本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# Amazon Rekognition 中的数据保护
AWS [责任共担模式](https://aws.amazon.com/compliance/shared-responsibility-model/)可应用于 Amazon Rekognition 中的数据保护。如该模式中所述，AWS 负责保护运行所有 AWS 云 的全球基础结构。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅 *AWS Security Blog* 上的 [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 博客文章。
出于数据保护目的，建议您保护 AWS 账户 凭证并使用 AWS IAM Identity Center 或 AWS Identity and Access Management（IAM）设置单个用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据：
+ 对每个账户使用多重身份验证（MFA）。
+ 使用 SSL/TLS 与 AWS 资源进行通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。
+ 使用 AWS CloudTrail 设置 API 和用户活动日记账记录。有关使用 CloudTrail 跟踪来捕获 AWS 活动的信息，请参阅《AWS CloudTrail 用户指南》**中的[使用 CloudTrail 跟踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。
+ 使用 AWS 加密解决方案以及 AWS 服务中的所有默认安全控制。
+ 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。
+ 如果在通过命令行界面或 API 访问 AWS 时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 端点。有关可用的 FIPS 端点的更多信息，请参阅[《美国联邦信息处理标准（FIPS）第 140-3 版》](https://aws.amazon.com/compliance/fips/)。
强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括当您使用控制台、API、AWS CLI 或 AWS SDK 处理 Rekognition 或其他 AWS 服务时。在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供网址，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。
# 数据加密
以下信息说明 Amazon Rekognition 在何处使用数据加密来保护您的数据。
## 静态加密
### Amazon Rekognition Image
#### 图像
除非您通过访问 [AI 服务选择退出策略页面](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html)并按照此处说明的流程选择退出，否则可能会存储传递给 Amazon Rekognition API 操作的图像并将其用于改进服务。使用 AWS Key Management Service (SSE-KMS) 对存储的图像进行静态加密 (Amazon S3)。
#### 集合
对于在集合中存储信息的人脸比较操作，基础检测算法会先检测输入图像中的人脸，提取每个人脸的向量，然后将这些人脸向量存储在集合中。Amazon Rekognition 在执行人脸比较时使用这些人脸向量。人脸向量存储为浮点数组并进行静态加密。
### Amazon Rekognition Video
#### 视频
要分析视频，Amazon Rekognition 将视频复制到服务中进行处理。除非您通过访问 [AI 服务选择退出策略页面](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html)并按照此处说明的流程选择退出，否则该视频可能会被存储并用于改进服务。使用 AWS Key Management Service (SSE-KMS) 对视频进行静态加密 (Amazon S3)。
### Amazon Rekognition Custom Labels
Amazon Rekognition Custom Labels 加密您的静态数据。
#### 图像
为训练您的模型，Amazon Rekognition Custom Labels 会复制您的源训练图像和测试图像。复制的图像在 Amazon Simple Storage Service (S3) 中使用您提供的 AWS KMS key 或 AWS 拥有的 KMS 密钥进行服务器端加密，以实现静态加密。Amazon Rekognition Custom Labels 仅支持对称 KMS 密钥。您的源图像不受影响。有关更多信息，请参阅[训练 Amazon Rekognition Custom Labels 模型](https://docs.aws.amazon.com/rekognition/latest/customlabels-dg/tm-train-model.html)。
#### 模型
Amazon Rekognition Custom Labels 默认使用 AWS 拥有的密钥 进行服务器端加密，加密存储在 Amazon S3 存储桶中的训练模型和清单文件。有关更多信息，请参阅[使用服务器端加密保护数据](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html)。训练结果将写入 [CreateProjectVersion](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateProjectVersion.html) 的 `OutputConfig` 输入参数中指定的存储桶中。使用为存储桶（`OutputConfig`）配置的加密设置对训练结果进行加密。
#### 控制台存储桶
Amazon Rekognition Custom Labels 控制台创建了一个可用于管理项目的 Amazon S3 存储桶（控制台存储桶）。控制台存储桶使用默认 Amazon S3 加密进行加密。有关更多信息，请参阅[适用于 S3 存储桶的 Amazon Simple Storage Service 默认加密](https://docs.aws.amazon.com/AmazonS3/latest/dev/bucket-encryption.html)。如果您使用自己的 KMS 密钥，请在创建控制台存储桶后对其进行配置。有关更多信息，请参阅[使用服务器端加密保护数据](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html)。Amazon Rekognition Custom Labels 会阻止公众访问控制台存储桶。
### Rekognition Face Liveness
Rekognition Face Livenest 服务账户中存储的所有与会话相关的数据在静态状态下进行完全加密。默认情况下，参考和审核图像使用服务帐号中的 AWS 自有密钥进行加密。但是，您可以选择提供自己的 AWS KMS 密钥来加密这些图像。
## 传输中加密
Amazon Rekognition API 端点仅支持基于 HTTPS 的安全连接。所有通信都使用传输层安全性协议 (TLS) 进行加密。
## 密钥管理
您可以使用 AWS Key Management Service (SSE-KMS) 管理存储在 Amazon S3 存储桶中的输入图像和视频的密钥。有关更多信息，请参阅 [AWS Key Management Service 概念](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys)。
### 面向人脸活跃度的客户管理密钥加密
[CreateFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateFaceLivenessSession.html) API 采用可选 `KmsKeyId` 参数。您可以提供您在账户中创建的 KMS 密钥的 `id`。此密钥将用于加密在 [StartFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_StartFaceLivenessSession.html) 和 [GetFaceLivenessSessionResults](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_GetFaceLivenessSessionResults.html) API 期间获得的参考和审核图像，将在返回结果之前使用此密钥对图像进行解密。如果 CreateFaceLivenessSession 请求包含 OutputConfig，则参考和审核图像将上传到指定的 Amazon S3 路径。我们建议在您的 Amazon S3 存储桶中启用服务器端加密 ([SSE-S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html))，以便数据在静态状态下继续保持加密状态。
如果提供自己的 AWS KMS 密钥 ID，那么 Rekognition Face Liveness 服务将获得代表调用 API 的主体使用客户托管密钥的权限。用于从客户后端（API `CreateFaceLivenessSession` 和 `GetFaceLivenessSessionResults`）调用 API 的主体（用户或角色）必须有权执行以下操作：
+ kms:DescribeKey
+ kms:GenerateDataKey
+ kms:Decrypt
# 互联网络流量隐私
Amazon Rekognition 的 Amazon Virtual Private Cloud (Amazon VPC) 端点是 VPC 内的逻辑实体，仅允许连接到 Amazon Rekognition。Amazon VPC 将请求路由到 Amazon Rekognition 并将响应路由回 VPC。有关更多信息，请参阅**《Amazon VPC 用户指南》的 [VPC 端点](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html)。有关将 Amazon VPC 端点与 Amazon Rekognition 配合使用的信息，请参阅 [将 Amazon Rekognition 与 Amazon VPC 端点结合使用](vpc.md)。