Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

加密静态数据

您可以使用 Amazon Web Services Management Console、或通过 Amazon EFS API 或其中一个软件 Amazon 开发工具包以编程方式创建加密文件系统。 Amazon CLI您的组织可能要求加密符合特定分类条件的所有数据，或者加密与特定应用程序、工作负载或环境关联的所有数据。

创建 EFS 文件系统后，就无法更改其加密设置。这意味着您无法修改未加密的文件系统以使其加密。您需要创建一个新的加密文件系统。

强制创建静态加密的 Amazon EFS 文件系统

您可以在基于 Amazon Identity and Access Management （IAM）身份的策略中使用 elasticfilesystem:Encrypted IAM 条件键来控制用户是否可以创建静态加密的 Amazon EFS 文件系统。有关使用此条件键的更多信息，请参阅示例：强制创建加密文件系统。

您还可以在内部定义服务控制策略 (SCP)， Amazon Organizations 以对组织中的所有人强制执行 EF Amazon Web Services 账户 S 加密。有关中服务控制策略的更多信息 Amazon Organizations，请参阅《Amazon Organizations 用户指南》中的服务控制策略。

使用控制台静态加密文件系统

使用 Amazon EFS 控制台创建新文件系统时，静态加密默认处于启用状态。以下过程说明了从控制台中创建新的文件系统时如何为其启用加密。

现在，您有了新的 encrypted-at-rest 文件系统。

静态加密的工作方式

在加密的文件系统中，在将数据和元数据写入到文件系统之前，将自动对其进行加密。同样，在读取数据和元数据时，在将其提供给应用程序之前，将自动对其进行解密。这些过程是 Amazon EFS 以透明方式处理的，因此，您不必修改您的应用程序。

Amazon EFS 使用行业标准 AES-256 加密算法静态加密 EFS 数据和元数据。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的加密基础知识。

亚马逊 EFS 的使用方式 Amazon KMS

Amazon EFS 与 Amazon Key Management Service (Amazon KMS) 集成，用于密钥管理。Amazon EFS 使用客户托管密钥通过以下方法加密您的文件系统：

静态数据加密和解密是透明处理的。但是，特定于 Amazon EFS 的 Amazon 账户 ID 会出现在与 Amazon KMS 操作相关的 Amazon CloudTrail 日志中。有关更多信息，请参阅文件系统的 Amazon EFS 日志 encrypted-at-rest文件条目。

Amazon EFS 的密钥政策 Amazon KMS

密钥策略是控制对客户托管式密钥的访问的主要方式。有关密钥策略的更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的 Amazon KMS中的密钥策略。以下列表描述了 Amazon EFS 对静态加密文件系统所需或以其他方式支持的所有 Amazon KMS相关权限：

Amazon 托管式密钥 适用于 Amazon EFS KMS 政策

适用于 Amazon EFS Amazon 托管式密钥 的 KMS 策略 JS aws/elasticfilesystem ON 如下所示：

{
    "Version": "2012-10-17",
    "Id": "auto-elasticfilesystem-1",
    "Statement": [
        {
            "Sid": "Allow access to EFS for all principals in the account that are authorized to use EFS",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "elasticfilesystem.us-east-2.amazonaws.com",
                    "kms:CallerAccount": "111122223333"
                }
            }
        },
        {
            "Sid": "Allow direct access to key metadata to the account",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111122223333:root"
            },
            "Action": [
                "kms:Describe*",
                "kms:Get*",
                "kms:List*",
                "kms:RevokeGrant"
            ],
            "Resource": "*"
        }
    ]
}