Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengenkripsi data saat istirahat

Anda dapat membuat sistem file terenkripsi menggunakan AWS Management Console, AWS CLI, atau secara terprogram melalui Amazon EFS API atau salah satu. AWS SDKs Organisasi Anda mungkin memerlukan enkripsi semua data yang sesuai dengan klasifikasi tertentu atau yang diasosiasikan dengan aplikasi, beban kerja, atau lingkungan tertentu.

Setelah Anda membuat sistem EFS file, Anda tidak dapat mengubah pengaturan enkripsi. Ini berarti Anda tidak dapat memodifikasi sistem file yang tidak terenkripsi untuk membuatnya terenkripsi. Sebagai gantinya, Anda perlu membuat sistem file baru yang dienkripsi.

Menegakkan pembuatan sistem EFS file Amazon yang dienkripsi saat istirahat

Anda dapat menggunakan kunci elasticfilesystem:Encrypted IAM kondisi dalam kebijakan berbasis identitas AWS Identity and Access Management (IAM) untuk mengontrol apakah pengguna dapat membuat sistem EFS file Amazon yang dienkripsi saat istirahat. Untuk informasi selengkapnya tentang menggunakan kunci kondisi, lihatContoh: Menegakkan pembuatan sistem file terenkripsi.

Anda juga dapat menentukan kebijakan kontrol layanan (SCPs) di dalam AWS Organizations untuk menerapkan EFS enkripsi untuk semua Akun AWS s di organisasi Anda. Untuk informasi selengkapnya tentang kebijakan kontrol layanan AWS Organizations, lihat Kebijakan kontrol layanan di Panduan AWS Organizations Pengguna.

Mengenkripsi sistem file saat istirahat menggunakan konsol

Saat Anda membuat sistem file baru menggunakan EFS konsol Amazon, enkripsi saat istirahat diaktifkan secara default. Prosedur berikut menjelaskan cara mengaktifkan enkripsi untuk sistem file baru saat Anda membuatnya dari konsol.

Anda sekarang memiliki sistem encrypted-at-rest file baru.

Cara kerja enkripsi saat istirahat

Dalam sistem file yang dienkripsi, data dan metadata dienkripsi secara otomatis sebelum ditulis ke sistem file. Demikian pula, ketika data dan metadata terbaca, mereka secara otomatis didekripsi sebelum ditampilkan ke aplikasi. Proses ini ditangani secara transparan oleh AmazonEFS, jadi Anda tidak perlu memodifikasi aplikasi Anda.

Amazon EFS menggunakan algoritme enkripsi AES -256 standar industri untuk mengenkripsi EFS data dan metadata saat istirahat. Untuk informasi selengkapnya, lihat Dasar-dasar kriptografi di Panduan AWS Key Management Service Pengembang.

Bagaimana Amazon EFS menggunakan AWS KMS

Amazon EFS terintegrasi dengan AWS Key Management Service (AWS KMS) untuk manajemen kunci. Amazon EFS menggunakan kunci yang dikelola pelanggan untuk mengenkripsi sistem file Anda dengan cara berikut:

Enkripsi data dan dekripsi saat istirahat ditangani secara transparan. Namun, AWS akun IDs khusus untuk Amazon EFS muncul di AWS CloudTrail log Anda yang terkait dengan AWS KMS tindakan. Untuk informasi selengkapnya, lihat Entri file EFS log Amazon untuk sistem encrypted-at-rest file.

Kebijakan EFS utama Amazon untuk AWS KMS

Kebijakan utama adalah cara utama untuk mengontrol akses ke kunci yang dikelola pelanggan. Untuk informasi selengkapnya tentang kebijakan utama, lihat Kebijakan utama AWS KMS di Panduan AWS Key Management Service Pengembang.Daftar berikut menjelaskan semua izin AWS KMS terkait yang diperlukan atau didukung oleh Amazon EFS untuk sistem file terenkripsi saat istirahat:

Kunci yang dikelola AWS untuk EFS KMS kebijakan Amazon

KMSKebijakan JSON Kunci yang dikelola AWS untuk AmazonEFS, aws/elasticfilesystem adalah sebagai berikut:

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}