Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Protezione dei dati in AWS Clean Rooms
Ulteriori informazioni su come il modello di responsabilità condivisa
Ai fini della protezione dei dati, ti consigliamo di proteggere Account AWS le credenziali e configurare i singoli utenti con Centro identità AWS IAM o AWS Identity and Access Management (IAM). In tal modo, a ogni utente verranno assegnate solo le autorizzazioni necessarie per svolgere i suoi compiti. Suggeriamo, inoltre, di proteggere i dati nei seguenti modi:
-
Utilizza l’autenticazione a più fattori (MFA) con ogni account.
-
SSL/TLS Usalo per comunicare con AWS le risorse. È richiesto TLS 1.2 ed è consigliato TLS 1.3.
-
Configura l'API e la registrazione delle attività degli utenti con AWS CloudTrail. Per informazioni sull'uso dei CloudTrail percorsi per acquisire AWS le attività, consulta Lavorare con i CloudTrail percorsi nella Guida per l'AWS CloudTrail utente.
-
Utilizza soluzioni di AWS crittografia, insieme a tutti i controlli di sicurezza predefiniti all'interno Servizi AWS.
-
Utilizza i servizi di sicurezza gestiti avanzati, come Amazon Macie, che aiutano a individuare e proteggere i dati sensibili archiviati in Amazon S3.
-
Se hai bisogno di moduli crittografici convalidati FIPS 140-3 per l'accesso AWS tramite un'interfaccia a riga di comando o un'API, utilizza un endpoint FIPS. Per ulteriori informazioni sugli endpoint FIPS disponibili, consulta il Federal Information Processing Standard (FIPS) 140-3
.
Ti consigliamo di non inserire mai informazioni riservate o sensibili, ad esempio gli indirizzi e-mail dei clienti, nei tag o nei campi di testo in formato libero, ad esempio nel campo Nome. Ciò include quando lavori con AWS Clean Rooms o altri Servizi AWS utilizzi la console, l'API o gli SDK. AWS CLI AWS I dati inseriti nei tag o nei campi di testo in formato libero utilizzati per i nomi possono essere utilizzati per i la fatturazione o i log di diagnostica. Quando si fornisce un URL a un server esterno, suggeriamo vivamente di non includere informazioni sulle credenziali nell’URL per convalidare la richiesta al server.
Crittografia dei dati a riposo
AWS Clean Rooms crittografa sempre tutti i metadati del servizio inattivi senza richiedere alcuna configurazione aggiuntiva. Questa crittografia è automatica quando si utilizza. AWS Clean Rooms
Clean Rooms ML crittografa tutti i dati archiviati all'interno del servizio in stato di inattività. AWS KMS Se scegli di fornire la tua chiave KMS, i contenuti dei tuoi modelli lookalike e dei job di generazione di segmenti lookalike vengono crittografati mentre sono inattivi con la tua chiave KMS.
Quando si utilizzano modelli ML AWS Clean Rooms personalizzati, il servizio crittografa tutti i dati archiviati in memoria. AWS KMS AWS Clean Rooms supporta l'uso di chiavi simmetriche gestite dal cliente, create, possedute e gestite dall'utente per crittografare i dati inattivi. Se le chiavi gestite dal cliente non sono specificate, Chiavi di proprietà di AWS vengono utilizzate per impostazione predefinita.
AWS Clean Rooms utilizza le concessioni e le politiche chiave per accedere alle chiavi gestite dal cliente. Puoi revocare l'accesso alla concessione o rimuovere l'accesso del servizio alla chiave gestita dal cliente in qualsiasi momento. In tal caso, AWS Clean Rooms non sarà in grado di accedere a nessuno dei dati crittografati dalla chiave gestita dal cliente, il che influisce sulle operazioni che dipendono da tali dati. Ad esempio, se si tenta di creare un modello addestrato da un canale di input ML crittografato a cui non è AWS Clean Rooms possibile accedere, l'operazione restituirà un ValidationException errore.
Nota
Puoi utilizzare le opzioni di crittografia di Amazon S3 per proteggere i tuoi dati inattivi.
Per ulteriori informazioni, consulta Specificare la crittografia di Amazon S3 nella Amazon S3 User Guide.
Quando si utilizza una tabella di mappatura degli ID all'interno AWS Clean Rooms, il servizio crittografa tutti i dati archiviati in memoria. AWS KMS Se scegli di fornire la tua chiave KMS, i contenuti della tabella di mappatura degli ID vengono crittografati mentre sono inattivi con la chiave KMS tramite. AWS Entity Resolution Per maggiori dettagli sulle autorizzazioni richieste per lavorare con le crittografie con un flusso di lavoro di mappatura degli ID, consulta Create a workflow job role for nella Guida per l'utente. AWS Entity Resolution AWS Entity Resolution
Crittografia dei dati in transito
AWS Clean Rooms utilizza Transport Layer Security (TLS) per la crittografia in transito. La comunicazione con AWS Clean Rooms avviene sempre tramite HTTPS, quindi i dati sono sempre crittografati durante il transito, indipendentemente dal fatto che siano archiviati in Amazon S3, Amazon Athena o Snowflake. Ciò include tutti i dati in transito quando si utilizza Clean Rooms ML.
Crittografia dei dati sottostanti
Per ulteriori informazioni su come crittografare i dati sottostanti, consulta. Elaborazione crittografica per Clean Rooms
Policy della chiave
Le policy della chiave controllano l’accesso alla chiave gestita dal cliente. Ogni chiave gestita dal cliente deve avere esattamente una policy della chiave, che contiene istruzioni che determinano chi può usare la chiave e come la possono usare. Quando crei la chiave gestita dal cliente, è possibile specificare una policy della chiave. Per ulteriori informazioni, consulta Gestire l'accesso alle chiavi gestite dal cliente nella AWS Key Management Service Developer Guide.
Per utilizzare la chiave gestita dal cliente con i modelli ML AWS Clean Rooms personalizzati, le seguenti operazioni API devono essere consentite nella policy chiave:
-
kms:DescribeKey— Fornisce i dettagli della chiave gestiti dal cliente AWS Clean Rooms per consentire la convalida della chiave. -
kms:Decrypt— Fornisce l'accesso AWS Clean Rooms per decrittografare i dati crittografati e utilizzarli nei lavori correlati. -
kms:CreateGrant- Clean Rooms ML crittografa le immagini di formazione e inferenza a riposo in Amazon ECR creando sovvenzioni per Amazon ECR. Per ulteriori informazioni, consulta Encryption at Rest in Amazon ECR. Clean Rooms ML utilizza inoltre Amazon SageMaker AI per eseguire processi di formazione e inferenza e concede sovvenzioni all' SageMaker intelligenza artificiale per crittografare i volumi Amazon EBS collegati alle istanze e i dati di output in Amazon S3. Per saperne di più, consulta Proteggere i dati a riposo utilizzando la crittografia in Amazon AI. SageMaker -
kms:GenerateDataKey- Clean Rooms ML crittografa i dati inattivi archiviati in Amazon S3 utilizzando la crittografia lato server con. AWS KMS keys Per ulteriori informazioni, consulta Utilizzo della crittografia lato server con AWS KMS keys () in Amazon S3. SSE-KMS
Di seguito sono riportati alcuni esempi di dichiarazioni politiche che puoi aggiungere AWS Clean Rooms per le seguenti risorse:
Canale di input ML con dati sintetici
{ "Version":"2012-10-17", "Statement": [ { "Sid": "Allow access to principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] }, "BoolIfExists": { "kms:GrantIsForAWSResource": true } } }, { "Sid": "Allow describe key for principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::444455556666:role/ExampleRole" }, "Action": [ "kms:DescribeKey" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" } } }, { "Sid": "Allow grant operations for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] } } }, { "Sid": "Allow describe key for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" } ] }
Canale di ingresso ML senza dati sintetici
Lavoro di modello addestrato o lavoro di inferenza di modelli addestrati
Clean Rooms ML non supporta la specificazione del contesto di crittografia del servizio o del contesto di origine nelle politiche delle chiavi gestite dal cliente. Il contesto di crittografia utilizzato internamente dal servizio è visibile ai clienti in. CloudTrail
Crittografia per tabelle intermedie
Quando si utilizzano tabelle intermedie all'interno AWS Clean Rooms, il servizio crittografa tutti i dati archiviati a riposo con AWS Key Management Service ().AWS KMS Per impostazione predefinita, il servizio crittografa i dati delle tabelle intermedie con una chiave gestita dal servizio. Se scegli di fornire la tua chiave KMS, il servizio crittografa la tabella intermedia inattiva con quella chiave. Questo utilizza la crittografia lato server con (). AWS KMS keys SSE-KMS
AWS Clean Rooms utilizza politiche chiave e principi di servizio per accedere alle chiavi gestite dal cliente per le tabelle intermedie. Il servizio crittografa i dati della tabella intermedia in fase di scrittura quando la tabella viene popolata e decrittografa i dati in modo trasparente quando la tabella intermedia viene utilizzata in un'analisi successiva.
La chiave KMS ARN viene fornita al momento della creazione della tabella intermedia e si applica a tutte le versioni della tabella. È possibile aggiornare la chiave KMS utilizzando l'azione Modifica nella pagina dei dettagli della tabella intermedia. La nuova chiave ha effetto alla successiva compilazione: ogni versione viene crittografata con la chiave specificata al momento della compilazione.
Nota
L'eliminazione di una tabella intermedia non richiede alcuna operazione. AWS KMS I dati crittografati in Amazon S3 vengono eliminati dal servizio di storage gestito.
AWS KMS Autorizzazioni richieste per le tabelle intermedie
Per utilizzare la chiave gestita dal cliente con le tabelle intermedie, le seguenti operazioni API devono essere consentite nella policy chiave:
-
kms:DescribeKey— Convalida lo stato della chiave quando si crea o si aggiorna una tabella intermedia. -
kms:GenerateDataKey— Crittografa i dati della tabella intermedia quando la tabella è popolata. Amazon S3 chiama per AWS KMS conto del servizio per generare chiavi di dati per la crittografia. SSE-KMS -
kms:Decrypt— Decripta i dati della tabella intermedia quando la tabella viene referenziata in un'analisi successiva. Amazon S3 chiama per conto del servizio per AWS KMS decrittografare i dati in modo trasparente.
Esempio di policy chiave per le tabelle intermedie
Di seguito è riportato un esempio di politica chiave per l'utilizzo di una chiave gestita dal cliente con tabelle intermedie:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow Clean Rooms to encrypt and decrypt intermediate table data", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringLike": { "kms:EncryptionContext:aws:cleanrooms:intermediateTableArn": "arn:aws:cleanrooms:us-east-1:666666666666:membership/membership-id/intermediatetable/intermediate-table-id" }, "ForAnyValue:ArnEquals": { "aws:SourceArn": [ "arn:aws:cleanrooms:us-east-1:666666666666:membership/member-1-membership-id", "arn:aws:cleanrooms:us-east-1::membership/member-2-membership-id" ] } } }, { "Sid": "Allow Clean Rooms to describe key", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" }, { "Sid": "Allow caller to validate key via Clean Rooms", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms.us-east-1.amazonaws.com", "kms:CallerAccount": "666666666666" } } } ] }
La prima dichiarazione concede al AWS Clean Rooms servizio l'accesso principale per la crittografia dei dati durante la compilazione e la decrittografia dei dati durante l'analisi. La kms:EncryptionContext:aws:cleanrooms:intermediateTableArn condizione limita le tabelle intermedie che possono utilizzare la chiave. La aws:SourceArn condizione fornisce una protezione sostitutiva confusa limitando l'accesso a specifici ARN appartenenti alla vostra collaborazione.
La seconda dichiarazione consente al servizio di descrivere la chiave ai fini della convalida.
La terza dichiarazione consente a un ruolo IAM specifico nell'account del cliente di eseguire la convalida delle chiavi. AWS Clean Rooms Le azioni consentite sono DescribeKey GenerateDataKey, e Decrypt. L'accesso è soggetto all'uso kms:ViaService delle condizioni. kms:CallerAccount Questo ruolo è in genere il ruolo IAM con AWS Clean Rooms cui interagisci.
Contesto di crittografia
AWS Clean Rooms utilizza il seguente contesto di crittografia per crittografare i dati della tabella intermedia:
{ "aws:cleanrooms:intermediateTableArn": "arn:aws:cleanrooms:us-east-1:123456789012:membership/membership-id/intermediatetable/intermediate-table-id" }
Ogni AWS KMS operazione viene registrata CloudTrail con l'ARN della tabella intermedia, che fornisce una chiara traccia di verifica della risorsa che ha attivato ciascuna chiamata di crittografia o decrittografia. Puoi utilizzare la chiave kms:EncryptionContext condizionale nella tua policy chiave per limitare le tabelle intermedie che possono utilizzare la chiave.
