Une bibliothèque stocke les images faciales de ses membres dans un compartiment S3 et utilise Amazon Rekognition CompareFaces pour faire correspondre les images en direct aux images stockées. La bibliothèque exige que les images soient chiffrées au repos et chiffrées en transit lorsqu'elles sont utilisées par Rekognition, et doit s'assurer que les images ne sont pas utilisées pour améliorer Rekognition en tant que service. Quelle architecture répond à ces exigences ?

L'activation du chiffrement côté serveur sur S3 (SSE-S3, SSE-KMS ou SSE-C) garantit le chiffrement des données au repos. Le chiffrement en transit est automatiquement géré par Rekognition via TLS/SSL lors de l'appel de l'API. Pour empêcher l'utilisation des images pour l'amélioration du service Rekognition, AWS fournit un mécanisme d'opt-out via le support, ce qui répond à l'exigence. Les autres options sont incorrectes car : Migrer vers une collection Rekognition et utiliser IndexFaces/SearchFacesByImage ne répond pas à l'exigence de chiffrement en transit explicite ni à la désactivation de l'amélioration du service. L'utilisation de AWS GovCloud (US) et d'un VPN n'est pas nécessaire pour le chiffrement ou la désactivation de l'amélioration du service, et n'est pas une solution standard pour ces exigences. Le chiffrement côté client pour S3 est possible, mais l'utilisation d'un VPN n'est pas une exigence pour le chiffrement en transit avec Rekognition, qui utilise déjà TLS.