保管中のデータの暗号化

保管中のデータの暗号化は、AWS Management Console、AWS CLI を介して、またはプログラムで Amazon FSx API または AWS SDK の 1 つを介して Amazon FSx for Lustre ファイルシステムを作成すると、自動的に有効になります。組織では、特定の分類に合致する、または特定のアプリケーション、ワークロード、環境に関連するすべてのデータを暗号化する必要が生じる場合があります。永続的ファイルシステムを作成する場合は、データを暗号化する AWS KMS キーを指定できます。スクラッチファイルシステムを作成すると、データは Amazon FSx によって管理されるキーを使用して暗号化されます。コンソールを使用して保管中に暗号化されたファイルシステムを作成する方法の詳細については、「Amazon FSx for Lustre ファイルシステムの作成」を参照してください。

FSx for Lustre が AWS KMS を使用する方法の詳細については「Amazon FSx for Lustre で AWS KMS を使用する方法」を参照してください。

保存時の暗号化の方法

暗号化されたファイルシステムの場合、データとメタデータはファイルシステムに書き込まれる前に自動的に暗号化されます。同様に、データとメタデータが読み取られると、アプリケーションに提示される前に自動的に復号化されます。このプロセスは Amazon FSx for Lustre で透過的に処理されるため、アプリケーションを変更する必要はありません。

Amazon FSx for Lustre は、保管中のファイルシステムデータの暗号化に、業界スタンダードの AES-256 暗号化アルゴリズムを使用します。詳細については、「AWS Key Management Service デベロッパーガイド」の「暗号化のベーシック」を参照してください。

Amazon FSx for Lustre で AWS KMS を使用する方法

Amazon FSx for Lustre はデータがファイルシステムに書き込まれる前にデータを自動的に暗号化し、読み取り時に自動的に復号化します。データは XTS-AES-256 ブロック暗号を使用して暗号化されます。すべてのスクラッチ FSx for Lustre ファイルシステムは、AWS KMS によって管理されるキーを使用して保管時に暗号化されます。Amazon FSx for Lustre は、キーの管理のために AWS KMS と統合します。保管時にスクラッチファイルシステムの暗号化に使用されるキーは、ファイルシステムごとに一意であり、ファイルシステムの削除後に破棄されます。永続ファイルシステムの場合、データの暗号化と復号化に使用される KMS キーを選択します。永続ファイルシステムを作成するときに使用するキーを指定します。この KMS キーの許可を有効化、無効化、または削除することができます。この KMS キーは、以下の 2 つのタイプのいずれかになります。

ファイルデータ暗号化と復号化の KMS キーとして顧客管理キーを使用する場合は、キーローテーションを有効にできます。キーローテーションを有効にすると、AWS KMS は 1 年に 1 回キーを自動的にローテーションします。また、カスタマー管理キーでは、カスタマー管理キーへのアクセスを無効にしたり、再び有効化したり、削除したり、取り消すタイミングを随時選択することができます。

AWS KMS のAmazon FSx キーポリシー

キーポリシーは、KMS キーへのアクセスをコントロールするための主要な方法です。キーポリシーの詳細については、「AWS Key Management Service デベロッパーガイド」の「AWS KMS の キーポリシーの使用」を参照してください。次のリストで、Amazon FSx でサポートされる保管時のファイルシステムの暗号化 AWS KMS に関連するすべてのアクセス許可について説明します。