Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsseln von Daten im Ruhezustand

Sie können verschlüsselte Dateisysteme mit dem AWS Management Console AWS CLI, oder programmgesteuert über Amazon EFS API oder eines der erstellen. AWS SDKs Ihr Unternehmen erfordert möglicherweise die Verschlüsselung aller Daten, die einer bestimmten Klassifizierung entsprechen oder zu einer speziellen Anwendung oder Umgebung bzw. zu einem speziellen Workload gehören.

Sobald Sie ein EFS Dateisystem erstellt haben, können Sie dessen Verschlüsselungseinstellung nicht mehr ändern. Das bedeutet, dass Sie ein unverschlüsseltes Dateisystem nicht so ändern können, dass es verschlüsselt wird. Stattdessen müssen Sie ein neues, verschlüsseltes Dateisystem erstellen.

Erzwingen der Erstellung von EFS Amazon-Dateisystemen, die im Ruhezustand verschlüsselt sind

Sie können den elasticfilesystem:Encrypted IAM Bedingungsschlüssel in identitätsbasierten Richtlinien AWS Identity and Access Management (IAM) verwenden, um zu steuern, ob Benutzer EFS Amazon-Dateisysteme erstellen können, die im Ruhezustand verschlüsselt sind. Weitere Informationen zum Verwenden des Bedingungsschlüssels finden Sie unter Beispiel: Erzwingen der Erstellung verschlüsselter Dateisysteme.

Sie können auch interne Richtlinien zur Servicesteuerung (SCPs) definieren AWS Organizations , um die EFS Verschlüsselung für alle AWS-Konto s in Ihrer Organisation durchzusetzen. Weitere Informationen zu Dienststeuerungsrichtlinien finden Sie unter Dienststeuerungsrichtlinien im AWS Organizations Benutzerhandbuch. AWS Organizations

Verschlüsselung von Dateisystemen im Ruhezustand mithilfe der Konsole

Wenn Sie mit der EFS Amazon-Konsole ein neues Dateisystem erstellen, ist die Verschlüsselung im Ruhezustand standardmäßig aktiviert. Im folgenden Verfahren wird beschrieben, wie Sie für ein neues Dateisystem während der Erstellung in der Konsole die Verschlüsselung aktivieren.

Sie haben jetzt ein neues encrypted-at-rest Dateisystem.

Funktionsweise der Verschlüsselung im Ruhezustand

Auf einem verschlüsselten Dateisystem werden Daten und Metadaten automatisch verschlüsselt, bevor sie auf das Dateisystem geschrieben werden. Umgekehrt werden bei Lesevorgängen Daten und Metadaten entschlüsselt, bevor sie an die Anwendung gesendet werden. Diese Prozesse werden von Amazon transparent abgewickeltEFS, sodass Sie Ihre Anwendungen nicht ändern müssen.

Amazon EFS verwendet den Industriestandard-Verschlüsselungsalgorithmus AES -256, um EFS Daten und Metadaten im Ruhezustand zu verschlüsseln. Weitere Informationen finden Sie unter Grundlagen der Kryptographie im AWS Key Management Service -Developer Guide.

So EFS nutzt Amazon AWS KMS

Amazon EFS integriert AWS Key Management Service (AWS KMS) für die Schlüsselverwaltung. Amazon EFS verwendet vom Kunden verwaltete Schlüssel, um Ihr Dateisystem auf folgende Weise zu verschlüsseln:

Die Datenverschlüsselung und -entschlüsselung im Ruhezustand erfolgt transparent. IDsAmazon-spezifische AWS Konten EFS erscheinen jedoch in Ihren AWS CloudTrail Protokollen, die sich auf AWS KMS Aktionen beziehen. Weitere Informationen finden Sie unter EFSAmazon-Protokolldateieinträge für encrypted-at-rest Dateisysteme.

EFSWichtige Richtlinien von Amazon für AWS KMS

Schlüsselrichtlinien sind die wichtigste Methode zur Kontrolle des Zugriffs auf vom Kunden verwaltete Schlüssel. Weitere Informationen zu Schlüsselrichtlinien finden Sie unter Schlüsselrichtlinien in AWS KMS im AWS Key Management Service -Entwicklerhandbuch. In der folgenden Liste werden alle Berechtigungen beschrieben, die von Amazon EFS für Dateisysteme AWS KMS mit Verschlüsselung im Ruhezustand erforderlich sind oder anderweitig unterstützt werden:

Von AWS verwalteter Schlüssel für EFS KMS Amazon-Richtlinien

Die KMS Richtlinie JSON Von AWS verwalteter Schlüssel für Amazon EFS aws/elasticfilesystem lautet wie folgt:

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}