本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 数据加密
<a name="security-data-encryption"></a>

以下信息说明 Amazon Rekognition 在何处使用数据加密来保护您的数据。

## 静态加密
<a name="security-data-encryption-at-rest"></a>

### Amazon Rekognition Image
<a name="security-ear-rekognition-image"></a>

#### 图片
<a name="security-image-ear-images"></a>

除非您通过访问 [AI 服务选择退出策略页面](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html)并按照此处说明的流程选择退出，否则可能会存储传递给 Amazon Rekognition API 操作的图像并将其用于改进服务。存储的图像使用 AWS Key Management Service () 进行静态加密 (Amazon S3SSE-KMS)。

#### 集合
<a name="security-ear-face-comparison-collections"></a>

对于在集合中存储信息的人脸比较操作，基础检测算法会先检测输入图像中的人脸，提取每个人脸的向量，然后将这些人脸向量存储在集合中。Amazon Rekognition 在执行人脸比较时使用这些人脸向量。人脸向量存储为浮点数组并进行静态加密。

### Amazon Rekognition Video
<a name="security-ear-rekognition-video"></a>

#### 视频
<a name="security-video-ear-videos"></a>

 要分析视频，Amazon Rekognition 将视频复制到服务中进行处理。除非您通过访问 [AI 服务选择退出策略页面](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_ai-opt-out.html)并按照此处说明的流程选择退出，否则该视频可能会被存储并用于改进服务。这些视频使用 AWS Key Management Service () 进行静态加密 (Amazon S3SSE-KMS)。

### Amazon Rekognition Custom Labels
<a name="security-ear-custom-labels"></a>

Amazon Rekognition Custom Labels 加密您的静态数据。

#### 图片
<a name="security-ear-cl-images"></a>

 为训练您的模型，Amazon Rekognition Custom Labels 会复制您的源训练图像和测试图像。复制的图像在 Amazon Simple Storage Service (S3) 中使用服务器端加密，使用您提供的或 AWS 拥有的 K AWS KMS key MS 密钥进行静态加密。Amazon Rekognition Custom Labels 仅支持对称 KMS 密钥。您的源图像不受影响。有关更多信息，请参阅[训练 Amazon Rekognition Custom Labels 模型](https://docs.aws.amazon.com/rekognition/latest/customlabels-dg/tm-train-model.html)。

####   模型
<a name="security-ear-cl-models"></a>

Amazon Rekognition Custom Labels 默认使用 AWS 拥有的密钥进行服务器端加密，加密存储在 Amazon S3 存储桶中的训练模型和清单文件。有关更多信息，请参阅[使用 Server-Side 加密保护数据](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html)。训练结果会写入到 [CreateProjectVersion](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateProjectVersion.html) 的 `OutputConfig` 输入参数中指定的桶中。使用为存储桶（`OutputConfig`）配置的加密设置对训练结果进行加密。

#### 控制台存储桶
<a name="security-ear-cl-console"></a>

Amazon Rekognition Custom Labels 控制台创建了一个可用于管理项目的 Amazon S3 存储桶（控制台存储桶）。控制台存储桶使用默认 Amazon S3 加密进行加密。有关更多信息，请参阅[适用于 S3 存储桶的 Amazon Simple Storage Service 默认加密](https://docs.aws.amazon.com/AmazonS3/latest/dev/bucket-encryption.html)。如果您使用自己的 KMS 密钥，请在创建控制台存储桶后对其进行配置。有关更多信息，请参阅[使用 Server-Side 加密保护数据](https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html)。Amazon Rekognition Custom Labels 会阻止公众访问控制台存储桶。

### Rekognition Face Liveness
<a name="security-ear-rekognition-liveness"></a>

Rekognition Face Livenest 服务账户中存储的所有与会话相关的数据在静态状态下进行完全加密。默认情况下，参考和审核图像使用服务帐号中的 AWS 自有密钥进行加密。但是，您可以选择提供自己的 AWS KMS 密钥来加密这些图像。

## 传输中加密
<a name="security-data-encryption-in-transit"></a>

Amazon Rekognition API 端点仅支持基于 HTTPS 的安全连接。所有通信都使用传输层安全性协议 (TLS) 进行加密。

## 密钥管理
<a name="security-data-encryption-key-management"></a>

您可以使用 AWS Key Management Service (SSE-KMS) 管理存储在 Amazon S3 存储桶中的输入图像和视频的密钥。有关更多信息，请参阅 [AWS Key Management Service 概念](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys)。

### 面向人脸活跃度的客户管理密钥加密
<a name="security-data-encryption-key-management-liveness"></a>

[CreateFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_CreateFaceLivenessSession.html)API 采用可选`KmsKeyId`参数。您可以提供您在账户中创建的 KMS 密钥的 `id`。此密钥将用于加密在 [StartFaceLivenessSession](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_StartFaceLivenessSession.html)API 期间获得的参考和审计图像，在 [GetFaceLivenessSessionResults](https://docs.aws.amazon.com/rekognition/latest/APIReference/API_GetFaceLivenessSessionResults.html)API 期间，将在返回结果之前使用此密钥对图像进行解密。如果 CreateFaceLivenessSession 请求包含 OutputConfig，则参考图像和审计图像将上传到指定的 Amazon S3 路径。我们建议在您的 Amazon S3 存储桶中启用服务器端加密 ([SSE-S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html))，以便数据继续保持静态加密状态。

当您提供自己的 AWS KMS 密钥 ID 时，Rekognition Face Liveness 服务将获得代表调用 API 的委托人使用客户托管密钥的权限。用于从客户后端（API `CreateFaceLivenessSession` 和 `GetFaceLivenessSessionResults`）调用 API 的主体（用户或角色）必须有权执行以下操作：
+ kms: DescribeKey
+ kms: GenerateDataKey
+ kms:Decrypt