# 高级数据质量规则建议的数据保护
<a name="data-protection-advanced-dq-recommendations"></a>

对于 `ADVANCED` 运行，Athena 会从源表中采样数据行。Amazon Glue 不会从采样数据中排除任何表列。

Amazon Glue 会将表元数据和采样数据行发送到 Amazon Bedrock。Amazon Bedrock 会使用这些数据生成数据质量定义语言 (DQDL) 规则。

Amazon Bedrock 在处理请求后不会保留模型输入或输出。Amazon 和第三方模型提供商不会使用这些输入或输出来训练模型。

有关 Amazon Bedrock 中数据保护的更多信息，请参阅 [Amazon Bedrock 中的数据保护](https://docs.amazonaws.cn/bedrock/latest/userguide/data-protection.html)。

有关保留和模型训练的更多信息，请参阅[模型推理的数据保留策略](https://docs.amazonaws.cn/bedrock/latest/userguide/data-retention.html)和 [Amazon Bedrock 常见问题解答](https://www.amazonaws.cn/bedrock/faqs/)。

有关建议模式的更多信息，请参阅 [建议模式](data-quality-getting-started.md#data-quality-recommendation-modes)。

## 传输中加密
<a name="advanced-dq-encryption-in-transit"></a>

高级建议运行使用[跨区域地理推理](https://docs.amazonaws.cn/bedrock/latest/userguide/geographic-cross-region-inference.html)。Amazon Bedrock 可能会在推理配置文件地理边界内的其他 Amazon 区域处理您的请求。

您采样的内容和生成的响应可能会离开您启动运行所在的区域。Amazon 会在通过 Amazon 网络传输这些内容时对其进行加密。

## 静态加密
<a name="advanced-dq-encryption-at-rest"></a>

默认情况下，Athena 会将查询结果存储在您账户中的 `aws-glue-dataquality-sampling-{{account-id}}-{{region}}` 储桶中。Amazon Glue 会添加生命周期规则，在 14 天后使对象过期。

Amazon Glue 使用 `glue-dataquality-sampling` Athena 工作组。如果工作组不存在，Amazon Glue 会创建该工作组。

如果您指定 `DataQualitySecurityConfiguration`，Athena 会使用该配置中的客户托管 Amazon KMS 密钥对查询结果进行加密。

## 密钥管理
<a name="advanced-dq-key-management"></a>

如果您指定客户托管的 Amazon KMS 密钥，您的建议角色需要具有查询结果加密和 Amazon Glue Data Quality 资产加密所需的权限。密钥策略还必须允许您的角色执行这些操作。

有关建议角色所需权限的更多信息，请参阅 [获取高级数据质量规则建议所需的最低权限](data-quality-authorization.md#example-policy-get-advanced-dq-rule-recommendations)。