기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
의 데이터 보호 AWS Clean Rooms
AWS 공동 책임 모델
데이터 보호를 위해 자격 증명을 보호하고 AWS 계정 AWS IAM Identity Center 또는 AWS Identity and Access Management (IAM)를 사용하여 개별 사용자를 설정하는 것이 좋습니다. 이렇게 하면 개별 사용자에게 자신의 직무를 충실히 이행하는 데 필요한 권한만 부여됩니다. 또한 다음과 같은 방법으로 데이터를 보호하는 것이 좋습니다.
-
각 계정에 다중 인증(MFA)을 사용합니다.
-
SSL/TLS를 사용하여 AWS 리소스와 통신합니다. TLS 1.2는 필수이며 TLS 1.3을 권장합니다.
-
를 사용하여 API 및 사용자 활동 로깅을 설정합니다 AWS CloudTrail. CloudTrail 추적을 사용하여 AWS 활동을 캡처하는 방법에 대한 자세한 내용은 AWS CloudTrail 사용 설명서의 CloudTrail 추적 작업을 참조하세요.
-
내부의 모든 기본 보안 제어와 함께 AWS 암호화 솔루션을 사용합니다 AWS 서비스.
-
Amazon S3에 저장된 민감한 데이터를 검색하고 보호하는 데 도움이 되는 Amazon Macie와 같은 고급 관리형 보안 서비스를 사용합니다.
-
명령줄 인터페이스 또는 API를 AWS 통해에 액세스할 때 FIPS 140-3 검증 암호화 모듈이 필요한 경우 FIPS 엔드포인트를 사용합니다. 사용 가능한 FIPS 엔드포인트에 대한 자세한 내용은 연방 정보 처리 표준(FIPS) 140-3
을 참조하세요.
고객의 이메일 주소와 같은 기밀 정보나 중요한 정보는 태그나 이름 필드와 같은 자유 형식 텍스트 필드에 입력하지 않는 것이 좋습니다. 여기에는 AWS Clean Rooms 또는 기타 AWS 서비스 에서 콘솔, API AWS CLI또는 AWS SDKs를 사용하여 작업하는 경우가 포함됩니다. 이름에 사용되는 태그 또는 자유 형식 텍스트 필드에 입력하는 모든 데이터는 청구 또는 진단 로그에 사용될 수 있습니다. 외부 서버에 URL을 제공할 때 해당 서버에 대한 요청을 검증하기 위해 보안 인증 정보를 URL에 포함시켜서는 안 됩니다.
저장된 데이터 암호화
AWS Clean Rooms 는 추가 구성 없이 항상 모든 서비스 메타데이터를 암호화합니다. 이 암호화는를 사용할 때 자동으로 수행됩니다 AWS Clean Rooms.
Clean Rooms ML은 저장된 서비스 내에 저장된 모든 데이터를 암호화합니다 AWS KMS. 자체 KMS 키를 제공하기로 선택하면 유사 모델 및 유사 세그먼트 생성 작업의 콘텐츠가 KMS 키를 사용하여 유휴 상태에서 암호화됩니다.
AWS Clean Rooms 사용자 지정 ML 모델을 사용하는 경우 서비스는 저장 시 저장된 모든 데이터를 암호화합니다 AWS KMS.는 사용자가 저장 시 데이터를 암호화하기 위해 생성, 소유 및 관리하는 대칭 고객 관리형 키의 사용을 AWS Clean Rooms 지원합니다. 고객 관리형 키를 지정하지 않으면 AWS 소유 키 가 기본적으로 사용됩니다.
AWS Clean Rooms 는 권한 부여 및 키 정책을 사용하여 고객 관리형 키에 액세스합니다. 언제든지 권한 부여에 대한 액세스 권한을 취소하거나 고객 관리형 키에 대한 서비스 액세스를 제거할 수 있습니다. 이렇게 하면 고객 관리형 키로 암호화된 데이터에 액세스할 수 AWS Clean Rooms 없으며, 이는 해당 데이터에 의존하는 작업에 영향을 미칩니다. 예를 들어가 액세스할 AWS Clean Rooms 수 없는 암호화된 ML 입력 채널에서 훈련된 모델을 생성하려고 하면 작업이 ValidationException 오류를 반환합니다.
참고
Amazon S3의 암호화 옵션을 사용하여 저장 데이터를 보호할 수 있습니다.
자세한 내용은 Amazon S3 사용 설명서의 Amazon S3 암호화 지정을 참조하세요.
내에서 ID 매핑 테이블을 사용하는 경우 AWS Clean Rooms서비스는 저장 시 저장된 모든 데이터를 암호화합니다 AWS KMS. 자체 KMS 키를 제공하기로 선택하면 ID 매핑 테이블의 콘텐츠가 KMS 키를 통해 저장 시 암호화됩니다 AWS Entity Resolution. ID 매핑 워크플로로 암호화 작업을 하는 데 필요한 권한에 대한 자세한 내용은 AWS Entity Resolution 사용 설명서의 AWS Entity Resolution용 워크플로 작업 역할 생성을 참조하세요.
전송 중 암호화
AWS Clean Rooms 는 전송 중 암호화에 TLS(전송 계층 보안)를 사용합니다. 와의 통신 AWS Clean Rooms 은 항상 HTTPS를 통해 수행되므로 데이터가 Amazon S3, Amazon Athena 또는 Snowflake에 저장되었는지 여부에 관계없이 전송 중에 항상 암호화됩니다. Clean Rooms ML을 사용할 경우 전송 중인 모든 데이터가 여기에 포함됩니다.
기본 데이터 암호화
기본 데이터를 암호화하는 방법에 대한 자세한 내용은 Clean Rooms에 대한 암호화 컴퓨팅 섹션을 참조하세요.
키 정책
키 정책에서는 고객 관리형 키에 대한 액세스를 제어합니다. 모든 고객 관리형 키에는 키를 사용할 수 있는 사람과 키를 사용하는 방법을 결정하는 문장이 포함된 정확히 하나의 키 정책이 있어야 합니다. 고객 관리형 키를 만들 때 키 정책을 지정할 수 있습니다. 자세한 내용은 AWS Key Management Service 개발자 안내서의 고객 관리형 키에 대한 액세스 관리를 참조하세요.
사용자 AWS Clean Rooms 지정 ML 모델에서 고객 관리형 키를 사용하려면 키 정책에서 다음 API 작업을 허용해야 합니다.
-
kms:DescribeKey-가 키를 AWS Clean Rooms 검증할 수 있도록 고객 관리형 키 세부 정보를 제공합니다. -
kms:Decrypt- 암호화된 데이터를 해독하고 관련 작업에 사용할 AWS Clean Rooms 수 있는에 대한 액세스를 제공합니다. -
kms:CreateGrant- Clean Rooms ML은 Amazon ECR에 대한 권한 부여를 생성하여 Amazon ECR에서 저장된 훈련 및 추론 이미지를 암호화합니다. 자세한 내용은 Amazon ECR의 저장 데이터 암호화를 참조하세요. 또한 Clean Rooms ML은 Amazon SageMaker AI를 사용하여 훈련 및 추론 작업을 실행하고 SageMaker AI에 대한 권한 부여를 생성하여 인스턴스에 연결된 Amazon EBS 볼륨과 Amazon S3의 출력 데이터를 암호화합니다. 자세한 내용은 Amazon SageMaker AI의 암호화를 사용하여 저장 데이터 보호를 참조하세요. -
kms:GenerateDataKey- Clean Rooms ML은를 사용한 서버 측 암호화를 사용하여 Amazon S3에 저장된 저장 데이터를 암호화합니다 AWS KMS keys. 자세한 내용은 Amazon S3에서 AWS KMS keys (SSE-KMS)를 사용한 서버 측 암호화 사용을 참조하세요.
다음은 다음 리소스 AWS Clean Rooms 에 대해 추가할 수 있는 정책 설명 예제입니다.
합성 데이터가 포함된 ML 입력 채널
{ "Version":"2012-10-17", "Statement": [ { "Sid": "Allow access to principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" }, "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] }, "BoolIfExists": { "kms:GrantIsForAWSResource": true } } }, { "Sid": "Allow describe key for principals authorized to use AWS Clean Rooms ML", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::444455556666:role/ExampleRole" }, "Action": [ "kms:DescribeKey" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms-ml.us-east-1.amazonaws.com" } } }, { "Sid": "Allow grant operations for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:CreateGrant", "kms:Decrypt" ], "Resource": "*", "Condition": { "ForAllValues:StringEquals": { "kms:GrantOperations": [ "Decrypt", "Encrypt", "GenerateDataKeyWithoutPlaintext", "ReEncryptFrom", "ReEncryptTo", "CreateGrant", "DescribeKey", "RetireGrant", "GenerateDataKey" ] } } }, { "Sid": "Allow describe key for AWS Clean Rooms ML service principal", "Effect": "Allow", "Principal": { "Service": "cleanrooms-ml.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" } ] }
합성 데이터가 없는 ML 입력 채널
훈련된 모델 작업 또는 훈련된 모델 추론 작업
Clean Rooms ML은 고객 관리형 키 정책에서 서비스 암호화 컨텍스트 또는 소스 컨텍스트 지정을 지원하지 않습니다. 서비스에서 내부적으로 사용하는 암호화 컨텍스트는 CloudTrail의 고객에게 표시됩니다.
중간 테이블에 대한 암호화
내부에서 중간 테이블 AWS Clean Rooms을 사용하는 경우 서비스는 AWS Key Management Service ()를 사용하여 저장 시 저장된 모든 데이터를 암호화합니다AWS KMS. 기본적으로 서비스는 서비스 관리형 키로 중간 테이블 데이터를 암호화합니다. 자체 KMS 키를 제공하기로 선택하면 서비스가 해당 키로 저장 중 중간 테이블을 암호화합니다. 이는 AWS KMS keys (SSE-KMS)를 사용한 서버 측 암호화를 사용합니다.
AWS Clean Rooms 는 키 정책 및 서비스 보안 주체를 사용하여 중간 테이블의 고객 관리형 키에 액세스합니다. 서비스는 테이블이 채워질 때 쓰기 시 중간 테이블 데이터를 암호화하고, 이후 분석에서 중간 테이블을 사용할 때 데이터를 투명하게 해독합니다.
KMS 키 ARN은 중간 테이블 생성 시 제공되며 테이블의 모든 버전에 적용됩니다. 중간 테이블 세부 정보 페이지의 편집 작업을 사용하여 KMS 키를 업데이트할 수 있습니다. 새 키는 다음 채우기에 적용됩니다. 각 버전은 모집단 시점에 지정된 키로 암호화됩니다.
참고
중간 테이블을 삭제해도 AWS KMS 작업이 필요하지 않습니다. Amazon S3의 암호화된 데이터는 관리형 스토리지 서비스에서 삭제됩니다.
중간 테이블에 필요한 AWS KMS 권한
중간 테이블에서 고객 관리형 키를 사용하려면 키 정책에서 다음 API 작업을 허용해야 합니다.
-
kms:DescribeKey- 중간 테이블을 생성하거나 업데이트할 때 키 상태를 검증합니다. -
kms:GenerateDataKey- 테이블이 채워질 때 중간 테이블 데이터를 암호화합니다. Amazon S3 AWS KMS 는 서비스를 대신하여를 호출하여 SSE-KMS 암호화를 위한 데이터 키를 생성합니다. -
kms:Decrypt- 후속 분석에서 테이블을 참조할 때 중간 테이블 데이터를 해독합니다. Amazon S3는 서비스를 AWS KMS 대신하여를 호출하여 데이터를 투명하게 해독합니다.
중간 테이블에 대한 키 정책 예제
다음은 중간 테이블에서 고객 관리형 키를 사용하기 위한 예제 키 정책입니다.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow Clean Rooms to encrypt and decrypt intermediate table data", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": [ "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringLike": { "kms:EncryptionContext:aws:cleanrooms:intermediateTableArn": "arn:aws:cleanrooms:us-east-1:666666666666:membership/membership-id/intermediatetable/intermediate-table-id" }, "ForAnyValue:ArnEquals": { "aws:SourceArn": [ "arn:aws:cleanrooms:us-east-1:666666666666:membership/member-1-membership-id", "arn:aws:cleanrooms:us-east-1::membership/member-2-membership-id" ] } } }, { "Sid": "Allow Clean Rooms to describe key", "Effect": "Allow", "Principal": { "Service": "cleanrooms.amazonaws.com" }, "Action": [ "kms:DescribeKey" ], "Resource": "*" }, { "Sid": "Allow caller to validate key via Clean Rooms", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::666666666666:role/ExampleRole" }, "Action": [ "kms:DescribeKey", "kms:GenerateDataKey", "kms:Decrypt" ], "Resource": "*", "Condition": { "StringEquals": { "kms:ViaService": "cleanrooms.us-east-1.amazonaws.com", "kms:CallerAccount": "666666666666" } } } ] }
첫 번째 문은 AWS Clean Rooms 서비스 보안 주체에게 모집단 중에 데이터를 암호화하고 분석 중에 데이터를 해독할 수 있는 액세스 권한을 부여합니다. kms:EncryptionContext:aws:cleanrooms:intermediateTableArn 조건은 키를 사용할 수 있는 중간 테이블을 제한합니다. aws:SourceArn 조건은 공동 작업에서 특정 멤버십 ARNs에 대한 액세스를 제한하여 혼동된 대리자 보호를 제공합니다.
두 번째 문은 서비스가 검증 목적으로 키를 설명할 수 있도록 허용합니다.
세 번째 문은 고객 계정의 특정 IAM 역할이 키 검증을 수행할 수 있도록 허용합니다 AWS Clean Rooms. 허용되는 작업은 DescribeKey, GenerateDataKey 및 Decrypt입니다. kms:ViaService 및 kms:CallerAccount 조건을 사용하여 액세스 범위를 지정합니다. 이 역할은 일반적으로와 상호 작용하는 데 사용하는 IAM 역할입니다 AWS Clean Rooms.
암호화 컨텍스트
AWS Clean Rooms 는 중간 테이블 데이터를 암호화할 때 다음 암호화 컨텍스트를 사용합니다.
{ "aws:cleanrooms:intermediateTableArn": "arn:aws:cleanrooms:us-east-1:123456789012:membership/membership-id/intermediatetable/intermediate-table-id" }
모든 AWS KMS 작업은 중간 테이블 ARN과 함께 CloudTrail에 로깅되어 각 암호화 또는 복호화 호출을 트리거한 리소스에 대한 명확한 감사 추적을 제공합니다. 키 정책의 kms:EncryptionContext 조건 키를 사용하여 키를 사용할 수 있는 중간 테이블을 제한할 수 있습니다.
