Administración del acceso a los sistemas de archivos cifrados

Con AmazonEFS, puedes crear sistemas de archivos cifrados. Amazon EFS admite dos formas de cifrado para los sistemas de archivos, el cifrado en tránsito y el cifrado en reposo. Cualquier administración de claves que tenga que hacer solo está relacionada con el cifrado en reposo. Amazon gestiona EFS automáticamente las claves de cifrado en tránsito.

Si crea un sistema de archivos que utiliza el cifrado en reposo, los datos y los metadatos se cifran en reposo. Amazon EFS usa AWS Key Management Service (AWS KMS) para la administración de claves. Al crear un sistema de archivos mediante el cifrado en reposo, debe especificar una AWS KMS key. La KMS clave puede ser aws/elasticfilesystem (la Clave administrada de AWS de AmazonEFS) o puede ser una clave gestionada por el cliente que tú gestiones.

Los datos de los archivos (el contenido de sus archivos) se cifran en reposo con la KMS clave que especificó al crear el sistema de archivos. Los metadatos (nombres de archivos, nombres de directorios y contenido de directorios) se cifran mediante una clave que Amazon administra. EFS

La EFS Clave administrada de AWS clave del sistema de archivos se utiliza como KMS clave para cifrar los metadatos del sistema de archivos, por ejemplo, los nombres de los archivos, los nombres de los directorios y el contenido de los directorios. Usted es el propietario de la clave gestionada por el usuario que se utiliza para cifrar datos de archivos (el contenido de los archivos) en reposo.

Usted administra quién tiene acceso a sus KMS claves y al contenido de sus sistemas de archivos cifrados. Este acceso está controlado por las políticas AWS Identity and Access Management (IAM) y AWS KMS. IAMlas políticas controlan el acceso de un usuario a EFS API las acciones de Amazon. AWS KMS las políticas clave controlan el acceso de un usuario a la KMS clave que especificaste al crear el sistema de archivos. Para más información, consulte los siguientes temas:

Como administrador de claves, puede importar las claves externas. También puede habilitar, deshabilitar o eliminar las claves, modificándolas de este modo. El estado de la KMS clave que especificó (al crear el sistema de archivos con el cifrado en reposo) afecta al acceso a su contenido. La KMS clave debe estar en ese enabled estado para que los usuarios puedan acceder al contenido de un sistema de encrypted-at-rest archivos cifrado con esa clave.