本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # Amazon Location Service 中的資料保護 AWS [共同責任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)適用於 Amazon Location Service 中的資料保護。如此模型所述， AWS 負責保護執行所有 的全域基礎設施 AWS 雲端。您負責維護在此基礎設施上託管內容的控制權。您也同時負責所使用 AWS 服務 的安全組態和管理任務。如需資料隱私權的詳細資訊，請參閱[資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。如需有關歐洲資料保護的相關資訊，請參閱 *AWS 安全性部落格*上的 [AWS 共同的責任模型和 GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 部落格文章。 基於資料保護目的，我們建議您保護 AWS 帳戶 登入資料，並使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 設定個別使用者。如此一來，每個使用者都只會獲得授與完成其任務所必須的許可。我們也建議您採用下列方式保護資料： + 每個帳戶均要使用多重要素驗證 (MFA)。 + 使用 SSL/TLS 與 AWS 資源通訊。我們需要 TLS 1.2 並建議使用 TLS 1.3。 + 使用 設定 API 和使用者活動記錄 AWS CloudTrail。如需有關使用 CloudTrail 追蹤擷取 AWS 活動的資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[使用 CloudTrail 追蹤](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解決方案，以及其中的所有預設安全控制 AWS 服務。 + 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Amazon S3 的敏感資料。 + 如果您在 AWS 透過命令列界面或 API 存取 時需要 FIPS 140-3 驗證的密碼編譯模組，請使用 FIPS 端點。如需有關 FIPS 和 FIPS 端點的更多相關資訊，請參閱[聯邦資訊處理標準 (FIPS) 140-3](https://aws.amazon.com/compliance/fips/)。 我們強烈建議您絕對不要將客戶的電子郵件地址等機密或敏感資訊，放在標籤或自由格式的文字欄位中，例如**名稱**欄位。這包括當您使用 Amazon Location 或使用主控台、API AWS CLI、 AWS SDKs的其他 AWS 服務 時。您在標籤或自由格式文字欄位中輸入的任何資料都可能用於計費或診斷日誌。如果您提供外部伺服器的 URL，我們強烈建議請勿在驗證您對該伺服器請求的 URL 中包含憑證資訊。 # 資料隱私權 使用 Amazon Location Service，您可以保留組織資料的控制權。Amazon Location 透過移除客戶中繼資料和帳戶資訊，將所有傳送至資料提供者的查詢匿名化。 Amazon Location 不會使用資料提供者進行追蹤和地理驗證。這表示您的敏感資料會保留在您的 AWS 帳戶中。這有助於保護敏感位置資訊，例如來自第三方的設施、資產和人員位置、保護使用者隱私權，並降低應用程式的安全風險。 如需詳細資訊，請參閱[AWS 資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。 # Amazon Location 中的資料保留 下列特性與 Amazon Location 如何收集和存放服務的資料相關： + **Amazon Location Service 追蹤器** – 當您使用追蹤器 APIs追蹤實體的位置時，可以儲存其座標。裝置位置會儲存 30 天，然後由服務刪除。 + **Amazon Location Service Geofences** – 當您使用 Geofences APIs 定義感興趣的區域時，服務會存放您提供的幾何。必須明確刪除它們。 **注意** 刪除 AWS 您的帳戶會刪除其中的所有資源。如需詳細資訊，請參閱[AWS 資料隱私權常見問答集](https://aws.amazon.com/compliance/data-privacy-faq/)。 # Amazon Location Service 的靜態資料加密 Amazon Location Service 預設提供加密，以使用 AWS 擁有的加密金鑰保護靜態敏感客戶資料。 + **AWS 擁有的金鑰** — Amazon Location 預設使用這些金鑰自動加密個人身分識別資料。您無法檢視、管理或使用 AWS 擁有的金鑰，或稽核其使用方式。不過，您不需要採取任何動作或變更任何程式，即可保護加密您資料的金鑰。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的 [AWS 擁有的金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-owned-cmk)。 依預設加密靜態資料，有助於降低保護敏感資料所涉及的營運開銷和複雜性。同時，其可讓您建置符合嚴格加密合規性和法規要求的安全應用程式。 雖然您無法停用此層加密或選取替代加密類型，但您可以在建立追蹤器和地理圍欄集合資源時選擇客戶受管金鑰，在現有 AWS 擁有的加密金鑰上新增第二層加密： + **客戶受管金鑰** — Amazon Location 支援使用您建立、擁有和管理的對稱客戶受管金鑰，以透過現有 AWS 擁有的加密新增第二層加密。您可以完全控制此層加密，因此能執行以下任務： + 建立和維護金鑰政策 + 建立和維護 IAM 政策和授予操作 + 啟用和停用金鑰政策 + 輪換金鑰密碼編譯資料 + 新增 標籤 + 建立金鑰別名 + 安排金鑰供刪除 如需詳細資訊，請參閱《 *AWS Key Management Service 開發人員指南*》中的[客戶受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk)。 下表摘要說明 Amazon Location 如何加密個人身分識別資料。 | 資料類型 | AWS 擁有的金鑰加密 | 客戶自管金鑰加密 (選用) | | --- | --- | --- | | Position包含[裝置位置詳細資訊的](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointTracking_DevicePosition.html)點幾何。 | 已啟用 | 已啟用 | | PositionProperties[與位置更新相關聯的](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointTracking_DevicePosition.html)一組鍵/值對。 | 已啟用 | 已啟用 | | GeofenceGeometry代表[地理圍欄](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointGeofencing_GeofenceGeometry.html)區域的多邊形地理圍欄幾何。 | 已啟用 | 已啟用 | | DeviceId[將裝置位置更新上傳至追蹤器資源時指定的裝置](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointTracking_DevicePositionUpdate.html)識別符。 | 已啟用 | 不支援 | | GeofenceId在指定地理[圍欄集合中存放地理](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointGeofencing_PutGeofence.html)圍欄幾何或一[批](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointGeofencing_BatchPutGeofence.html)地理圍欄時指定的識別符。 | 已啟用 | 不支援 | **注意** Amazon Location 使用 AWS 擁有的金鑰自動啟用靜態加密，免費保護個人身分識別資料。 不過，使用客戶受管金鑰需支付 AWS KMS 費用。如需定價的詳細資訊，請參閱 [AWS Key Management Service 定價](https://aws.amazon.com/kms/pricing/)。 如需詳細資訊 AWS KMS，請參閱[什麼是 AWS Key Management Service？](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html) ## Amazon Location Service 如何在 中使用授予 AWS KMS Amazon Location 需要[授予](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)才能使用客戶受管金鑰。 當您建立使用客戶受管金鑰加密的[追蹤器資源](https://docs.aws.amazon.com/location/latest/developerguide/trackers.html)或[地理圍欄集合](https://docs.aws.amazon.com/location/latest/developerguide/geofences.html)時，Amazon Location 會透過傳送 [CreateGrant](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateGrant.html) 請求至 來代表您建立授予 AWS KMS。中的授予 AWS KMS 用於授予 Amazon Location 存取客戶帳戶中 KMS 金鑰的權限。 Amazon Location 需要授予 ，才能將客戶受管金鑰用於下列內部操作： + 將 [DescribeKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html) 請求傳送至 AWS KMS ，以驗證建立追蹤器或地理圍欄集合時輸入的對稱客戶受管 KMS 金鑰 ID 是否有效。 + 將 [GenerateDataKeyWithoutPlaintext](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateDataKeyWithoutPlaintext.html) 請求傳送至 AWS KMS ，以產生由客戶受管金鑰加密的資料金鑰。 + 將 [Decrypt](https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html) 請求傳送至 AWS KMS 以解密加密的資料金鑰，以便用來加密您的資料。 您可以隨時撤銷授予的存取權，或移除服務對客戶受管金鑰的存取權。如果您這麼做，Amazon Location 將無法存取客戶受管金鑰加密的任何資料，這會影響相依於該資料的操作。例如，如果您嘗試從 Amazon Location 無法存取的加密追蹤器[取得裝置位置](https://docs.aws.amazon.com/location/latest/APIReference/API_WaypointTracking_GetDevicePosition.html)，則操作會傳回`AccessDeniedException`錯誤。 ## 建立客戶自管金鑰 您可以使用 AWS 管理主控台或 AWS KMS APIs 來建立對稱客戶受管金鑰。 **建立對稱客戶受管金鑰** 請依照《AWS Key Management Service 開發人員指南》**中[建立對稱客戶受管金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html#create-symmetric-cmk)的步驟進行。 **金鑰政策** 金鑰政策會控制客戶受管金鑰的存取權限。每個客戶受管金鑰都必須只有一個金鑰政策，其中包含決定誰可以使用金鑰及其使用方式的陳述式。在建立客戶受管金鑰時，可以指定金鑰政策。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[管理客戶受管金鑰的存取](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)。 若要將客戶受管金鑰與 Amazon Location 資源搭配使用，必須在金鑰政策中允許下列 API 操作： + `[kms:CreateGrant](https://docs.aws.amazon.com/kms/latest/APIReference/API_CreateGrant.html)`：新增客戶受管金鑰的授權。授予控制對指定 KMS 金鑰的存取權，以允許存取 Amazon Location 所需的[授予操作](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html#terms-grant-operations)。如需詳細資訊，請參閱 *AWS Key Management Service Developer Guide* 中的 [Using Grants](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。 這可讓 Amazon Location 執行下列動作： + 呼叫 `GenerateDataKeyWithoutPlainText` 以產生加密的資料金鑰並加以儲存，因為資料金鑰不會立即用來加密。 + 呼叫 `Decrypt` 以使用儲存的加密資料金鑰來存取加密的資料。 + 設定淘汰主體，以允許服務執行 `RetireGrant`。 + `[kms:DescribeKey](https://docs.aws.amazon.com/kms/latest/APIReference/API_DescribeKey.html)` – 提供客戶自管金鑰詳細資訊，以讓 Amazon Location 驗證金鑰。 以下是您可以為 Amazon Location 新增的政策聲明範例： ``` "Statement" : [ { "Sid" : "Allow access to principals authorized to use Amazon Location", "Effect" : "Allow", "Principal" : { "AWS" : "*" }, "Action" : [ "kms:DescribeKey", "kms:CreateGrant" ], "Resource" : "*", "Condition" : { "StringEquals" : { "kms:ViaService" : "geo.region.amazonaws.com", "kms:CallerAccount" : "111122223333" } }, { "Sid": "Allow access for key administrators", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:root" }, "Action" : [ "kms:*" ], "Resource": "arn:aws:kms:region:111122223333:key/key_ID" }, { "Sid" : "Allow read-only access to key metadata to the account", "Effect" : "Allow", "Principal" : { "AWS" : "arn:aws:iam::111122223333:root" }, "Action" : [ "kms:Describe*", "kms:Get*", "kms:List*", "kms:RevokeGrant" ], "Resource" : "*" } ] ``` 如需有關[在政策中指定許可](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**。 如需有關[故障診斷金鑰存取](https://docs.aws.amazon.com/kms/latest/developerguide/policy-evaluation.html#example-no-iam)的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**。 ## 指定 Amazon Location 的客戶受管金鑰 您可以將客戶自管金鑰指定為下列資源的第二層加密： + [建立追蹤器](start-create-tracker.md) + [開始使用 Amazon Location Service Geofences](geofence-gs.md) 建立資源時，您可以輸入 **KMS ID** 來指定資料金鑰，Amazon Location 會使用此 ID 來加密資源存放的可識別個人資料。 + **KMS ID** — AWS KMS 客戶受管[金鑰的金鑰識別符](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#key-id)。輸入金鑰 ID、金鑰 ARN、別名名稱或別名 ARN。 ## Amazon Location Service 加密內容 [加密內容](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#encrypt_context)是一組選用的金鑰值對，包含資料的其他相關內容資訊。 AWS KMS 使用加密內容做為[額外的已驗證資料](https://docs.aws.amazon.com/kms/latest/cryptographic-details/crypto-primitives.html)，以支援已[驗證的加密](https://docs.aws.amazon.com/kms/latest/cryptographic-details/crypto-primitives.html)。當您在加密資料的請求中包含加密內容時， 會將加密內容 AWS KMS 繫結至加密的資料。若要解密資料，您必須在請求中包含相同的加密內容。 **Amazon Location Service 加密內容** Amazon Location 在所有 AWS KMS 密碼編譯操作中使用相同的加密內容，其中金鑰為 ，`aws:geo:arn`而值為資源 [Amazon Resource Name](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) (ARN)。 **Example** ``` "encryptionContext": { "aws:geo:arn": "arn:aws:geo:us-west-2:111122223333:geofence-collection/SAMPLE-GeofenceCollection" } ``` **使用加密內容進行監控** 當您使用對稱客戶自管金鑰加密追蹤器或地理柵欄集合時，您也可以在稽核記錄和日誌中使用加密內容，以識別客戶自管金鑰的使用方式。加密內容也會出現在 [AWS CloudTrail 或 Amazon CloudWatch Logs 產生的日誌](#example-custom-encryption)中。 **使用加密內容控制對客戶受管金鑰的存取** 您也可以在金鑰政策和 IAM 政策中，使用加密內容作為 `conditions` 來控制對於對稱客戶受管金鑰的存取。您也可以在授予中使用加密內容條件。 Amazon Location 在授予中使用加密內容限制，以控制對您帳戶或區域中客戶受管金鑰的存取。授予條件會要求授予允許的操作使用指定的加密內容。 **Example** 以下是授予特定加密內容之客戶受管金鑰存取權的金鑰政策陳述式範例。此政策陳述式中的條件會要求具有指定加密內容的加密內容條件。 ``` { "Sid": "Enable DescribeKey", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole" }, "Action": "kms:DescribeKey", "Resource": "*" }, { "Sid": "Enable CreateGrant", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole" }, "Action": "kms:CreateGrant", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:aws:geo:arn": "arn:aws:geo:us-west-2:111122223333:tracker/SAMPLE-Tracker" } } } ``` ## 監控 Amazon Location Service 的加密金鑰 當您搭配 Amazon Location Service 資源使用 AWS KMS 客戶受管金鑰時，您可以使用 [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)或 [Amazon CloudWatch Logs](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/WhatIsCloudWatchLogs.html) 來追蹤 Amazon Location 傳送的請求 AWS KMS。 下列範例是 `CreateGrant`、`Decrypt`、 `GenerateDataKeyWithoutPlainText`和 AWS CloudTrail 的事件`DescribeKey`，用於監控 Amazon Location 呼叫的 KMS 操作，以存取客戶受管金鑰加密的資料： ------ #### [ CreateGrant ] 當您使用 AWS KMS 客戶受管金鑰來加密追蹤器或地理圍欄收集資源時，Amazon Location 會代表您傳送`CreateGrant`請求，以存取您 AWS 帳戶中的 KMS 金鑰。Amazon Location 建立的授予專屬於 AWS KMS 與客戶受管金鑰相關聯的資源。此外，當您刪除資源時，Amazon Location 會使用 `RetireGrant`操作來移除授予。 下面的範例事件會記錄 `CreateGrant` 操作： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE3", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "mfaAuthenticated": "false", "creationDate": "2021-04-22T17:02:00Z" } }, "invokedBy": "geo.amazonaws.com" }, "eventTime": "2021-04-22T17:07:02Z", "eventSource": "kms.amazonaws.com", "eventName": "CreateGrant", "awsRegion": "us-west-2", "sourceIPAddress": "172.12.34.56", "userAgent": "ExampleDesktop/1.0 (V1; OS)", "requestParameters": { "retiringPrincipal": "geo.region.amazonaws.com", "operations": [ "GenerateDataKeyWithoutPlaintext", "Decrypt", "DescribeKey" ], "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE", "granteePrincipal": "geo.region.amazonaws.com" }, "responseElements": { "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE" }, "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "readOnly": false, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE" } ], "eventType": "AwsApiCall", "managementEvent": true, "eventCategory": "Management", "recipientAccountId": "111122223333" } ``` ------ #### [ GenerateDataKeyWithoutPlainText ] 當您為追蹤器或地理圍欄集合資源啟用 AWS KMS 客戶受管金鑰時，Amazon Location 會建立唯一的資料表金鑰。它會將`GenerateDataKeyWithoutPlainText`請求傳送至 AWS KMS ，以指定資源 AWS KMS 的客戶受管金鑰。 下面的範例事件會記錄 `GenerateDataKeyWithoutPlainText` 操作： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AWSService", "invokedBy": "geo.amazonaws.com" }, "eventTime": "2021-04-22T17:07:02Z", "eventSource": "kms.amazonaws.com", "eventName": "GenerateDataKeyWithoutPlaintext", "awsRegion": "us-west-2", "sourceIPAddress": "172.12.34.56", "userAgent": "ExampleDesktop/1.0 (V1; OS)", "requestParameters": { "encryptionContext": { "aws:geo:arn": "arn:aws:geo:us-west-2:111122223333:geofence-collection/SAMPLE-GeofenceCollection" }, "keySpec": "AES_256", "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE" }, "responseElements": null, "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE" } ], "eventType": "AwsApiCall", "managementEvent": true, "eventCategory": "Management", "recipientAccountId": "111122223333", "sharedEventID": "57f5dbee-16da-413e-979f-2c4c6663475e" } ``` ------ #### [ Decrypt ] 當您存取加密追蹤器或地理圍欄集合時，Amazon Location 會呼叫 `Decrypt`操作，以使用儲存的加密資料金鑰來存取加密的資料。 下面的範例事件會記錄 `Decrypt` 操作： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AWSService", "invokedBy": "geo.amazonaws.com" }, "eventTime": "2021-04-22T17:10:51Z", "eventSource": "kms.amazonaws.com", "eventName": "Decrypt", "awsRegion": "us-west-2", "sourceIPAddress": "172.12.34.56", "userAgent": "ExampleDesktop/1.0 (V1; OS)", "requestParameters": { "encryptionContext": { "aws:geo:arn": "arn:aws:geo:us-west-2:111122223333:geofence-collection/SAMPLE-GeofenceCollection" }, "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE", "encryptionAlgorithm": "SYMMETRIC_DEFAULT" }, "responseElements": null, "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE" } ], "eventType": "AwsApiCall", "managementEvent": true, "eventCategory": "Management", "recipientAccountId": "111122223333", "sharedEventID": "dc129381-1d94-49bd-b522-f56a3482d088" } ``` ------ #### [ DescribeKey ] Amazon Location 使用 `DescribeKey`操作來驗證與追蹤器或地理圍欄集合相關聯的 AWS KMS 客戶受管金鑰是否存在於帳戶和區域中。 下面的範例事件會記錄 `DescribeKey` 操作： ``` { "eventVersion": "1.08", "userIdentity": { "type": "AssumedRole", "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01", "accountId": "111122223333", "accessKeyId": "AKIAIOSFODNN7EXAMPLE3", "sessionContext": { "sessionIssuer": { "type": "Role", "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01", "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01", "accountId": "111122223333", "userName": "Admin" }, "webIdFederationData": {}, "attributes": { "mfaAuthenticated": "false", "creationDate": "2021-04-22T17:02:00Z" } }, "invokedBy": "geo.amazonaws.com" }, "eventTime": "2021-04-22T17:07:02Z", "eventSource": "kms.amazonaws.com", "eventName": "DescribeKey", "awsRegion": "us-west-2", "sourceIPAddress": "172.12.34.56", "userAgent": "ExampleDesktop/1.0 (V1; OS)", "requestParameters": { "keyId": "00dd0db0-0000-0000-ac00-b0c000SAMPLE" }, "responseElements": null, "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE", "readOnly": true, "resources": [ { "accountId": "111122223333", "type": "AWS::KMS::Key", "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE" } ], "eventType": "AwsApiCall", "managementEvent": true, "eventCategory": "Management", "recipientAccountId": "111122223333" } ``` ------ ## 進一步了解 下列資源會提供有關靜態資料加密的詳細資訊。 + 如需 [AWS Key Management Service 基本概念](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html)的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**。 + 如需 [安全最佳實務 AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/kms-security.html)的詳細資訊，請參閱 *AWS Key Management Service 開發人員指南*。 # Amazon Location Service 的傳輸中資料加密 Amazon Location 透過使用 Transport Layer Security (TLS) 1.2 加密通訊協定自動加密所有網路間資料，保護傳輸中資料往返服務的過程。傳送到 Amazon Location Service APIs直接 HTTPS 請求是使用 [AWS Signature 第 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv-create-signed-request.html) 版演算法來簽署，以建立安全連線。