Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement de données au repos

Vous pouvez créer des systèmes de fichiers chiffrés à l'aide du AWS Management Console AWS CLI, ou par programmation via Amazon EFS API ou l'un des. AWS SDKs Votre organisation peut exiger le chiffrement de toutes les données qui répondent à une classification spécifique ou qui sont associées à une application, une charge de travail ou un environnement spécifique.

Une fois que vous avez créé un système de EFS fichiers, vous ne pouvez pas modifier ses paramètres de chiffrement. Cela signifie que vous ne pouvez pas modifier un système de fichiers non chiffré pour le chiffrer. À la place, vous devez créer un système de fichiers chiffré.

Imposer la création de systèmes de EFS fichiers Amazon chiffrés au repos

Vous pouvez utiliser la clé de elasticfilesystem:Encrypted IAM condition dans les politiques basées sur l'identité AWS Identity and Access Management (IAM) pour contrôler si les utilisateurs peuvent créer des systèmes de EFS fichiers Amazon chiffrés au repos. Pour de plus amples informations sur l’utilisation de la clé de condition , veuillez consulter Exemple : imposer la création de systèmes de fichiers chiffrés.

Vous pouvez également définir des politiques de contrôle des services (SCPs) internes AWS Organizations afin d'appliquer EFS le chiffrement à tous Compte AWS les membres de votre organisation. Pour plus d'informations sur les politiques de contrôle des services dans AWS Organizations, voir Politiques de contrôle des services dans le Guide de AWS Organizations l'utilisateur.

Chiffrement d’un système de fichiers au repos à l’aide de la console

Lorsque vous créez un nouveau système de fichiers à l'aide de la EFS console Amazon, le chiffrement au repos est activé par défaut. La procédure suivante décrit comment activer le chiffrement pour un nouveau système de fichiers lorsque vous le créez à partir de la console.

Vous disposez désormais d'un nouveau système de encrypted-at-rest fichiers.

Comment fonctionne le chiffrement au repos ?

Dans un système de fichiers chiffré, les données et les métadonnées sont automatiquement chiffrées avant d’être écrites dans le système de fichiers. De même, au fur et à mesure que les données et les métadonnées sont lues, elles sont automatiquement déchiffrées avant d’être présentées à l’application. Ces processus sont gérés de manière transparente par AmazonEFS, de sorte que vous n'avez pas à modifier vos applications.

Amazon EFS utilise l'algorithme de chiffrement standard AES -256 pour chiffrer les EFS données et les métadonnées au repos. Pour de plus amples informations, consultez Principes de base du chiffrement dans le AWS Key Management Service Guide du développeur.

Comment Amazon EFS utilise AWS KMS

Amazon EFS s'intègre à AWS Key Management Service (AWS KMS) pour la gestion des clés. Amazon EFS utilise des clés gérées par le client pour chiffrer votre système de fichiers de la manière suivante :

Le chiffrement et le déchiffrement des données au repos sont gérés de façon transparente. Cependant, les AWS comptes IDs spécifiques à Amazon EFS apparaissent dans vos AWS CloudTrail journaux relatifs aux AWS KMS actions. Pour de plus amples informations, veuillez consulter Entrées de fichiers EFS journaux Amazon pour les systèmes de encrypted-at-rest fichiers.

Politiques EFS clés d'Amazon pour AWS KMS

Les stratégies de clé constituent le principal moyen de contrôler l’accès aux clés gérées par le client. Pour plus d’informations sur les stratégie de clé, consultez Stratégie de clé AWS KMSdans le AWS Key Management Service Guide du développeur. La liste suivante décrit toutes les autorisations AWS KMS associées requises ou prises en charge par Amazon EFS pour les systèmes de fichiers chiffrés au repos :

Clé gérée par AWS pour la EFS KMS politique d'Amazon

La KMS politique JSON applicable Clé gérée par AWS à Amazon EFS aws/elasticfilesystem est la suivante :

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}