資料加密 - Amazon Transcribe
靜態加密傳輸中加密金鑰管理AWS KMS加密內容

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

資料加密

資料加密有助於保護傳輸中與靜態的資料。您可以在傳輸期間使用 Amazon S3受管金鑰或KMS keys靜態金鑰，以及標準 Transport Layer Security (TLS) 來保護您的資料。

靜態加密

Amazon Transcribe使用預設Amazon S3金鑰 (SSE-S3) 對放在儲存Amazon S3貯體中的文字記錄進行伺服器端加密。

當您使用 StartTranscriptionJob操作時，您可以指定自己的 KMS key來加密轉錄任務的輸出。

Amazon Transcribe使用以預設金鑰加密的 Amazon EBS磁碟區。

傳輸中加密

Amazon Transcribe使用 TLS 1.2 搭配AWS憑證來加密傳輸中的資料。這包括串流轉錄。

金鑰管理

Amazon Transcribe使用 KMS keys為您的資料提供增強加密。使用 Amazon S3，您可以在建立轉錄任務時加密輸入媒體。與 整合AWS KMS可加密來自StartTranscriptionJob請求的輸出。

如果您未指定 KMS key，則會使用預設Amazon S3金鑰 (SSE-S3) 加密轉錄任務的輸出。

如需 的詳細資訊AWS KMS，請參閱 AWS Key Management Service開發人員指南。

若要加密轉錄任務的輸出，您可以選擇KMS key為提出請求AWS 帳戶的 使用 ，或從另一個 KMS key使用 AWS 帳戶。

如果您未指定 KMS key，則會使用預設Amazon S3金鑰 (SSE-S3) 加密轉錄任務的輸出。

啟用輸出加密：

  1. 在 輸出資料 下方，選擇 加密。

    已啟用加密切換和 KMS keyID 下拉式選單的螢幕擷取畫面。

  2. 選擇 KMS key是來自AWS 帳戶您目前使用的 ，還是來自不同的 AWS 帳戶。如果您想要使用來自目前 的金鑰AWS 帳戶，請從 KMS keyID 選擇金鑰。如果您使用來自不同 的金鑰AWS 帳戶，則必須輸入金鑰的 ARN。若要使用來自不同 的金鑰AWS 帳戶，發起人必須具有 的kms:Encrypt許可KMS key。請參閱建立金鑰政策，了解詳細資訊。

若要搭配 API 使用輸出加密，您必須KMS key使用 StartCallAnalyticsJob、 StartMedicalTranscriptionJob或 StartTranscriptionJob操作的 OutputEncryptionKMSKeyId 參數來指定 。

如果使用位於目前AWS 帳戶 中的金鑰，您可以使用四種方式KMS key之一來指定您的 ：

  1. 使用 KMS keyID 本身。例如 1234abcd-12ab-34cd-56ef-1234567890ab。

  2. 使用 KMS keyID 的別名。例如 alias/ExampleAlias。

  3. 使用 KMS keyID 的 Amazon Resource Name (ARN)。例如 arn:aws:kms:region:account-ID:key/1234abcd-12ab-34cd-56ef-1234567890ab。

  4. 使用KMS key別名的 ARN。例如 arn:aws:kms:region:account-ID:alias/ExampleAlias。

如果使用位於與目前 不同的AWS 帳戶 金鑰AWS 帳戶，您可以透過下列兩種方式KMS key之一來指定您的 ：

  1. 使用 KMS keyID 的 ARN。例如 arn:aws:kms:region:account-ID:key/1234abcd-12ab-34cd-56ef-1234567890ab。

  2. 使用KMS key別名的 ARN。例如 arn:aws:kms:region:account-ID:alias/ExampleAlias。

請注意，提出請求的實體必須取得許可才可使用指定的 KMS key。

AWS KMS加密內容

AWS KMS加密內容是純文字、非私密金鑰：值對的映射。此映射代表額外的已驗證資料，稱為加密內容對，可為您的資料提供多一層的安全性。 Amazon Transcribe需要對稱加密金鑰，才能將轉錄輸出加密到客戶指定的Amazon S3儲存貯體。若要了解詳細資訊，請參閱 AWS KMS 中的非對稱金鑰。

建立加密內容對時，請勿包含敏感資訊。加密內容不是秘密，它在CloudTrail日誌中以純文字顯示 （因此您可以使用它來識別和分類密碼編譯操作）。

加密內容對可以包含特殊字元，例如底線 (_)、破折號 (-)、斜線 (/、\) 和冒號 (:)。

提示

將加密內容對中的值與要加密的資料建立關聯會很實用。雖然不是必要的舉動，但我們建議您使用與加密內容相關的非敏感中繼資料，例如檔案名稱、標頭值或未加密的資料庫欄位。

若要透過 API 使用輸出加密，設定 StartTranscriptionJob 操作中的 KMSEncryptionContext 參數。為了提供輸出加密操作的加密內容，OutputEncryptionKMSKeyId 參數必須參照對稱 KMS key ID。

您可以使用 AWS KMS條件金鑰搭配 IAM政策，KMS key根據密碼編譯操作請求中使用的加密內容來控制對對稱加密的存取。如需加密內容政策的範例，請參閱 AWS KMS加密內容政策。

加密內容是選用項目，但建議使用。如需詳細資訊，請參閱加密內容。