기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

저장 데이터 암호화

AWS Management Console, 를 사용하거나 Amazon EFS API 또는 Amazon 중 하나를 통해 프로그래밍 방식으로 암호화된 파일 시스템을 생성할 수 있습니다. AWS CLI AWS SDKs 조직에서 특정 분류를 충족하거나 특정 애플리케이션이나 워크로드, 환경과 연결된 모든 데이터를 암호화해야 할 수 있습니다.

EFS파일 시스템을 생성한 후에는 암호화 설정을 변경할 수 없습니다. 즉, 암호화되지 않은 파일 시스템을 수정하여 암호화할 수 없습니다. 대신 암호화된 새 파일 시스템을 생성해야 합니다.

저장된 상태에서 암호화된 Amazon EFS 파일 시스템 생성 적용

AWS Identity and Access Management (IAM) ID 기반 정책의 elasticfilesystem:Encrypted IAM 조건 키를 사용하여 사용자가 저장 중에 암호화된 Amazon EFS 파일 시스템을 생성할 수 있는지 여부를 제어할 수 있습니다. 조건 키 사용에 관한 자세한 내용은 예: 암호화된 파일 시스템 생성 적용 섹션을 참조하세요.

또한 내부에 서비스 제어 정책 (SCPs) 을 AWS Organizations 정의하여 조직 내 모든 AWS 계정사용자에게 EFS 암호화를 적용할 수 있습니다. 의 서비스 제어 정책에 대한 자세한 내용은 AWS Organizations 사용 설명서의 서비스 제어 정책을 참조하십시오. AWS Organizations

콘솔을 사용해 유휴 파일 시스템 암호화

Amazon EFS 콘솔을 사용하여 새 파일 시스템을 생성하면 저장 중 암호화가 기본적으로 활성화됩니다. 다음 절차는 콘솔에서 새 파일 시스템을 생성할 때 암호화를 활성화하는 방법을 설명하고 있습니다.

이제 새 encrypted-at-rest 파일 시스템이 생겼습니다.

유휴 암호화 작동 방식

암호화가 적용된 파일 시스템의 경우, 데이터와 메타데이터가 자동으로 암호화된 후 파일 시스템에 기록됩니다. 유사하게 데이터와 메타데이터를 읽을 때, 자동으로 암호화를 해제한 후 애플리케이션으로 전달됩니다. Amazon은 이러한 프로세스를 투명하게 EFS 처리하므로 애플리케이션을 수정할 필요가 없습니다.

EFSAmazon은 업계 표준 AES -256 암호화 알고리즘을 사용하여 저장된 데이터와 EFS 메타데이터를 암호화합니다. 자세한 내용은AWS Key Management Service 개발자 안내서의 암호화 기초를 참조하세요.

아마존이 EFS 사용하는 방법 AWS KMS

Amazon은 키 관리를 위해 AWS Key Management Service (AWS KMS) 와 EFS 통합됩니다. EFSAmazon은 고객 관리 키를 사용하여 다음과 같은 방식으로 파일 시스템을 암호화합니다.

유휴 데이터 암호화 및 암호화 해제는 투명하게 처리됩니다. 하지만 Amazon IDs 전용 AWS 계정은 AWS KMS 작업과 관련된 AWS CloudTrail 로그에 EFS 표시됩니다. 자세한 내용은 파일 시스템용 Amazon EFS 로그 encrypted-at-rest 파일 항목 단원을 참조하십시오.

다음에 대한 아마존 EFS 주요 정책 AWS KMS

키 정책은 고객 관리형 키(CMK)에 대한 액세스를 제어하는 기본적인 방법입니다. 키 정책에 대한 자세한 내용은AWS Key Management Service 개발자 안내서의 AWS KMS의 키 정책을 참조하세요. 다음 목록은 암호화된 저장 파일 시스템에 EFS 대해 Amazon이 요구하거나 지원하는 모든 AWS KMS관련 권한을 설명합니다.

AWS 관리형 키 아마존 EFS KMS 정책용

EFSAmazon에 JSON AWS 관리형 키 대한 KMS 정책은 다음과 aws/elasticfilesystem 같습니다.

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}