本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 加密傳輸中的資料
<a name="encryption-in-transit"></a>

在支援 SMB 通訊協定 3.0 或更新版本的運算執行個體上映射的檔案共用支援傳輸中的資料加密。這包括從 Windows Server 2012 和 Windows 8 開始的所有 Windows 版本，以及具有 Samba 用戶端 4.2 版或更新版本的所有 Linux 用戶端。當您存取檔案系統時，Amazon FSx for Windows File Server 會使用 SMB 加密自動加密傳輸中的資料，而不需要修改應用程式。

SMB 加密使用 AES-128-GCM 或 AES-128-CCM （如果用戶端支援 SMB 3.1.1，則會選擇 GCM 變體） 做為其加密演算法，並使用 SMB Kerberos 工作階段金鑰提供簽署資料完整性。使用 AES-128-GCM 可提升效能，例如，透過加密 SMB 連線複製大型檔案時，效能提升高達 2 倍。

若要符合一律加密data-in-transit合規要求，您可以將檔案系統存取限制為僅允許支援 SMB 加密的用戶端存取。您也可以啟用或停用每個檔案共享或整個檔案系統的傳輸中加密。這可讓您在相同的檔案系統上混合加密和未加密的檔案共用。

## 管理傳輸中的加密
<a name="manage-encrypt-in-transit"></a>

您可以使用一組自訂 PowerShell 命令來控制 FSx for Windows File Server 檔案系統和用戶端之間傳輸中的資料的加密。您可以將檔案系統存取限制為僅支援 SMB 加密的用戶端，以便一律加密data-in-transit。啟用data-in-transit加密強制執行時，從不支援 SMB 3.0 加密的用戶端存取檔案系統的使用者將無法存取已開啟加密的檔案共用。

您也可以控制檔案共用層級上的data-in-transit加密，而非檔案伺服器層級。如果您想要針對具有敏感資料的某些檔案共享強制執行傳輸中加密，並允許所有使用者存取其他檔案共享，您可以使用檔案共享層級加密控制，在同一檔案系統上混合加密和未加密的檔案共享。全伺服器加密的優先順序高於共用層級加密。如果啟用全域加密，則您無法選擇性地停用特定共用的加密。

您可以使用 Amazon FSx CLI 在 PowerShell 上進行遠端管理，在檔案系統上管理傳輸中加密。若要了解如何使用此 CLI，請參閱 [使用 Amazon FSx CLI for PowerShell](administering-file-systems.md#remote-pwrshell)。

以下是您可以用來管理檔案系統上使用者傳輸中加密的命令。


| 傳輸中加密命令 | 描述 | 
| --- | --- | 
|  **Get-FSxSmbServerConfiguration**  |  擷取伺服器訊息區塊 (SMB) 伺服器組態。在系統回應中，您可以根據 `EncryptData`和 `RejectUnencryptedAccess` 屬性的值，判斷檔案系統的傳輸中加密設定。  | 
|  **Set-FSxSmbServerConfiguration**  |  此命令有兩個選項可在檔案系統上全域設定傳輸中加密： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/fsx/latest/WindowsGuide/encryption-in-transit.html)  | 
| **Set-FSxSmbShare -name *name* -EncryptData \$1True** | 將此參數設為 `True`以開啟共享的傳輸中資料加密。將此參數設為 `False` 以關閉共享的傳輸中資料加密。 | 

每個命令的線上說明提供所有命令選項的參考。若要存取此說明，請使用 執行 命令**-?**，例如 **Get-FSxSmbServerConfiguration -?**。