Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

对静态数据加密

您可以使用Amazon Web Services Management Console、或通过 Amazon EFS API 或其中一个Amazon开发工具包以编程方式创建加密文件系统。Amazon CLI您的组织可能要求加密符合特定分类条件的所有数据，或者加密与特定应用程序、工作负载或环境关联的所有数据。

一旦创建 EFS 文件系统，就无法更改其加密设置。这意味着您无法修改未加密的文件系统以使其加密。相反，您将需要创建一个新的加密文件系统。

强制创建静态加密 Amazon EFS 文件系统

您可以在 Amazon Identity and Access Management (elasticfilesystem:EncryptedIAM) 基于身份的策略中使用 IAM 条件密钥来控制用户是否可以创建静态加密的 Amazon EFS 文件系统。有关使用条件键的更多信息，请参阅示例：强制创建加密文件系统。

您还可以在内部定义服务控制策略 (SCP)，Amazon Organizations以对组织中的所有Amazon Web Services 账户系统强制执行 EFS 加密。有关中的服务控制策略的更多信息Amazon Organizations，请参阅《Amazon Organizations用户指南》中的服务控制策略。

使用控制台对静态文件系统

当您使用 Amazon EFS 控制台创建新的文件系统时，默认情况下会启用静态加密。以下过程说明了从控制台中创建新的文件系统时如何为其启用加密。

现在，您有了新的encrypted-at-rest文件系统。

静态加密的工作原理

在加密的文件系统中，在将数据和元数据写入到文件系统之前，将自动对其进行加密。同样，在读取数据和元数据时，在将其提供给应用程序之前，将自动对其进行解密。这些流程由 Amazon EFS 透明地处理，因此您无需修改应用程序。

亚马逊 EFS 使用行业标准的 AES-256 加密算法对静态的 EFS 数据和元数据进行加密。有关更多信息，请参阅《Amazon Key Management Service开发人员指南》中的密码学基础知识。

亚马逊 EFS 是如何使用的 Amazon KMS

Amazon EFS 与 Amazon Key Management Service (Amazon KMS) 集成以进行密钥管理。Amazon EFS 使用客户托管密钥通过以下方式加密您的文件系统：

静态数据加密和解密是透明处理的。但是，特定于 Amazon EFS 的Amazon账户 ID 会出现在与Amazon KMS操作相关的Amazon CloudTrail日志中。有关更多信息，请参阅文件系统的 Amazon EFS 日志encrypted-at-rest文件条目：

亚马逊 EFS 的密钥政策 Amazon KMS

密钥策略是控制对客户托管式密钥访问的主要方法。有关密钥策略的更多信息，请参阅Amazon Key Management Service开发人员指南Amazon KMS中的密钥策略。以下列表描述了 Amazon EFS 要求或以其他方式支持的静态加密文件系统的所有Amazon KMS相关权限：

Amazon 托管式密钥适用于亚马逊 EFS KMS 政策

亚马逊 EFS 的 Amazon 托管式密钥 KMS 策略 JS aws/elasticfilesystem ON 如下所示：

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}