本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Connect Customer 的安全最佳實務

Connect Customer 提供許多安全功能，供您在開發和實作自己的安全政策時考慮。以下最佳實務為一般準則，並不代表完整的安全解決方案。這些最佳實務可能不適用或無法滿足您的環境需求，因此請將其視為實用建議就好，而不要當作是指示。

Connect 客戶預防性安全最佳實務

使用服務控制政策 (SCP)

服務控制政策 (SCP) 是一種組織政策類型，可用來管理您的組織中的許可。SCP 會針對帳戶管理員可委派給受影響帳戶中使用者和角色的動作，定義防護機制或設定限制。您可以使用 SCPs來保護與 Connect Customer 工作負載相關聯的重要資源。

設定服務控制策略以防止刪除關鍵資源

如果您使用 SAML 2.0 型身分驗證，並刪除用於驗證 Connect Customer 使用者的 AWS IAM 角色，則使用者將無法登入 Connect Customer 執行個體。您必須刪除並重新建立使用者，才能與新角色產生關聯。這會導致刪除與這些使用者相關的所有資料。

為了防止意外刪除重要資源並保護 Connect Customer 執行個體的可用性，您可以將服務控制政策 (SCP) 設定為額外的控制。

以下是可在 AWS 帳戶、組織單位或組織根目錄套用的範例 SCP，以防止刪除 Connect Customer 執行個體和相關聯的角色：

JSON

{    
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AmazonConnectRoleDenyDeletion",
      "Effect": "Deny",
      "Action": [
        "iam:DeleteRole"
      ],
      "Resource": [
        "arn:aws:iam::*:role/ConnectUserRole"
      ]
    },
    {
      "Sid": "AmazonConnectInstanceDenyDeletion",
      "Effect": "Deny",
      "Action": [
        "connect:DeleteInstance"         
      ],
      "Resource": [
         "arn:aws:connect:us-east-1:111122223333:instance/InstanceId"
      ]
    }
  ]
} 

Connect 客戶偵測性安全最佳實務

登入和監控對於聯絡中心的可用性、可靠性和效能來說至關重要。您應該將相關資訊從 Connect Customer 流程記錄到 CloudWatch，並根據相同流程建置提醒和通知。

儘早定義日誌保留需求和生命週期原則，並計劃盡快將日誌檔移至具成本效益的儲存位置。將客戶公有 APIs日誌連線至 CloudTrail；如需詳細資訊，請參閱 使用 的 Log Connect Customer API 呼叫 AWS CloudTrail。根據 CloudTrail 日誌檢閱並自動執行動作。

我們建議使用 Amazon S3 來長期保留和存檔日誌資料，特別是對於具有需要以原生格式稽核日誌資料的合規計劃的組織而言。日誌資料存放在 Amazon S3 儲存貯體後，請定義生命週期規則以自動強制執行保留政策，並將這些物件移至其他具成本效益的儲存類別，例如 Amazon S3 Standard – 不常存取 (Standard - IA) 或 Amazon Glacier。

AWS 雲端提供靈活的基礎設施和工具，以支援複雜的合作夥伴產品和自我管理的集中記錄解決方案。這包括 Amazon OpenSearch Service 和 Amazon CloudWatch Logs 等解決方案。

您可以根據您的需求自訂 Connect Customer 流程，為傳入聯絡人實作詐騙偵測和預防。例如，您可以根據 Dynamo DB 中先前的聯繫人活動檢查傳入的聯絡，然後採取措施，例如斷開拒絕列表中的聯絡。

Connect Customer Chat 安全最佳實務

當您直接與 Connect Customer Participant Service 整合 （或使用 Connect Customer Chat Java 指令碼程式庫），並使用 WebSocket 或串流端點來接收前端應用程式或網站的訊息時，您必須保護您的應用程式免受 DOM 型 XSS （跨網站指令碼） 攻擊。

下列安全建議有助於防範 XSS 攻擊：

Connect Customer WebRTC 安全最佳實務

對於 WebRTC 和聊天聯絡，參與者會收到一個參與者字符，這是在聯絡工作階段中唯一識別參與者身分的持有人字符。擁有此字符即授予存取權，因此洩漏此字符可能導致模擬攻擊。請務必保護此字符。

下列安全建議有助於防範模擬攻擊：