本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 靜態資料加密
<a name="encryption-at-rest"></a>

所有 Amazon FSx 檔案系統都會使用 AWS Key Management Service () 管理的金鑰進行靜態加密AWS KMS。資料會在寫入檔案系統之前自動加密，並在讀取時自動解密。這些程序由 Amazon FSx 透明處理，因此您不需要修改應用程式。

Amazon FSx 使用業界標準的 AES-256 加密演算法來加密 Amazon FSx 靜態資料和中繼資料。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》**中的[密碼編譯基礎](https://docs.aws.amazon.com/kms/latest/developerguide/crypto-intro.html)。

**注意**  
 AWS 金鑰管理基礎設施使用聯邦資訊處理標準 (FIPS) 140-2 核准的密碼編譯演算法。基礎設施符合國家標準技術研究所 (NIST) 800-57 的建議。

## Amazon FSx 如何使用 AWS KMS
<a name="EFSKMS"></a>

Amazon FSx 與 整合 AWS KMS 以進行金鑰管理。Amazon FSx 使用 AWS KMS key 來加密您的檔案系統。您可以選擇用來加密和解密檔案系統的 KMS 金鑰 （資料和中繼資料）。您可以啟用、停用或撤銷此 KMS 金鑰的授予。此 KMS 金鑰可以是下列兩種類型之一：
+ **AWS 受管金鑰** – 這是預設 KMS 金鑰，可免費使用。
+ **客戶受管金鑰**：這是使用起來最靈活的 KMS 金鑰，因為您可以設定它的金鑰政策和授予多個使用者或服務。如需建立客戶受管金鑰的詳細資訊，請參閱* AWS Key Management Service 《開發人員指南*》中的[建立金鑰](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html)。

如果您使用客戶受管金鑰做為檔案資料加密和解密的 KMS 金鑰，您可以啟用金鑰輪換。啟用金鑰輪換時， AWS KMS 每年會自動輪換金鑰一次。此外，使用客戶受管金鑰，您可以選擇何時停用、重新啟用、刪除或撤銷對 KMS 金鑰的存取權。如需詳細資訊，請參閱《開發人員指南》中的[輪換 AWS KMS keys](https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html)。* AWS Key Management Service *

## 的 Amazon FSx 金鑰政策 AWS KMS
<a name="FSxKMSPolicy"></a>

金鑰政策是控制對 KMS 金鑰之存取的主要方式。如需金鑰政策的詳細資訊，請參閱《 開發人員指南》中的[在 中使用金鑰政策 AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)。 *AWS Key Management Service *下列清單說明 Amazon FSx 支援用於靜態檔案系統加密的所有相關 AWS KMS許可：
+ **kms:Encrypt**：(選用) 將純文字加密為加密文字。此許可會納入預設的金鑰政策中。
+ **kms:Decrypt**：(必要) 對密文進行解密。加密文字為之前已加密的純文字。此許可會納入預設的金鑰政策中。
+ **kms:ReEncrypt** – （選用） 使用新的 KMS 金鑰加密伺服器端的資料，而不會公開用戶端資料的純文字。資料會先解密，然後重新加密。此許可會納入預設的金鑰政策中。
+ **kms:GenerateDataKeyWithoutPlaintext** – （必要） 傳回以 KMS 金鑰加密的資料加密金鑰。此許可會納入 **kms:GenerateDataKey\$1** 下預設的金鑰政策中。
+ **kms:CreateGrant**：(必要) 將授予新增至金鑰，以指定誰可以使用金鑰和使用條件。授予是金鑰政策的備用許可機制。如需授予的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的[使用授予](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html)。此許可會納入預設的金鑰政策中。
+ **kms:DescribeKey** – （必要） 提供指定 KMS 金鑰的詳細資訊。此許可會納入預設的金鑰政策中。
+ **kms:ListAliases**：(選用) 列出帳戶中所有金鑰別名。當您使用 主控台建立加密的檔案系統時，此許可會填入 KMS 金鑰清單。我們建議您使用此許可，以提供最佳使用者體驗。此許可會納入預設的金鑰政策中。