翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

保管中のデータの暗号化

暗号化されたファイルシステムは AWS Management Console、、 AWS CLI、または Amazon EFSAPIまたは のいずれかを使用してプログラムで作成できます AWS SDKs。組織では、特定の分類に合致する、または特定のアプリケーション、ワークロード、環境に関連するすべてのデータを暗号化する必要が生じる場合があります。

EFS ファイルシステムを作成すると、暗号化設定を変更することはできません。つまり、暗号化されていないファイルシステムを暗号化するように変更することはできません。代わりに、暗号化されたファイルシステムを新たに作成する必要があります。

保管時に暗号化された Amazon EFS ファイルシステムの作成を強制する

AWS Identity and Access Management （IAM) アイデンティティベースのポリシーで elasticfilesystem:EncryptedIAM条件キーを使用して、ユーザーが保管時に暗号化された Amazon EFS ファイルシステムを作成できるかどうかを制御できます。条件キーの使用に関する詳細については、「例: 暗号化されたファイルシステムの作成を強制する」を参照してください

内部で AWS Organizations サービスコントロールポリシー (SCPs) を定義して、組織 AWS アカウント内のすべての にEFS暗号化を適用することもできます。のサービスコントロールポリシーの詳細については AWS Organizations、「 ユーザーガイド」の「サービスコントロールポリシーAWS Organizations 」を参照してください。

コンソールを使用して保管時のファイルシステムを暗号化する

Amazon EFSコンソールを使用して新しいファイルシステムを作成すると、保管時の暗号化がデフォルトで有効になります。次の手順では、新しいファイルシステムをコンソールから作成するときに暗号化を有効にする方法を説明します。

これで、新しい encrypted-at-rest ファイルシステムが作成されました。

保存時の暗号化の方法

暗号化されたファイルシステムの場合、データとメタデータはファイルシステムに書き込まれる前に自動的に暗号化されます。同様に、データとメタデータが読み取られると、アプリケーションに提示される前に自動的に復号化されます。これらのプロセスは Amazon によって透過的に処理されるためEFS、アプリケーションを変更する必要はありません。

Amazon EFSは、業界標準の AES-256 暗号化アルゴリズムを使用して、保管中のEFSデータとメタデータを暗号化します。詳細については、「AWS Key Management Service デベロッパーガイド」の「暗号化のベーシック」を参照してください。

Amazon が EFSを使用する方法 AWS KMS

Amazon は、キー管理のために AWS Key Management Service （AWS KMS) とEFS統合します。Amazon EFSは、カスタマーマネージドキーを使用して、次の方法でファイルシステムを暗号化します。

保管時のデータの暗号化と復号は透過的に処理されます。ただし、 AWS Amazon にIDs固有のアカウントEFSは、 AWS KMS アクションに関連する AWS CloudTrail ログに表示されます。詳細については、「ファイルシステムの Amazon EFS encrypted-at-restログファイルエントリ」を参照してください。

の Amazon EFSキーポリシー AWS KMS

キーポリシーはカスタマーマネージドキーへのアクセスを制御するための主要な方法です。キーポリシーの詳細については、「AWS Key Management Service デベロッパーガイド」の「AWS KMSの キーポリシー」を参照してください。次のリストは、Amazon が保管時の暗号化ファイルシステムEFSに対して必要とする、またはサポートする、 AWS KMS関連するすべてのアクセス許可を示しています。

AWS マネージドキー for Amazon EFSKMSポリシー

Amazon AWS マネージドキー の JSONのKMSポリシーEFSaws/elasticfilesystemは次のとおりです。

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}