Verschlüsselung im Ruhezustand

Als PII eingestufte Kontaktdaten oder Daten, die Kundeninhalte darstellen, die von Amazon Connect gespeichert werden, werden im Ruhezustand (d. h. bevor sie gespeichert, gespeichert oder auf einer Festplatte gespeichert werden) mit AWS KMS Verschlüsselungsschlüsseln verschlüsselt, die Eigentum von AWS sind. Informationen zu AWS KMS Schlüsseln finden Sie unter Was ist AWS Key Management Service? im AWS Key Management Service Entwicklerhandbuch. Kontaktdaten im nicht temporären Speicher werden so verschlüsselt, dass aus den KMS-Schlüsseln generierte Datenverschlüsselungsschlüssel nicht von Amazon-Connect-Instances gemeinsam genutzt werden.

Die serverseitige Amazon-S3-Verschlüsselung wird zum Verschlüsseln von Gesprächsaufzeichnungen (Sprache und Chat) verwendet. Anruf- und Bildschirmaufzeichnungen sowie Transkripte werden in zwei Phasen gespeichert:

• Aufzeichnungen, die innerhalb von Amazon Connect während und nach dem Anruf, aber vor der Auslieferung zwischengeschaltet werden.

• Aufzeichnungen, die an Ihren Amazon-S3-Bucket geliefert werden.

Die Aufzeichnungen und Chat-Transkripte, die in Ihrem Amazon-S3-Bucket gespeichert sind, werden mit einem KMS-Schlüssel gesichert, der beim Erstellen der Instance konfiguriert wurde.

AppIntegrations Amazon-Datenverschlüsselung im Ruhezustand

Wenn Sie einen mit einem vom Kunden verwalteten, DataIntegration verschlüsselten Schlüssel erstellen, AppIntegrations erstellt Amazon in Ihrem Namen einen Zuschuss, indem es eine CreateGrant Anfrage an sendet AWS KMS. Zuschüsse AWS KMS werden verwendet, um Amazon AppIntegrations Zugriff auf einen KMS-Schlüssel in Ihrem Konto zu gewähren.

Sie können den Zugriff auf den Zuschuss jederzeit widerrufen oder den Zugriff, den Amazon auf den vom Kunden verwalteten Schlüssel AppIntegrations hat, entfernen. Wenn Sie dies tun, AppIntegrations kann Amazon auf keine der mit dem vom Kunden verwalteten Schlüssel verschlüsselten Daten zugreifen, was sich auf Vorgänge auswirkt, die von diesen Daten abhängig sind.

Externe Anwendungsdaten, die Amazon AppIntegrations verarbeitet, werden im Ruhezustand in einem S3-Bucket mit dem vom Kunden verwalteten Schlüssel verschlüsselt, den Sie bei der Konfiguration angegeben haben. Integrationskonfigurationsdaten werden im Ruhezustand mithilfe eines Schlüssels verschlüsselt, der zeitlich begrenzt und spezifisch für das Benutzerkonto ist.

Amazon AppIntegrations benötigt den Zuschuss, um den vom Kunden verwalteten Schlüssel für die folgenden internen Operationen zu verwenden:

• Senden Sie anGenerateDataKeyRequest, AWS KMS um Datenschlüssel zu generieren, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt sind.

• Senden Sie Decrypt Anfragen AWS KMS zur Entschlüsselung verschlüsselter Datenschlüssel an, damit diese zur Verschlüsselung Ihrer Daten verwendet werden können.

Verschlüsselung von Amazon Connect Cases im Ruhezustand

Alle vom Kunden bereitgestellten Daten in Kundenvorgangsfeldern, Fallkommentaren, Beschreibungen der Felder und Vorlagen, die von Amazon Connect Cases gespeichert werden, werden im Ruhezustand mit Verschlüsselungsschlüsseln verschlüsselt, die in AWS Key Management Service (AWS KMS) gespeichert sind.

Der Service Amazon Connect Cases besitzt, verwaltet, überwacht und rotiert die Verschlüsselungsschlüssel (d. h. AWS-eigene Schlüssel), um die hohen Sicherheitsstandards zu erfüllen. Die Nutzdaten der Fallereignisströme werden vorübergehend (normalerweise für einige Sekunden) in Amazon gespeichert, EventBridge bevor sie über den Standardbus im Kundenkonto verfügbar gemacht werden. EventBridge verschlüsselt auch die gesamte Nutzlast im Ruhezustand mit. AWS-eigene Schlüssel

Verschlüsselung von Amazon Connect Customer Profiles im Ruhezustand

Alle Benutzerdaten, die in Amazon Connect Customer Profiles gespeichert sind, werden im Ruhezustand verschlüsselt. Die Verschlüsselung von Amazon Connect Connect-Kundenprofilen im Ruhezustand bietet erhöhte Sicherheit, da alle Ihre Daten im Ruhezustand mithilfe von Verschlüsselungsschlüsseln verschlüsselt werden, die in AWS Key Management Service (AWS KMS) gespeichert sind. Diese Funktionalität trägt zur Verringerung des Betriebsaufwands und der Komplexität bei, die mit dem Schutz sensibler Daten einhergeht. Mit der Verschlüsselung ruhender Daten können Sie sicherheitsrelevante Anwendungen erstellen, die eine strenge Einhaltung der Verschlüsselungsvorschriften und der gesetzlichen Bestimmungen erfordern.

Richtlinien der Organisation, Vorschriften der Branche oder Behörde und Compliance-Anforderungen schreiben oft die Verschlüsselung ruhender Daten vor, um den Datenschutz Ihrer Anwendungen zu erhöhen. Kundenprofile sind integriert AWS KMS , um die Strategie zur Verschlüsselung im Ruhezustand zu ermöglichen. Weitere Informationen finden Sie unter AWS Key Management Service -Konzepte im AWS Key Management Service -Entwicklerhandbuch.

Wenn Sie eine neue Domain erstellen, müssen Sie einen KMS-Schlüssel angeben, mit dem der Dienst Ihre Daten bei der Übertragung und im Speicher verschlüsselt. Ein kundenverwalteter Schlüssel wird von Ihnen erstellt, besessen und verwaltet. Sie haben die volle Kontrolle über den vom Kunden verwalteten Schlüssel (es AWS KMS fallen Gebühren an).

Sie können einen Verschlüsselungsschlüssel angeben, wenn Sie eine neue Domain oder einen neuen Profilobjekttyp erstellen oder die Verschlüsselungsschlüssel einer vorhandenen Ressource wechseln, indem Sie die AWS -Befehlszeilenschnittstelle (AWS CLI) oder die Encryption-API von Amazon Connect Customer Profiles verwenden. Wenn Sie einen vom Kunden verwalteten Schlüssel auswählen, erstellt Amazon Connect Customer Profiles eine Genehmigung dafür, mit der Zugriff auf den vom Kunden verwalteten Schlüssel gewährt wird.

AWS KMS Für einen vom Kunden verwalteten Schlüssel fallen Gebühren an. Weitere Informationen zu Preisen finden Sie unter AWS KMS Preise.

Verschlüsselung von Amazon Q in Connect im Ruhezustand

Alle Benutzerdaten, die in Amazon Q in Connect gespeichert sind, werden im Ruhezustand mit Verschlüsselungsschlüsseln verschlüsselt, die in AWS Key Management Service gespeichert sind. Wenn Sie optional einen vom Kunden verwalteten Schlüssel angeben, verwendet Amazon Q in Connect diesen, um Wissensinhalte zu verschlüsseln, die außerhalb der Amazon–Q-i-Connect-Suchindizes gespeichert sind. Amazon Q in Connect verwendet spezielle Suchindizes pro Kunde und sie werden im Ruhezustand mithilfe von AWS-eigene Schlüssel Stored in verschlüsselt AWS Key Management Service. Darüber hinaus können Sie jeden Datenzugriff mithilfe der Amazon Q in Connect-APIs überprüfen. CloudTrail

AWS KMS Bei Verwendung eines von Ihnen bereitgestellten Schlüssels fallen Gebühren an. Weitere Informationen zu Preisen finden Sie unter AWS KMS Preise.

Verschlüsselung von Amazon Connect Voice ID im Ruhezustand

Amazon Connect Voice ID speichert Stimmabdrücke von Kunden, die nicht rückentwickelt werden können, um Sprachmuster des registrierten Kunden zu erhalten oder einen Kunden zu identifizieren. Die in Amazon Connect Voice ID gespeicherten Benutzerdaten werden im Ruhezustand verschlüsselt. Wenn Sie eine neue Voice-ID-Domain erstellen, müssen Sie einen KMS-Schlüssel angeben, mit dem der Dienst Ihre Daten bei der Übertragung und im Speicher verschlüsselt. Ein kundenverwalteter Schlüssel wird von Ihnen erstellt, besessen und verwaltet. Sie haben volle Kontrolle über den Schlüssel.

Sie können den KMS-Schlüssel in der Voice ID-Domäne aktualisieren, indem Sie den update-domain Befehl in der AWS Befehlszeilenschnittstelle (AWS CLI) oder die UpdateDomainVoice ID-API verwenden.

Wenn Sie den KMS-Schlüssel ändern, wird ein asynchroner Prozess ausgelöst, um die alten Daten mit dem neuen KMS-Schlüssel erneut zu verschlüsseln. Nach Abschluss dieses Vorgangs werden alle Daten Ihrer Domain mit dem neuen KMS-Schlüssel verschlüsselt, und Sie können den alten Schlüssel problemlos zurückziehen. Weitere Informationen finden Sie unter UpdateDomain.

Voice ID erstellt eine Genehmigung für den vom Kunden verwalteten Schlüssel, der diesem Zugriff auf den Schlüssel gewährt. Weitere Informationen finden Sie unter So verwendet Amazon Connect Voice ID Genehmigungen in AWS KMS.

Im Folgenden finden Sie eine Liste der Daten, die im Ruhezustand mit dem vom Kunden verwalteten Schlüssel verschlüsselt werden:

• Stimmabdrücke: Die Stimmabdrücke, die bei der Registrierung von Sprechern und der Registrierung von Betrügern im System generiert wurden.

• Audio von Sprechern und Betrügern: Die Audiodaten, die für die Registrierung von Sprechern und Betrügern verwendet wurden.

• CustomerSpeakerID: Die ID, die der Kunde SpeakerId bei der Registrierung für Voice ID angegeben hat.

• Vom Kunden bereitgestellte Metadaten: Dazu gehören formlose Zeichenketten wie Domain, Description, Domain Name, Job Name und andere.

AWS KMS Für einen vom Kunden verwalteten Schlüssel fallen Gebühren an. Weitere Informationen zu Preisen finden Sie unter AWS KMS Preise.

So verwendet Amazon Connect Voice ID Genehmigungen in AWS KMS

Amazon Connect Voice ID erfordert eine Genehmigung, um Ihren vom Kunden verwalteten Schlüssel zu verwenden. Wenn Sie eine Domain erstellen, gewährt Voice ID in Ihrem Namen einen Zuschuss, indem es eine CreateGrantSee-Anfrage an sendet AWS KMS. Die Genehmigung wird benötigt, um Ihren vom Kunden verwalteten Schlüssel für die folgenden internen Vorgänge zu verwenden:

• Senden Sie DescribeKeyAnfragen, um AWS KMS zu überprüfen, ob die angegebene symmetrische, vom Kunden verwaltete Schlüssel-ID gültig ist.

• Senden Sie GenerateDataSchlüsselanfragen an den KMS-Schlüssel, um Datenschlüssel zu erstellen, mit denen Objekte verschlüsselt werden können.

• Senden Sie Entschlüsselungsanforderungen an AWS KMS , um die verschlüsselten Datenschlüssel zu entschlüsseln, sodass sie zum Verschlüsseln Ihrer Daten verwendet werden können.

• Senden Sie ReEncryptAnfragen an den AWS KMS Zeitpunkt, an dem der Schlüssel aktualisiert wird, um einen begrenzten Datensatz mit dem neuen Schlüssel erneut zu verschlüsseln.

• Speichern Sie Dateien in S3, indem Sie den AWS KMS Schlüssel verwenden, um die Daten zu verschlüsseln.

Sie können den Zugriff auf die Genehmigung jederzeit widerrufen oder den Zugriff des Services auf den vom Kunden verwalteten Schlüssel entfernen. Wenn Sie dies tun, kann Voice ID nicht auf die mit dem vom Kunden verwalteten Schlüssel verschlüsselten Daten zugreifen. Dies wirkt sich auf alle Vorgänge aus, die von diesen Daten abhängig sind, was zu AccessDeniedException-Fehlern und Ausfällen in den asynchronen ArbeitsFlowsn führt.

Richtlinie für vom Kunden verwaltete Schlüssel in Voice ID

Schlüsselrichtlinien steuern den Zugriff auf den vom Kunden verwalteten Schlüssel. Jeder vom Kunden verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren vom Kunden verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf KMS-Schlüssel im AWS Key Management Service -Entwicklerhandbuch.

Im Folgenden finden Sie ein Beispiel für eine Schlüsselrichtlinie, die einem Benutzer die notwendige Berechtigungen gibt, um alle Voice ID APIs mithilfe des vom Kunden verwalteten Schlüssels aufzurufen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow key access to Amazon Connect VoiceID.",
            "Effect": "Allow",
            "Principal": {
                "AWS": "your_user_or_role_ARN"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": [
                        "voiceid.region.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Informationen zum Angeben von Berechtigungen in einer Richtlinie finden Sie unter Angabe von KMS-Schlüsseln in IAM-Richtlinienanweisungen im AWS Key Management Service Entwicklerhandbuch.

Informationen zur Problembehandlung beim Schlüsselzugriff finden Sie unter Problembehandlung beim Schlüsselzugriff im AWS Key Management Service Entwicklerhandbuch.

Voice-ID-Verschlüsselungsclient

Ein Verschlüsselungskontext ist ein optionaler Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten. AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten, um die authentifizierte Verschlüsselung zu unterstützen.

Wenn Sie einen Verschlüsselungskontext in eine Anforderung zur Verschlüsselung von Daten aufnehmen, bindet AWS KMS den Verschlüsselungskontext an die verschlüsselten Daten. Zur Entschlüsselung von Daten müssen Sie denselben Verschlüsselungskontext in der Anfrage übergeben.

Voice ID verwendet bei allen AWS KMS kryptografischen Vorgängen denselben Verschlüsselungskontext, wobei der Schlüssel aws:voiceid:domain:arn und der Wert die Ressource Amazon Resource Name (ARN) Amazon Resource Name (ARN) ist.

"encryptionContext": {
   "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
}

Sie können den Verschlüsselungskontext auch in Prüfaufzeichnungen und Protokollen verwenden, um festzustellen, wie der vom Kunden verwaltete Schlüssel verwendet wird. Der Verschlüsselungskontext erscheint auch in Protokollen, die von Amazon CloudWatch Logs generiert wurden CloudTrail .

Verwendung des Verschlüsselungskontextes zur Steuerung des Zugriffs auf den vom Kunden verwalteten Schlüssel

Sie können den Verschlüsselungskontext in Schlüsselrichtlinien und IAM-Richtlinien als Bedingungen verwenden, um den Zugriff auf Ihren symmetrischen, vom Kunden verwalteten Schlüssel zu kontrollieren. Sie können Verschlüsselungskontext-Einschränkungen auch in einer Genehmigung verwenden.

Amazon Connect Voice ID verwendet eine Einschränkung des Verschlüsselungskontextes bei Zuweisungen, um den Zugriff auf den vom Kunden verwalteten Schlüssel in Ihrem Konto oder Ihrer Region zu kontrollieren. Eine Genehmigungseinschränkung erfordert, dass durch die Genehmigung ermöglichte Vorgänge den angegebenen Verschlüsselungskontext verwenden.

Im Folgenden finden Sie Beispiele für Schlüsselrichtlinienanweisungen zur Gewährung des Zugriffs auf einen vom Kunden verwalteten Schlüssel für einen bestimmten Verschlüsselungskontext. Die Bedingung in dieser Richtlinienanweisung setzt voraus, dass die Genehmigungen eine Einschränkung des Verschlüsselungskontextes haben, die den Verschlüsselungskontext spezifiziert.

{
    "Sid": "Enable DescribeKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:DescribeKey",
     "Resource": "*"
},
{
     "Sid": "Enable CreateGrant",
     "Effect": "Allow",
     "Principal": {
         "AWS": "arn:aws:iam::111122223333:role/ExampleReadOnlyRole"
     },
     "Action": "kms:CreateGrant",
     "Resource": "*",
     "Condition": {
         "StringEquals": {
             "kms:EncryptionContext:"aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId""
          }
     }
}

Überwachen von Verschlüsselungsschlüsseln für Voice ID

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel mit Voice ID verwenden, können Sie AWS CloudTrailoder Amazon CloudWatch Logs verwenden, um Anfragen zu verfolgen, an die Voice ID gesendet wird AWS KMS.

Die folgenden Beispiele sind ein AWS CloudTrail Beispielereignis für einen CreateGrant Vorgang, der von Voice ID aufgerufen wird, um auf Daten zuzugreifen, die mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselt wurden:

CreateGrant

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROA5STZEFPSZEOW7NP3X:SampleUser1",
        "arn": "arn:aws:sts::111122223333:assumed-role/SampleRole/SampleUser",
        "accountId": "111122223333",
        "accessKeyId": "AAAAAAA1111111EXAMPLE",  
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROA5STZEFPSZEOW7NP3X",
                "arn": "arn:aws:iam::111122223333:role/SampleRole",
                "accountId": "111122223333",
                "userName": "SampleUser"
            },
            "webIdFederationData": {},
            "attributes": {
                "creationDate": "2021-09-14T23:02:23Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "voiceid.amazonaws.com"
    },
    "eventTime": "2021-09-14T23:02:50Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "SampleIpAddress",
    "userAgent": "Example Desktop/1.0 (V1; OS)",
    "requestParameters": {
        "constraints": {
            "encryptionContextSubset": {
                "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
            }
        },
        "retiringPrincipal": "voiceid.amazonaws.com",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/44444444-3333-2222-1111-EXAMPLE11111",
        "operations": [
            "CreateGrant",
            "Decrypt",
            "DescribeKey",
            "GenerateDataKey",
            "GenerateDataKeyPair",
            "GenerateDataKeyPairWithoutPlaintext",
            "GenerateDataKeyWithoutPlaintext",
            "ReEncryptFrom",
            "ReEncryptTo"
        ],
        "granteePrincipal": "voiceid.amazonaws.com "
    },
    "responseElements": {
        "grantId": "00000000000000000000000000000cce47be074a8c379ed39f22b155c6e86af82"
    },
    "requestID": "ed0fe4ab-305b-4388-8adf-7e8e3a4e80fe",
    "eventID": "31d0d7c6-ce5b-4caf-901f-025bf71241f6",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-9999999999999"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

DescribeKey

{
    "eventVersion": "1.08",
    "userIdentity": {
      "type": "AWSService",
      "invokedBy": "voiceid.amazonaws.com"
    },
    "eventTime": "2021-10-13T15:12:39Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "DescribeKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "voiceid.amazonaws.com",
    "userAgent": "voiceid.amazonaws.com",
    "requestParameters": {
        "keyId": "alias/sample-key-alias"
    },
    "responseElements": null,
    "requestID": "ed0fe4ab-305b-4388-8adf-7e8e3a4e80fe",
    "eventID": "31d0d7c6-ce5b-4caf-901f-025bf71241f6",
    "readOnly": true,
    "resources": [{
        "accountId": "111122223333",
        "type": "AWS::KMS::Key",
        "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-9999999999999"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}                         

Decrypt

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "voiceid.amazonaws.com"
    },
    "eventTime": "2021-10-12T23:59:34Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "voiceid.amazonaws.com",
    "userAgent": "voiceid.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "keyId": "arn:aws:kms:us-west-2:111122223333:key/44444444-3333-2222-1111-EXAMPLE11111",
            "encryptionContext": {
                "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
            },
            "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
        },
        "responseElements": null,
        "requestID": "ed0fe4ab-305b-4388-8adf-7e8e3a4e80fe",
        "eventID": "31d0d7c6-ce5b-4caf-901f-025bf71241f6",
        "readOnly": true,
        "resources": [{
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-9999999999999"
        }],
        "eventType": "AwsApiCall",
        "managementEvent": true,
        "recipientAccountId": "111122223333",
        "sharedEventID": "35d58aa1-26b2-427a-908f-025bf71241f6",
        "eventCategory": "Management"
    }                     

GenerateDataKeyWithoutPlaintext

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "voiceid.amazonaws.com"
    },
    "eventTime": "2021-10-13T00:26:41Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKeyWithoutPlaintext",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "voiceid.amazonaws.com",
    "userAgent": "voiceid.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/44444444-3333-2222-1111-EXAMPLE11111",
        "encryptionContext": {
            "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
        },
        "keySpec": "AES_256"
    },
    "responseElements": null,
    "requestID": "ed0fe4ab-305b-4388-8adf-7e8e3a4e80fe",
    "eventID": "31d0d7c6-ce5b-4caf-901f-025bf71241f6",
    "readOnly": true,
    "resources": [{
        "accountId": "111122223333",
        "type": "AWS::KMS::Key",
        "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-9999999999999"
    }],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "35d58aa1-26b2-427a-908f-025bf71241f6",
    "eventCategory": "Management"
}                          

ReEncrypt

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "voiceid.amazonaws.com"
    },
    "eventTime": "2021-10-13T00:59:05Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "ReEncrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "voiceid.amazonaws.com",
    "userAgent": "voiceid.amazonaws.com",
    "requestParameters": {
        "destinationEncryptionContext": {
            "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
        },
        "destinationKeyId": "arn:aws:kms:us-west-2:111122223333:key/44444444-3333-2222-1111-EXAMPLE11111",
        "sourceEncryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "sourceAAD": "SampleSourceAAAD+JXBmH+ZJNM73BfHE/dwQALXp7Sf44VwvoJOrLj",
        "destinationAAD": "SampleDestinationAAAD+JXBmH+ZJNM73BfHE/dwQALXp7Sf44VwvoJOrLj",
        "sourceEncryptionContext": {
            "aws:voiceid:domain:arn": "arn:aws:voiceid:us-west-2:111122223333:domain/sampleDomainId"
        },
        "destinationEncryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "sourceKeyId": "arn:aws:kms:us-west-2:111122223333:key/55555555-3333-2222-1111-EXAMPLE22222"
    },
    "responseElements": null,
    "requestID": "ed0fe4ab-305b-4388-8adf-7e8e3a4e80fe",
    "eventID": "31d0d7c6-ce5b-4caf-901f-025bf71241f6",
    "readOnly": true,
    "resources": [{
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-9999999999999"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/00000000-1111-2222-3333-7777777777777"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "35d58aa1-26b2-427a-908f-025bf71241f6",
    "eventCategory": "Management"
}                        

Ausgehende Kampagnen

Für ausgehende Kampagnen gibt Amazon Pinpoint Kundentelefonnummern und relevante Attribute an Amazon Connect weiter. In Amazon Connect werden diese im Ruhezustand immer entweder mit einem vom Kunden verwalteten Schlüssel oder einem AWS-eigener Schlüssel verschlüsselt. Die Daten ausgehender Kampagnen werden nach der Instance-ID von Amazon Connect getrennt und mit Instance-spezifischen Schlüsseln verschlüsselt.

Sie können Ihren eigenen vom Kunden verwalteten Schlüssel beim Onboarding für ausgehende Kampagnen bereitstellen.

Der Service verwendet diesen vom Kunden verwalteten Schlüssel, um sensible Daten im Speicher zu verschlüsseln. Ein kundenverwalteter Schlüssel wird von Ihnen erstellt, besessen und verwaltet. Sie haben volle Kontrolle über den vom Kunden verwalteten Schlüssel.

Wenn Sie keinen eigenen, vom Kunden verwalteten Schlüssel angeben, verschlüsselt Outbound Campaigns vertrauliche Daten im Ruhezustand mithilfe einer für Ihre Amazon Connect Connect-Instance AWS-eigener Schlüssel spezifischen Methode.

AWS KMS Für einen vom Kunden verwalteten Schlüssel fallen Gebühren an. Weitere Informationen zu Preisen finden Sie unter AWS KMS Preise.

Prognosen, Kapazitätspläne und Zeitpläne

Wenn Sie Prognosen, Kapazitätspläne und Zeitpläne erstellen, werden alle Daten im Ruhezustand mithilfe von AWS-eigener Schlüssel Verschlüsselungsschlüsseln verschlüsselt, die in gespeichert sind AWS Key Management Service.