As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Segurança
<a name="aiml-security"></a>

**dica**  
 [Inscreva-se](https://events.eksworkshop.com/workshops/genai/) nos próximos AI/ML workshops do Amazon EKS.

## Segurança e conformidade
<a name="_security_and_compliance"></a>

### Considere o S3 com KMS para armazenamento compatível com criptografia
<a name="_consider_s3_with_kms_for_encryption_compliant_storage"></a>

A menos que você especifique o contrário, todos os buckets do S3 são usados [SSE-S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)por padrão para criptografar objetos em repouso. No entanto, você pode optar por configurar buckets para usar a criptografia do lado do servidor com as chaves () do AWS Key Management Service (AWS KMS). SSE-KMS Os controles de segurança do AWS KMS podem ajudá-lo a satisfazer os requisitos de conformidade relacionados à criptografia. Você pode usar essas chaves do KMS para proteger seus dados em buckets do Amazon S3. Quando você usa SSE-KMS criptografia com um bucket do S3, as chaves do AWS KMS devem estar na mesma região do bucket.

Configure seus [buckets de uso geral](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingBucket.html) para usar [chaves de bucket do S3 para](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html#sse-kms-bucket-keys) reduzir seus custos de solicitação do AWS KMS em até 99% SSE-KMS, diminuindo o tráfego de solicitações do Amazon S3 para o AWS KMS. [As chaves de bucket do S3 estão sempre habilitadas](https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-express-UsingKMSEncryption.html#s3-express-sse-kms-bucket-keys) `GET` e `PUT` operam em um bucket de diretório e não podem ser desativadas.

Observe que o [Amazon S3 Express One Zone](https://aws.amazon.com/s3/storage-classes/express-one-zone/) usa um tipo específico de bucket chamado bucket de diretório *S3*. Os buckets de diretório são exclusivamente para a classe de armazenamento S3 Express One Zone e permitem acesso de alto desempenho e baixa latência. Para [configurar a criptografia de bucket padrão em um bucket de diretório do S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/s3-express-specifying-kms-encryption.html), use a AWS CLI e especifique o ID da chave KMS ou o ARN, não o alias, como no exemplo a seguir:

**Example**  

```
aws s3api put-bucket-encryption --bucket my-directory-bucket --server-side-encryption-configuration \
   '{"Rules": [{"ApplyServerSideEncryptionByDefault": {"SSEAlgorithm": "aws:kms", "KMSMasterKeyID": "1234abcd-12ab-34cd-56ef-1234567890ab"}}]}'
```
Certifique-se de que a função IAM do seu pod EKS tenha permissões KMS (por exemplo,`kms:Decrypt`) para acessar objetos criptografados. Teste isso em um ambiente de teste fazendo o upload de um modelo de amostra para o bucket, montando-o em um pod (por exemplo, por meio do driver CSI Mountpoint S3) e verificando se o pod pode ler os dados criptografados sem erros. Registros de auditoria via AWS CloudTrail para confirmar a conformidade com os requisitos de criptografia. Consulte a [documentação do KMS](https://docs.aws.amazon.com/kms/latest/developerguide/) para obter detalhes de configuração e gerenciamento de chaves.