement américain.
Pour plus d'informations, consultez [Mise en route](https://docs.aws.amazon.com/vpc/latest/userguide/GetStarted.html) dans le *Guide de l'utilisateur Amazon VPC*.
## Créez une politique de point de terminaison d'un VPC pour Amazon Rekognition
Vous pouvez créer une politique pour les points de terminaison d’un VPC Amazon pour Amazon Rekognition pour spécifier les points suivants :
+ Le principal qui peut exécuter des actions.
+ Les actions qui peuvent être effectuées.
+ Les ressources sur lesquelles les actions peuvent être exécutées.
Pour plus d'informations, veuillez consulter [Contrôle de l'accès aux services avec des points de terminaison d'un VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html) dans le *Guide de l'utilisateur Amazon VPC*.
L'exemple de politique suivant permet aux utilisateurs se connectant à Amazon Rekognition via le point de terminaison d'un VPC d'appeler l'opération d'API `DetectFaces`. La politique empêche les utilisateurs d'effectuer d'autres opérations d'API Amazon Rekognition via le point de terminaison d'un VPC.
Les utilisateurs peuvent toujours appeler d'autres opérations d'API Amazon Rekognition à partir de l'extérieur du VPC. Pour de plus amples informations sur la façon de refuser l'accès aux opérations d'API Amazon Rekognition qui se trouvent en dehors du VPC, consultez [Politiques basées sur l’identité Amazon Rekognition](security_iam_service-with-iam.md#security_iam_service-with-iam-id-based-policies).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Action": [
"rekognition:DetectFaces"
],
"Resource": "*",
"Effect": "Allow",
"Principal": "*"
}
]
}
```
------
**Pour modifier la politique de point de terminaison d'un VPC pour Amazon Rekognition**
1. Ouvrez la console Amazon VPC à l’adresse [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Si vous n'avez pas encore créé le point de terminaison pour Amazon Rekognition, choisissez **Créer un point de terminaison**. Sélectionnez ensuite **com.amazonaws. ***Region***.rekognition et choisissez Create endpoint.**
1. Dans le panneau de navigation, choisissez **Points de terminaison**.
1. Sélectionnez **com.amazonaws. *Region*.rekognition** endpoint et choisissez l'onglet **Policy** dans la moitié inférieure de l'écran.
1. Choisissez **Modifier la politique**, puis apportez les modifications souhaitées à la politique.
# Validation de la conformité pour Amazon Rekognition
Des auditeurs tiers évaluent la sécurité et la conformité d'Amazon Rekognition dans le cadre de plusieurs programmes de conformité. AWS Il s’agit notamment des certifications SOC, PCI, FedRAMP, HIPAA et d’autres.
Pour obtenir la liste des AWS services concernés par des programmes de conformité spécifiques, consultez la section [Services AWS concernés par programme de conformité](https://aws.amazon.com/compliance/services-in-scope/). Pour obtenir des informations générales, consultez [Programmes de conformitéAWS](https://aws.amazon.com/compliance/programs/).
Vous pouvez télécharger des rapports d'audit tiers à l'aide de AWS Artifact. Pour plus d’informations, consultez [Téléchargement des rapports dans AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Lorsque vous utilisez Amazon Rekognition, votre responsabilité en matière de conformité dépend de la sensibilité de vos données, des objectifs de conformité de votre entreprise et des lois et réglementations applicables. AWS fournit les ressources suivantes pour faciliter la mise en conformité :
+ [Guides de démarrage rapide sur la sécurité et la conformité](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) : ces guides de déploiement abordent les considérations architecturales et indiquent les étapes à suivre pour déployer des environnements de base axés sur la sécurité et la conformité sur. AWS
+ Livre blanc [sur l'architecture pour la sécurité et la conformité HIPAA — Ce livre blanc](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) décrit comment les entreprises peuvent créer des applications conformes à la loi HIPAA. AWS
+ [AWS Ressources relatives à la conformité](https://aws.amazon.com/compliance/resources/) — Cette collection de classeurs et de guides peut s'appliquer à votre secteur d'activité et à votre région.
+ [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html)— Ce AWS service évalue dans quelle mesure les configurations de vos ressources sont conformes aux pratiques internes, aux directives du secteur et aux réglementations.
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)— Ce AWS service fournit une vue complète de l'état de votre sécurité interne, AWS ce qui vous permet de vérifier votre conformité aux normes et aux meilleures pratiques du secteur de la sécurité.
# Résilience dans Amazon Rekognition
L'infrastructure AWS mondiale est construite autour des AWS régions et des zones de disponibilité. AWS Les régions fournissent plusieurs zones de disponibilité physiquement séparées et isolées, connectées par un réseau à faible latence, à haut débit et hautement redondant. Avec les zones de disponibilité, vous pouvez concevoir et exploiter des applications et des bases de données qui basculent automatiquement d’une zone à l’autre sans interruption. Les zones de disponibilité sont davantage disponibles, tolérantes aux pannes et ont une plus grande capacité de mise à l’échelle que les infrastructures traditionnelles à un ou plusieurs centres de données.
Pour plus d'informations sur AWS les régions et les zones de disponibilité, consultez la section [Infrastructure AWS mondiale](https://aws.amazon.com/about-aws/global-infrastructure/).
Outre l'infrastructure AWS mondiale, Amazon Rekognition propose plusieurs fonctionnalités pour répondre à vos besoins en matière de résilience et de sauvegarde des données.
# Configuration et analyse des vulnérabilités dans Amazon Rekognition
La configuration et les contrôles informatiques sont une responsabilité partagée entre AWS et vous, notre client. Pour plus d'informations, consultez le [modèle de responsabilité AWS partagée](https://aws.amazon.com/compliance/shared-responsibility-model/).
# Prévention du problème de l’adjoint confus entre services
Dans AWS, l'usurpation d'identité entre services peut se produire lorsqu'un service (le *service appelant*) appelle un autre service (le service *appelé*). Le service appelant peut être manipulé pour agir sur les ressources d’un autre client, même s’il ne devrait pas avoir les autorisations appropriées, ce qui se traduit par un problème d’adjoint confus.
Pour éviter cela, AWS fournit des outils qui vous aident à protéger vos données pour tous les services auprès des principaux fournisseurs de services qui ont obtenu l'accès aux ressources de votre compte.
Nous vous recommandons d’utiliser les clés de contexte de condition globale [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) ou [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) dans les politiques de ressources afin de limiter les autorisations à la ressource octroyées par Amazon Rekognition à un autre service.
Si la valeur `aws:SourceArn` ne contient pas l’ID du compte, tel qu’un ARN de compartiment Amazon S3, vous devez utiliser les deux clés pour limiter les autorisations. Si vous utilisez les deux clés et que la valeur de `aws:SourceArn` contient l’ID de compte, la valeur de `aws:SourceAccount` et le compte indiqué dans la valeur de `aws:SourceArn` doivent utiliser le même ID de compte lorsqu’il est utilisé dans la même déclaration de politique.
Utilisez `aws:SourceArn` si vous souhaitez qu’une seule ressource soit associée à l’accès entre services. Utilisez `aws:SourceAccount` si vous souhaitez autoriser l’association d’une ressource de ce compte à l’utilisation interservices.
La valeur de `aws:SourceArn` doit être l’ARN de la ressource utilisée par Rekognition, qui est spécifié au format suivant : `arn:aws:rekognition:region:account:resource`.
La valeur de `arn:User ARN` doit être l’ARN de l’utilisateur qui appellera l’opération d’analyse vidéo (l’utilisateur qui assume un rôle).
Le moyen le plus efficace de se protéger contre le problème de l'adjoint confus consiste à utiliser la clé de contexte de condition globale `aws:SourceArn` avec l’ARN complet de la ressource.
Si vous ne connaissez pas l’ARN complet de la ressource, ou si vous spécifiez plusieurs ressources, utilisez la clé de contexte de condition globale `aws:SourceArn` avec des caractères génériques (`*`) pour les parties inconnues de l’ARN. Par exemple, `arn:aws:rekognition:*:111122223333:*`.
Afin de vous protéger contre le problème d’adjoint désorienté, effectuez les tâches suivantes :
1. Dans le panneau de navigation de la console IAM, sélectionnez l’option **Roles**. La console affiche les rôles de votre compte actuel.
1. Choisissez le nom du rôle que vous souhaitez modifier. Le rôle que vous modifiez doit être soumis à la politique **AmazonRekognitionServiceRole**d'autorisation. Sélectionnez l’onglet **Trust Relationships** (Relations d’approbation).
1. Choisissez **Edit trust policy** (Modifier la politique d’approbation).
1. Sur la page **Modifier la politique d’approbation**, remplacez la politique JSON par défaut par une politique qui utilise une ou les deux clés de contexte de condition globale `aws:SourceArn` ou `aws:SourceAccount`. Voir les exemples de politiques suivant :
1. Choisissez **Mettre à jour une politique**.
L’exemple suivant montre comment utiliser les clés de contexte de condition globale `aws:SourceArn` et `aws:SourceAccount` dans Amazon Rekognition afin d’éviter le problème de l’adjoint confus.
Si vous travaillez sur des vidéos stockées et diffusées en streaming, vous pouvez utiliser une politique telle que la suivante dans votre rôle IAM :
Si vous travaillez exclusivement avec de la vidéo stockée, vous pouvez utiliser une politique telle que la suivante dans votre rôle IAM (notez que vous n’êtes pas obligé d’inclure l’argument `StringLike` qui spécifie le `streamprocessor`) :
# Sécurité de l’infrastructure dans Amazon Rekognition
En tant que service géré, Amazon Rekognition est AWS protégé par la sécurité du réseau mondial. Pour plus d'informations sur les services AWS de sécurité et sur la manière dont AWS l'infrastructure est protégée, consultez la section [Sécurité du AWS cloud](https://aws.amazon.com/security/). Pour concevoir votre AWS environnement en utilisant les meilleures pratiques en matière de sécurité de l'infrastructure, consultez la section [Protection de l'infrastructure](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) dans le cadre *AWSbien architecturé du pilier de sécurité*.
Vous utilisez des appels d'API AWS publiés pour accéder à Amazon Rekognition via le réseau. Les clients doivent prendre en charge les éléments suivants :
+ Protocole TLS (Transport Layer Security). Nous exigeons TLS 1.2 et recommandons TLS 1.3.
+ Ses suites de chiffrement PFS (Perfect Forward Secrecy) comme DHE (Ephemeral Diffie-Hellman) ou ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). La plupart des systèmes modernes tels que Java 7 et les versions ultérieures prennent en charge ces modes.