Zugriffsverwaltung auf verschlüsselte Dateisysteme

Mit Amazon EFS können Sie verschlüsselte Dateisysteme erstellen. Amazon EFS unterstützt zwei Arten der Verschlüsselung für Dateisysteme: Verschlüsselung bei der Übertragung und Verschlüsselung im Ruhezustand. Die Schlüsselverwaltung, die Sie durchführen müssen, bezieht sich nur auf die Verschlüsselung im Ruhezustand. Amazon verwaltet EFS automatisch die Schlüssel für die Verschlüsselung während der Übertragung.

Wenn Sie ein Dateisystem mit Verschlüsselung im Ruhezustand erstellen, werden Daten und Metadaten im Ruhezustand verschlüsselt. Amazon EFS verwendet AWS Key Management Service (AWS KMS) für die Schlüsselverwaltung. Wenn Sie ein Dateisystem mit Verschlüsselung im Ruhezustand erstellen, geben Sie einen AWS KMS key an. Der KMS Schlüssel kann aws/elasticfilesystem (der Von AWS verwalteter Schlüssel für AmazonEFS) oder ein vom Kunden verwalteter Schlüssel sein, den Sie verwalten.

Dateidaten — der Inhalt Ihrer Dateien — werden im Ruhezustand mit dem KMS Schlüssel verschlüsselt, den Sie bei der Erstellung Ihres Dateisystems angegeben haben. Metadaten — Dateinamen, Verzeichnisnamen und Verzeichnisinhalte — werden mit einem Schlüssel verschlüsselt, den Amazon verwaltet. EFS

Der EFS Von AWS verwalteter Schlüssel für Ihr Dateisystem wird als KMS Schlüssel für die Verschlüsselung der Metadaten in Ihrem Dateisystem verwendet, zum Beispiel Dateinamen, Verzeichnisnamen und Verzeichnisinhalte. Sie sind Eigentümer des kundenseitig verwalteten Schlüssels für die Verschlüsselung von Dateidaten (dem Inhalt Ihrer Dateien) im Ruhezustand.

Sie verwalten, wer Zugriff auf Ihre KMS Schlüssel und die Inhalte Ihrer verschlüsselten Dateisysteme hat. Dieser Zugriff wird sowohl durch AWS Identity and Access Management (IAM) Richtlinien als auch gesteuert AWS KMS. IAMRichtlinien regeln den Zugriff eines Benutzers auf EFS API Amazon-Aktionen. AWS KMS wichtige Richtlinien regeln den Zugriff eines Benutzers auf den KMS Schlüssel, den Sie bei der Erstellung des Dateisystems angegeben haben. Weitere Informationen finden Sie hier:

Als Schlüsseladministrator können Sie externe Schlüssel importieren. Sie können auch Schlüssel aktivieren, deaktivieren oder löschen. Der Status des KMS Schlüssels, den Sie angegeben haben (als Sie das Dateisystem mit Verschlüsselung im Ruhezustand erstellt haben), wirkt sich auf den Zugriff auf seinen Inhalt aus. Der KMS Schlüssel muss so seinenabled, dass Benutzer Zugriff auf den Inhalt eines encrypted-at-rest Dateisystems haben, das mit diesem Schlüssel verschlüsselt wurde.