Amazon Comprehend 中的 KMS 加密

Amazon Comprehend 与 AWS Key Management Service (AWS KMS) 配合使用，为您的数据提供增强的加密。Amazon S3 已经允许您在创建文本分析、主题建模或自定义 Amazon Comprehend 作业时对输入文档进行加密。AWS KMS 与集成后，您可以加密存储卷中用于“Start*”和“Create*”作业的数据，并使用您自己的 KMS 密钥对“Start*”作业的输出结果进行加密。

对于 AWS Management Console，Amazon Comprehend 使用自己的 KMS 密钥对自定义模型进行加密。对于 AWS CLI，Amazon Comprehend 可以使用自己的 KMS 密钥或提供的客户自主管理型密钥 (CMK) 对自定义模型进行加密。

使用 AWS Management Console 的 KMS 加密

使用控制台时，有两个加密选项可用：

如果您之前已在 S3 输入文档上使用 SSE-KMS 设置加密，则这可以为您提供额外的安全性。但是，如果您这样做，则所使用的 IAM 角色必须拥有加密输入文档的 KMS 密钥的 kms:Decrypt 权限。有关更多信息，请参阅 使用KMS加密所需的权限。

使用 API 操作进行 KMS 加密

所有 Amazon Comprehend Start* 和 Create* API 操作都支持 KMS 加密的输入文档。如果原始作业提供 KmsKeyId 作为输入，则 Describe* 和 List* API 操作会返回 OutputDataConfig 中的 KmsKeyId。如果未将其作为输入提供，则不会将其返回。

这可以在以下 AWS CLI 示例中使用StartEntitiesDetectionJob操作看出：

aws comprehend start-entities-detection-job \
     --region region \
     --data-access-role-arn "data access role arn" \    
     --entity-recognizer-arn "entity recognizer arn" \
     --input-data-config "S3Uri=s3://Bucket Name/Bucket Path" \    
     --job-name job name \
     --language-code en \
     --output-data-config "KmsKeyId=Output S3 KMS key ID" "S3Uri=s3://Bucket Name/Bucket Path/" \
     --volumekmskeyid "Volume KMS key ID" 

使用 API 操作进行客户自主管理型密钥 (CMK) 加密

Amazon Comprehend 自定义模型 API 操作 CreateEntityRecognizer、CreateDocumentClassifier 和 CreateEndpoint，支持通过 AWS CLI 使用客户自主管理型密钥进行加密。

您可以使用 IAM policy 来允许委托人使用或管理客户自主管理型密钥。这些密钥在策略语句的 Resource 元素中指定。最佳做法是，将客户自主管理型密钥限制为仅限委托人必须在您的策略语句中使用的密钥。

以下 AWS CLI 示例使用CreateEntityRecognizer操作创建具有模型加密功能的自定义实体识别器：

aws comprehend create-entity-recognizer \
     --recognizer-name name \
     --data-access-role-arn data access role arn \    
     --language-code en \
     --model-kms-key-id Model KMS Key ID \ 
     --input-data-config file:///path/input-data-config.json