本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 中的数据保护 AWS Supply Chain
分 AWS [担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)适用于中的数据保护 AWS Supply Chain。如本模型所述 AWS ，负责保护运行所有内容的全球基础架构 AWS 云。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅 *AWS Security Blog* 上的 [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 博客文章。
出于数据保护目的，我们建议您保护 AWS 账户 凭证并使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 设置个人用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据：
+ 对每个账户使用多重身份验证（MFA）。
+ 用于 SSL/TLS 与 AWS 资源通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。
+ 使用设置 API 和用户活动日志 AWS CloudTrail。有关使用 CloudTrail 跟踪捕获 AWS 活动的信息，请参阅*AWS CloudTrail 用户指南*中的[使用跟 CloudTrail 踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。
+ 使用 AWS 加密解决方案以及其中的所有默认安全控件 AWS 服务。
+ 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。
+ 如果您在 AWS 通过命令行界面或 API 进行访问时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 端点。有关可用的 FIPS 端点的更多信息，请参阅《美国联邦信息处理标准（FIPS）第 140-3 版》[https://aws.amazon.com/compliance/fips/](https://aws.amazon.com/compliance/fips/)。
强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括您使用控制台、API AWS Supply Chain 或以其他 AWS 服务 方式使用控制台 AWS CLI、API 或时 AWS SDKs。在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供 URL，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。
## 数据由 AWS Supply Chain
为了限制特定 AWS 供应链实例的授权用户可以访问的数据，供应链中保存的数据按您的 AWS 账户 ID 和 AWS AWS 供应链实例 ID 进行隔离。
AWS Supply Chain 处理各种供应链数据，例如用户信息、从数据连接器中提取的信息以及库存详情。
## 选择退出偏好
如 [AWS服务条款](https://aws.amazon.com/service-terms/)所述 AWS Supply Chain，我们可能会使用和存储由处理的您的内容。如果您想选择退出使用或存储您的内容 AWS Supply Chain ，可以在 AWS Organizations 中创建退出政策。有关创建选择退出策略的更多信息，请参阅 [AI 服务选择退出策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out_syntax.html)语法和示例。
## 静态加密
归类为 PII 的联系人数据或代表客户内容的数据（包括 Amazon Q 中 AWS Supply Chain 使用的内容）将使用有时间限制且特定于实例的密钥进行静态加密（即在将其放入、存储或保存到磁盘之前）。 AWS Supply Chain AWS Supply Chain
Amazon S3 服务器端加密用于使用每个客户账户独有的 AWS Key Management Service 数据密钥对所有控制台和 Web 应用程序数据进行加密。有关的信息 AWS KMS keys，请参阅[什么是 AWS Key Management Service？](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html) 在《 AWS Key Management Service 开发人员指南》中。
**注意**
AWS Supply Chain 功能供应计划和 N 层可见性不支持使用提供的 KMS-C data-at-rest MK 进行加密。
## 传输中加密
包括在 Amazon Q 中与 AWS 供应链 AWS Supply Chain 交换的内容在内的数据在用户的网络浏览器和 AWS 供应链之间传输时均使用行业标准 TLS 加密进行保护。
## 密钥管理
AWS Supply Chain 部分支持 KMS-CMK。
有关更新 AWS KMS 密钥的信息 AWS Supply Chain，请参阅[第 2 步：创建实例](creating-instance.md)。
## 互联网络流量隐私
**注意**
AWS Supply Chain 不支持 PrivateLink。
的虚拟私有云 (VPC) 终端节点 AWS Supply Chain 是 VPC 内的逻辑实体，仅允许连接 AWS Supply Chain。VPC 将请求路由到 VPC AWS Supply Chain 并将响应路由回 VPC。有关更多信息，请参阅《[VPC 用户指南》中的 VPC 终端节点](https://docs.aws.amazon.com/vpc/latest/privatelink/concepts.html)。
## 如何在中 AWS Supply Chain 使用补助 AWS KMS
AWS Supply Chain 需要获得[授权](/kms/latest/developerguide/grants.html)才能使用您的客户托管密钥。
AWS Supply Chain 使用**CreateInstance**操作期间传递的 AWS KMS 密钥创建多个授权。 AWS Supply Chain 通过向发送[/kms/latest/APIReference/API_CreateGrant.html](/kms/latest/APIReference/API_CreateGrant.html)请求来代表您创建授权 AWS KMS。中的授权 AWS KMS 用于授予对客户账户中 AWS KMS 密钥的 AWS Supply Chain 访问权限。
**注意**
AWS Supply Chain 使用它自己的授权机制。将用户添加到后 AWS Supply Chain，您就无法使用该 AWS KMS 策略拒绝列出同一个用户。
AWS Supply Chain 将拨款用于以下用途：
+ 向发送**GenerateDataKey**请求 AWS KMS 以[/forecast/latest/dg/data-protection.html#kms-grants](/forecast/latest/dg/data-protection.html#kms-grants)存储在您的实例中的数据。
+ 向发送**解密**请求 AWS KMS 以读取与实例关联的加密数据。
+ 添加*DescribeKey*CreateGrant**、和*RetireGrant*权限，以便在将数据发送到 Amazon Forecast 等其他 AWS 服务时确保您的数据安全。
您可以随时撤销授予访问权限，或删除服务对客户托管密钥的访问权限。如果这样做，将 AWS Supply Chain 无法访问由客户托管密钥加密的任何数据，这会影响依赖该数据的操作。
### 监控您的加密情况 AWS Supply Chain
以下示例是`Encrypt``GenerateDataKey`、和`Decrypt`监控 KMS 操作 AWS CloudTrail 的事件，这些操作由调用 AWS Supply Chain 以访问由您的客户托管密钥加密的数据：
------
#### [ Encrypt ]
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "scn.amazonaws.com"
},
"eventTime": "2024-03-06T22:39:32Z",
"eventSource": "kms.amazonaws.com",
"eventName": "Encrypt",
"awsRegion": "us-east-1",
"sourceIPAddress": "172.12.34.56"
"userAgent": "Example/Desktop/1.0 (V1; OS)",
"requestParameters": {
"encryptionAlgorithm": "SYMMETRIC_DEFAULT",
"keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample"
},
"responseElements": null,
"requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"readOnly": true,
"resources": [
{
"accountId": account ID,
"type": "AWS::KMS::Key",
"ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "112233445566",
"sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b",
"eventCategory": "Management"
}
```
------
#### [ GenerateDataKey ]
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "scn.amazonaws.com"
},
"eventTime": "2024-03-06T22:39:32Z",
"eventSource": "kms.amazonaws.com",
"eventName": "GenerateDataKey",
"awsRegion": "us-east-1",
"sourceIPAddress": "172.12.34.56"
"userAgent": "Example/Desktop/1.0 (V1; OS)",
"requestParameters": {
"encryptionContext": {
"aws:s3:arn": "arn:aws:s3:::test/rawEvent/bf6666c1-111-48aaca-b6b0-dsadsadsa3432423/noFlowName/scn.data.inboundorder/20240306_223934_536"
},
"keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample",
"keySpec": "AES_222"
},
"responseElements": null,
"requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"readOnly": true,
"resources": [
{
"accountId": account ID,
"type": "AWS::KMS::Key",
"ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "112233445566",
"sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b",
"eventCategory": "Management"
}
```
------
#### [ Decrypt ]
```
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "scn.amazonaws.com"
},
"eventTime": "2024-03-06T22:39:32Z",
"eventSource": "kms.amazonaws.com",
"eventName": "Decrypt",
"awsRegion": "us-east-1",
"sourceIPAddress": "172.12.34.56"
"userAgent": "Example/Desktop/1.0 (V1; OS)",
"requestParameters": {
"keyId": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample",
"encryptionAlgorithm": "SYMMETRIC_DEFAULT"
},
"responseElements": null,
"requestID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"eventID": "12a345n4-78a4-8888-0000-a000-6q000yy666rr",
"readOnly": true,
"resources": [
{
"accountId": account ID,
"type": "AWS::KMS::Key",
"ARN": "arn:aws:kms:us-east-1:123456789:key/1234abcd-11ab-22bc-33ef-123456sample"
}
],
"eventType": "AwsApiCall",
"managementEvent": true,
"recipientAccountId": "112233445566",
"sharedEventID": "fdf9ee0f-e43f-4e43-beac-df69067edb8b",
"eventCategory": "Management"
}
```
------