本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
Amazon Cognito 的資料保護
AWS 共同責任模型
基於資料保護目的,我們建議您使用 AWS Identity and Access Management (IAM) 保護 AWS 帳戶認證,並設定個別使用者帳戶。如此一來,每個使用者都只會獲得授予完成其任務所必須的許可。我們也建議您採用下列方式保護資料:
-
對每個帳戶使用多重要素驗證 (MFA)。
-
使用SSL/TLS與 AWS 資源溝通。
-
使用設定API和使用者活動記錄 AWS CloudTrail。
-
使用 AWS 加密解決方案,以及 AWS 服務中的所有預設安全性控制。
-
使用進階的受管安全服務 (例如 Amazon Macie),協助探索和保護儲存在 Simple Storage Service (Amazon Simple Storage Service (Amazon S3)) 的個人資料。
我們強烈建議您絕對不要將客戶帳戶號碼等敏感的識別資訊,放在自由格式的欄位中,例如Name (名稱) 欄位。這包括當您使用主控台、、API或使用 Amazon Cognito 或 AWS SDKs其他 AWS 服務時。 AWS CLI您在 Amazon Cognito 或其他服務中輸入的任何資料都可能選入診斷日誌中。當您提供URL給外部伺服器時,請勿在中包含認證資訊URL以驗證您對該伺服器的要求。
資料加密
資料加密通常分為兩類:靜態加密和傳輸中加密。
靜態加密
Amazon Cognito 中的資料會依照業界標準進行靜態加密。
傳輸中加密
作為一項受管服務,Amazon Cognito 受到 AWS 全球網路安全的保護。有關 AWS 安全服務以及如何 AWS 保護基礎結構的詳細資訊,請參閱AWS 雲端安全
您可以使用 AWS 已發佈的API呼叫透過網路存取 Amazon Cognito。使用者端必須支援下列專案:
-
傳輸層安全性 (TLS)。我們需要 TLS 1.2 並推薦 TLS 1.3。
-
具有完美前向保密()的密碼套件,例如(短暫的迪菲-赫爾曼PFS)或DHE(橢圓曲線短暫迪菲-赫爾曼)。ECDHE現代系統(如 Java 7 和更新版本)大多會支援這些模式。
此外,請求必須使用存取金鑰 ID 和與IAM主體相關聯的秘密存取金鑰來簽署。或者,您可以透過 AWS Security Token Service (AWS STS) 來產生暫時安全憑證來簽署請求。
Amazon Cognito 使用者集區和身分集區具有IAM經過驗證、未驗證和權杖授權的操作。API未經身份驗證和令牌授權的API操作旨在供您的客戶(應用程序的最終用戶)使用。未經身份驗證和令牌授權的API操作在靜態和傳輸中進行加密。如需詳細資訊,請參閱 Amazon Cognito 使用者集區經身分驗證和未進行身分驗證的 API 操作。
注意
Amazon Cognito 會在內部加密您的內容,且不支援客戶提供的金鑰。