某圖書館將會員的臉部影像儲存在 S3 bucket 中，並使用 Amazon Rekognition CompareFaces 將即時影像與儲存的影像進行比對。圖書館要求影像在靜態時必須加密，並在 Rekognition 使用時進行傳輸中加密，同時必須確保這些影像不會用於改善 Rekognition 服務。哪種架構符合這些要求？

正確答案符合所有要求。在 S3 上啟用伺服器端加密（例如 SSE-S3 或 SSE-KMS）可確保靜態資料加密。Rekognition 服務的 API 呼叫預設透過 HTTPS 進行，提供傳輸中加密。AWS 允許客戶選擇不讓其內容用於改善 Rekognition 服務，這需要透過 AWS Support 流程提交請求。 將影像遷移到 Rekognition collection 並使用 IndexFaces 和 SearchFacesByImage 雖然是 Rekognition 的功能，但並未直接解決不讓影像用於服務改善的要求，且 CompareFaces 仍是可行的選項。使用 AWS GovCloud (US) 區域或 VPN 並非所有客戶都適用，且無法直接解決 Rekognition 服務改善的選擇退出機制。用戶端加密雖然提供靜態加密，但實作較複雜，且同樣未解決 Rekognition 服務改善的選擇退出問題。