Criptografe objetos armazenados pelo File Gateway no Amazon S3

O S3 File Gateway suporta os seguintes métodos de criptografia do lado do servidor para os dados que ele armazena no Amazon S3:

• SSE-S3 — Por padrão, todos os novos objetos carregados nos buckets do Amazon S3 usam criptografia do lado do servidor com chaves gerenciadas do Amazon S3. Para obter mais informações, consulte Uso da criptografia do lado do servidor com chaves gerenciadas do Amazon S3 no Guia do usuário do Amazon Simple Storage Service.

• SSE-KMS — Você pode configurar seu compartilhamento de arquivos para usar criptografia do lado do servidor com chaves gerenciadas (). AWS Key Management Service AWS KMS AWS KMS é um serviço que combina hardware e software seguros e altamente disponíveis para fornecer um sistema de gerenciamento de chaves dimensionado para a nuvem. Para obter mais informações, consulte O que é o AWS Key Management Service? no Guia do AWS Key Management Service desenvolvedor.

• DSSE-KMS — A criptografia de duas camadas do lado do servidor com AWS KMS chaves aplica duas camadas de criptografia aos objetos quando eles são carregados no Amazon S3. Isso ajuda a cumprir os padrões de conformidade para criptografia multicamada. Para obter mais informações, consulte Usando criptografia de camada dupla no lado do servidor com chaves AWS KMS no Guia do usuário do Amazon Simple Storage Service.

  nota

  Há cobranças adicionais pelo uso do DSSE-KMS e das chaves. AWS KMS Para obter mais informações, consulte Preços do AWS KMS.

Você pode especificar um método de criptografia ao criar um novo compartilhamento de arquivos usando o console do Storage Gateway ou a API do Storage Gateway. Para procedimentos do console, consulte Crie um compartilhamento de arquivos NFS com uma configuração personalizada ouCrie um compartilhamento de arquivos SMB com uma configuração personalizada. Para obter informações sobre os comandos de API correspondentes, consulte Create NFSFile Share ou Create SMBFile Share na Referência da API do AWS Storage Gateway.

Você também pode atualizar as configurações de criptografia de um compartilhamento de arquivos existente usando o console do Storage Gateway ou a API do Storage Gateway. Para o procedimento do console, consulteAlterar o método de criptografia do lado do servidor para um compartilhamento de arquivos existente. Para obter informações sobre os comandos de API correspondentes, consulte Update NFSFile Share ou Update SMBFile Share na Referência da API do AWS Storage Gateway.

nota

Depois de atualizar o método de criptografia, o gateway usa o novo método para todos os novos objetos criados no Amazon S3 e para qualquer objeto armazenado que ele atualize ou modifique no futuro. Os objetos existentes do Amazon S3 só receberão o novo método de criptografia se forem atualizados ou modificados pelo gateway.

Importante

Certifique-se de que seu compartilhamento de arquivos use o mesmo tipo de criptografia do bucket do Amazon S3 em que armazena seus dados.

Se você configurar seu gateway de arquivos para usar SSE-KMS ou DSSE-KMS para criptografia, deverá adicionar manualmente,kms:Encrypt,, kms:Decrypt kms:ReEncrypt*kms:GenerateDataKey, e kms:DescribeKey permissões à função do IAM associada ao compartilhamento de arquivos. Para obter mais informações, consulte Como usar políticas baseadas em identidade (políticas do IAM) para o Storage Gateway.