本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 資料加密
<a name="data-encryption"></a>

資料加密有助於保護傳輸中與靜態的資料。您可以在傳輸期間使用 Amazon S3受管金鑰或KMS keys靜態金鑰，以及標準 Transport Layer Security (TLS) 來保護您的資料。

## 靜態加密
<a name="encryption-rest"></a>

Amazon Transcribe使用預設Amazon S3金鑰 (SSE-S3) 對放在儲存Amazon S3貯體中的文字記錄進行伺服器端加密。

當您使用 [https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html)操作時，您可以指定自己的 KMS key來加密轉錄任務的輸出。

Amazon Transcribe使用以預設金鑰加密的 Amazon EBS磁碟區。

## 傳輸中加密
<a name="encryption-transit"></a>

Amazon Transcribe使用 TLS 1.2 搭配AWS憑證來加密傳輸中的資料。這包括串流轉錄。

## 金鑰管理
<a name="key-management"></a>

Amazon Transcribe使用 KMS keys為您的資料提供增強加密。使用 Amazon S3，您可以在建立轉錄任務時加密輸入媒體。與 整合AWS KMS可加密來自[https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html)請求的輸出。

如果您未指定 KMS key，則會使用預設Amazon S3金鑰 (SSE-S3) 加密轉錄任務的輸出。

如需 的詳細資訊AWS KMS，請參閱 [https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html)。

### 使用 進行金鑰管理AWS 管理主控台
<a name="kms-console"></a>

若要加密轉錄任務的輸出，您可以選擇KMS key為提出請求AWS 帳戶的 使用 ，或從另一個 KMS key使用 AWS 帳戶。

如果您未指定 KMS key，則會使用預設Amazon S3金鑰 (SSE-S3) 加密轉錄任務的輸出。

**啟用輸出加密：**

1. 在 **輸出資料 ** 下方，選擇 **加密**。  
![\[已啟用加密切換和 KMS keyID 下拉式選單的螢幕擷取畫面。\]](http://docs.aws.amazon.com/zh_tw/transcribe/latest/dg/images/output-encryption.png)

1. 選擇 KMS key是來自AWS 帳戶您目前使用的 ，還是來自不同的 AWS 帳戶。如果您想要使用來自目前 的金鑰AWS 帳戶，請從 **KMS keyID** 選擇金鑰。如果您使用來自不同 的金鑰AWS 帳戶，則必須輸入金鑰的 ARN。若要使用來自不同 的金鑰AWS 帳戶，發起人必須具有 的`kms:Encrypt`許可KMS key。請參閱[建立金鑰政策](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-overview.html)，了解詳細資訊。

### 使用 API 進行金鑰管理
<a name="kms-api"></a>

若要搭配 API 使用輸出加密，您必須KMS key使用 [https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartCallAnalyticsJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartCallAnalyticsJob.html)、 [https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartMedicalTranscriptionJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartMedicalTranscriptionJob.html)或 [https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html)操作的 `OutputEncryptionKMSKeyId` 參數來指定 。

如果使用位於**目前**AWS 帳戶 中的金鑰，您可以使用四種方式KMS key之一來指定您的 ：

1. 使用 KMS keyID 本身。例如 `1234abcd-12ab-34cd-56ef-1234567890ab`。

1. 使用 KMS keyID 的別名。例如 `alias/ExampleAlias`。

1. 使用 KMS keyID 的 Amazon Resource Name (ARN)。例如 `arn:aws:kms:region:account-ID:key/1234abcd-12ab-34cd-56ef-1234567890ab`。

1. 使用KMS key別名的 ARN。例如 `arn:aws:kms:region:account-ID:alias/ExampleAlias`。

如果使用位於與目前 **不同的**AWS 帳戶 金鑰AWS 帳戶，您可以透過下列兩種方式KMS key之一來指定您的 ：

1. 使用 KMS keyID 的 ARN。例如 `arn:aws:kms:region:account-ID:key/1234abcd-12ab-34cd-56ef-1234567890ab`。

1. 使用KMS key別名的 ARN。例如 `arn:aws:kms:region:account-ID:alias/ExampleAlias`。

請注意，提出請求的實體必須取得許可才可使用指定的 KMS key。

## AWS KMS加密內容
<a name="kms-context"></a>

AWS KMS加密內容是純文字、非私密金鑰：值對的映射。此映射代表額外的已驗證資料，稱為加密內容對，可為您的資料提供多一層的安全性。 Amazon Transcribe需要對稱加密金鑰，才能將轉錄輸出加密到客戶指定的Amazon S3儲存貯體。若要了解詳細資訊，請參閱 [AWS KMS 中的非對稱金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/symmetric-asymmetric.html)。

建立加密內容對時，**請勿**包含敏感資訊。加密內容不是秘密，它在CloudTrail日誌中以純文字顯示 （因此您可以使用它來識別和分類密碼編譯操作）。

加密內容對可以包含特殊字元，例如底線 (`_`)、破折號 (`-`)、斜線 (`/`、`\`) 和冒號 (`:`)。

**提示**  
將加密內容對中的值與要加密的資料建立關聯會很實用。雖然不是必要的舉動，但我們建議您使用與加密內容相關的非敏感中繼資料，例如檔案名稱、標頭值或未加密的資料庫欄位。

若要透過 API 使用輸出加密，設定 [https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html](https://docs.aws.amazon.com/transcribe/latest/APIReference/API_StartTranscriptionJob.html) 操作中的 `KMSEncryptionContext` 參數。為了提供輸出加密操作的加密內容，`OutputEncryptionKMSKeyId` 參數必須參照對稱 KMS key ID。

您可以使用 [AWS KMS條件金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/policy-conditions.html#conditions-kms)搭配 IAM政策，KMS key根據[密碼編譯操作](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#cryptographic-operations)請求中使用的加密內容來控制對對稱加密的存取。如需加密內容政策的範例，請參閱 [AWS KMS 加密內容政策](security_iam_id-based-policy-examples.md#kms-context-policy)。

加密內容是選用項目，但建議使用。如需詳細資訊，請參閱[加密內容](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#encrypt_context)。