对于新项目，我们建议您使用适用于 Apache Flink Studio 的新托管服务，而不是应用程序版 Kinesis Data Analytics。SQLManaged Service for Apache Flink Studio 不仅操作简单，还具有高级分析功能，使您能够在几分钟内构建复杂的流处理应用程序。
本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
Kinesis Data Analytics 最佳安全实践
Amazon Kinesis Data Analytics 提供了许多安全功能，供您在开发和实施自己的安全策略时考虑。以下最佳实践是一般指导原则，并不代表完整安全解决方案。这些最佳实践可能不适合环境或不满足环境要求，请将其视为有用的考虑因素而不是惯例。
使用IAM角色访问其他 Amazon 服务
您的 Kinesis Data Analytics 应用程序必须具有有效的凭证才能访问其他服务中的资源，例如 Kinesis 数据流、Firehose 交付流或 Amazon S3 存储桶。你不应该存放 AWS 凭证直接存放在应用程序或 Amazon S3 存储桶中。这些是不会自动轮换的长期凭证，如果它们受到损害，可能会对业务产生重大影响。
相反，您应该使用IAM角色来管理应用程序访问其他资源的临时证书。在使用角色时，您不必使用长期凭证来访问其他资源。
有关更多信息，请参阅《IAM用户指南》中的以下主题：
实施从属资源中的服务器端加密
静态数据和传输中的数据在 Kinesis Data Analytics 中加密，并且无法禁用此加密。您应该在依赖资源（例如 Kinesis 数据流、Firehose 交付流和 Amazon S3 存储桶）中实现服务器端加密。有关在从属资源中实施服务器端加密的更多信息，请参阅 数据保护。
CloudTrail 用于监控API呼叫
Kinesis Data Analytics 已与 AWS CloudTrail，一项服务，用于记录用户、角色或亚马逊服务在 Kinesis Data Analytics 中采取的操作。
使用收集的信息 CloudTrail，您可以确定向 Kinesis Data Analytics 发出的请求、发出请求的 IP 地址、谁发出了请求、何时发出请求以及其他详细信息。
有关更多信息，请参阅 使用 AWS CloudTrail 记录 API 调用。
