Gerenciar o acesso aos sistemas de arquivos criptografados

Usando a AmazonEFS, você pode criar sistemas de arquivos criptografados. A Amazon EFS oferece suporte a duas formas de criptografia para sistemas de arquivos: criptografia em trânsito e criptografia em repouso. Todos os gerenciamentos de chaves que você precisar realizar só serão relacionados à criptografia em repouso. A Amazon gerencia EFS automaticamente as chaves para criptografia em trânsito.

Se você criar um sistema de arquivos que usa a criptografia em repouso, dados e metadados serão criptografados em repouso. A Amazon EFS usa AWS Key Management Service (AWS KMS) para gerenciamento de chaves. Ao criar um sistema de arquivos usando a criptografia em repouso, você especifica uma AWS KMS key. A KMS chave pode ser aws/elasticfilesystem (a da Chave gerenciada pela AWS AmazonEFS) ou pode ser uma chave gerenciada pelo cliente que você gerencia.

Os dados do arquivo — o conteúdo dos seus arquivos — são criptografados em repouso usando a KMS chave que você especificou ao criar seu sistema de arquivos. Os metadados — nomes de arquivos, nomes de diretórios e conteúdos de diretórios — são criptografados usando uma chave gerenciada pela Amazon. EFS

O EFS Chave gerenciada pela AWS for your file system é usado como KMS chave para criptografar os metadados em seu sistema de arquivos, por exemplo, nomes de arquivos, nomes de diretórios e conteúdos de diretórios. Você possui a chave gerenciada pelo cliente usada para criptografar os dados do arquivo (o conteúdo dos seus arquivos) em repouso.

Você gerencia quem tem acesso às suas KMS chaves e ao conteúdo dos seus sistemas de arquivos criptografados. Esse acesso é controlado pelas políticas AWS Identity and Access Management (IAM) AWS KMS e. IAMas políticas controlam o acesso de um usuário às EFS API ações da Amazon. AWS KMS as políticas de chaves controlam o acesso do usuário à KMS chave que você especificou quando o sistema de arquivos foi criado. Para obter mais informações, consulte as informações a seguir.

Como administrador de chaves, você pode importar chaves externas. Você também pode modificar chaves ao habilitá-las, desabilitá-las ou excluí-las. O estado da KMS chave que você especificou (quando você criou o sistema de arquivos com criptografia em repouso) afeta o acesso ao seu conteúdo. A KMS chave deve estar no enabled estado em que os usuários tenham acesso ao conteúdo de um sistema de encrypted-at-rest arquivos criptografado usando essa chave.