Amazon Cognito 的資料保護 - Amazon Cognito
資料加密

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon Cognito 的資料保護

AWS 共同責任模型適用於 Amazon Cognito (Amazon Cognito) 中的資料保護。如此模型所述， AWS 負責保護執行所有 AWS 雲端的全域基礎結構。您負責維護在此基礎設施上託管內容的控制權。此內容包括您使用之 AWS 服務的安全性設定和管理工作。如需有關資料隱私權的詳細資訊，請參閱資料隱私權FAQ。

基於資料保護目的，我們建議您使用 AWS Identity and Access Management (IAM) 保護 AWS 帳戶認證，並設定個別使用者帳戶。如此一來，每個使用者都只會獲得授予完成其任務所必須的許可。我們也建議您採用下列方式保護資料：

  • 對每個帳戶使用多重要素驗證 (MFA)。

  • 使用SSL/TLS與 AWS 資源溝通。

  • 使用設定API和使用者活動記錄 AWS CloudTrail。

  • 使用 AWS 加密解決方案，以及 AWS 服務中的所有預設安全性控制。

  • 使用進階的受管安全服務 (例如 Amazon Macie)，協助探索和保護儲存在 Simple Storage Service (Amazon Simple Storage Service (Amazon S3)) 的個人資料。

我們強烈建議您絕對不要將客戶帳戶號碼等敏感的識別資訊，放在自由格式的欄位中，例如Name (名稱) 欄位。這包括當您使用主控台、、API或使用 Amazon Cognito 或 AWS SDKs其他 AWS 服務時。 AWS CLI您在 Amazon Cognito 或其他服務中輸入的任何資料都可能選入診斷日誌中。當您提供URL給外部伺服器時，請勿在中包含認證資訊URL以驗證您對該伺服器的要求。

資料加密

資料加密通常分為兩類：靜態加密和傳輸中加密。

靜態加密

Amazon Cognito 中的資料會依照業界標準進行靜態加密。

傳輸中加密

作為一項受管服務，Amazon Cognito 受到 AWS 全球網路安全的保護。有關 AWS 安全服務以及如何 AWS 保護基礎結構的詳細資訊，請參閱AWS 雲端安全 若要使用基礎架構安全性的最佳做法來設計您的 AWS 環境，請參閱安全性支柱架構良 AWS 好的架構中的基礎結構保護。

您可以使用 AWS 已發佈的API呼叫透過網路存取 Amazon Cognito。使用者端必須支援下列專案：

  • 傳輸層安全性 (TLS)。我們需要 TLS 1.2 並推薦 TLS 1.3。

  • 具有完美前向保密（）的密碼套件，例如（短暫的迪菲-赫爾曼PFS）或DHE（橢圓曲線短暫迪菲-赫爾曼）。ECDHE現代系統(如 Java 7 和更新版本)大多會支援這些模式。

此外，請求必須使用存取金鑰 ID 和與IAM主體相關聯的秘密存取金鑰來簽署。或者，您可以透過 AWS Security Token Service (AWS STS) 來產生暫時安全憑證來簽署請求。

Amazon Cognito 使用者集區和身分集區具有IAM經過驗證、未驗證和權杖授權的操作。API未經身份驗證和令牌授權的API操作旨在供您的客戶（應用程序的最終用戶）使用。未經身份驗證和令牌授權的API操作在靜態和傳輸中進行加密。如需詳細資訊，請參閱 Amazon Cognito 使用者集區經身分驗證和未進行身分驗證的 API 操作。

注意

Amazon Cognito 會在內部加密您的內容，且不支援客戶提供的金鑰。