Een bibliotheek slaat gezichtsafbeeldingen van leden op in een S3-bucket en gebruikt Amazon Rekognition CompareFaces om live-afbeeldingen te matchen met opgeslagen afbeeldingen. De bibliotheek vereist dat afbeeldingen at rest en in transit worden versleuteld wanneer ze door Rekognition worden gebruikt, en moet ervoor zorgen dat de afbeeldingen niet worden gebruikt om Rekognition als een service te verbeteren. Welke architectuur voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten. Server-side encryptie (SSE) op de S3-bucket zorgt voor encryptie at rest en in transit wanneer Rekognition de afbeeldingen verwerkt. Het indienen van een AWS Support-verzoek om af te zien van het gebruik van afbeeldingen voor serviceverbetering is de officiële methode om dit te voorkomen. De optie om gezichten naar een Rekognition-collectie te migreren en IndexFaces/SearchFacesByImage te gebruiken, voldoet niet aan de encryptievereisten voor data in transit en at rest voor de Rekognition-service zelf, noch aan de eis om het gebruik voor serviceverbetering te voorkomen. De optie met AWS GovCloud (US) en een VPN is onnodig complex en garandeert niet de specifieke encryptievereisten voor Rekognition of het afzien van serviceverbetering. GovCloud is voor specifieke overheidsvereisten en voegt hier geen waarde toe. De optie met client-side encryptie en een VPN is ook onnodig complex. Hoewel client-side encryptie encryptie at rest biedt, lost het de encryptie in transit voor Rekognition niet op en voorkomt het niet het gebruik voor serviceverbetering. Een VPN is niet vereist voor beveiligde communicatie met Rekognition, aangezien AWS-services standaard via TLS communiceren.