セキュリティ

お客様がカスタムラベルを検出するために使用するプロジェクト、モデル、DetectCustomLabels オペレーションの管理を安全に行うことができます。

Amazon Rekognition の保護の詳細については、「Amazon Rekognition Security」を参照してください。

Amazon Rekognition Custom Labels プロジェクトの保護

Amazon Rekognition Custom Labels プロジェクトを保護するには、アイデンティティベースのポリシーで指定されているリソースレベルのアクセス許可を指定します。詳細については、「アイデンティティベースのポリシーおよびリソースベースのポリシー」を参照してください。

保護できる Amazon Rekognition Custom Labels のリソースは次のとおりです。

リソース	Amazon リソースネーム形式
プロジェクト	arn:aws:rekognition:*:*:project/project_name/datetime
モデル	arn:aws:rekognition:*:*:project/project_name/version/name/datetime

以下の例のポリシーでは、アイデンティティに次のアクセス許可を与える方法を示しています。

• すべてのプロジェクトについて説明します。

• 推論用の特定のモデルを作成、開始、停止、使用します。

• プロジェクトを作成します。特定のモデルを作成して説明します。

• 特定のプロジェクトの作成を拒否します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllResources",
            "Effect": "Allow",
            "Action": "rekognition:DescribeProjects",
            "Resource": "*"
        },
        {
            "Sid": "SpecificProjectVersion",
            "Effect": "Allow",
            "Action": [
                "rekognition:StopProjectVersion",
                "rekognition:StartProjectVersion",
                "rekognition:DetectCustomLabels",
                "rekognition:CreateProjectVersion"
            ],
            "Resource": "arn:aws:rekognition:*:*:project/MyProject/version/MyVersion/*"
       },
        {
            "Sid": "SpecificProject",
            "Effect": "Allow",
            "Action": [
                "rekognition:CreateProject",
                "rekognition:DescribeProjectVersions",
                "rekognition:CreateProjectVersion"
            ],
            "Resource": "arn:aws:rekognition:*:*:project/MyProject/*"
        },
        {
            "Sid": "ExplicitDenyCreateProject",
            "Effect": "Deny",
            "Action": [
                "rekognition:CreateProject"
            ],
            "Resource": ["arn:aws:rekognition:*:*:project/SampleProject/*"]
        }
    ]
}

DetectCustomLabels の保護

カスタムラベルの検出に使用される ID は、Amazon Rekognition Custom Labels モデルを管理する ID とは異なる場合があります。

ID にポリシーを適用することにより、ID の DetectCustomLabels へのアクセスを保護できます。次の例では、アクセスを DetectCustomLabels のみおよび特定のモデルに制限しています。この ID には、他の Amazon Rekognition オペレーションへのアクセス権がありません。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "rekognition:DetectCustomLabels"


            ],
            "Resource": "arn:aws:rekognition:*:*:project/MyProject/version/MyVersion/*"
        }
    ]
}

AWS マネージドポリシー

Amazon Rekognition Custom Labels へのアクセスを制御するために使用できる AmazonRekognitionCustomLabelsFullAccess AWS マネージドポリシーを提供しています。詳細については、「AWS マネージドポリシー: AmazonRekognitionCustomLabelsFullAccess」を参照してください。