# Cifrado de datos en tránsito
Puede montar un sistema de archivos para que todo el tráfico NFS se cifre en tránsito mediante Seguridad de la capa de transporte 1.2 (TLS) con un cifrado AES-256 estándar del sector. TLS es un conjunto de protocolos criptográficos estándar del sector que se utilizan para cifrar la información que se intercambia a través de la red. AES-256 es un cifrado de 256 bits que se utiliza para la transmisión de datos en TLS. Recomendamos configurar el cifrado en tránsito en cada cliente que acceda al sistema de archivos.
Puede utilizar políticas de IAM para aplicar el cifrado en tránsito para el acceso de los clientes de NFS a Amazon EFS. Cuando un cliente se conecta a un sistema de archivos, Amazon EFS evalúa la política de recursos de IAM del sistema de archivos, conocida como política del sistema de archivos, junto con las políticas de IAM basadas en la identidad de para determinar los permisos de acceso del sistema de archivos que se deben conceder. Puede usar la clave de condición `aws:SecureTransport` en la política de recursos del sistema de archivos para obligar a los clientes NFS a usar TLS al conectarse a un sistema de archivos EFS.
**nota**
Debe utilizar el ayudante de montaje EFS para montar sus sistemas de archivos de Amazon EFS con el fin de utilizar la autorización de IAM para controlar el acceso de los clientes NFS. Para obtener más información, consulte [Montaje con autorización de IAM](https://docs.aws.amazon.com/efs/latest/ug/mounting-fs-mount-helper.html#mounting-IAM-option) en la *Guía del usuario de Amazon EFS*.
El siguiente ejemplo de política del sistema de archivos EFS impone el cifrado en tránsito y tiene las siguientes características:
+ El valor de `effect` es `allow`.
+ El principio se establece en `*` para todas las entidades de IAM.
+ La acción se establece en `ClientMount`, `ClientWrite`, `ClientRootAccess`.
+ La condición para conceder permisos se establece en `SecureTransport`. Solo se concede acceso a los clientes NFS que utilizan TLS para conectarse al sistema de archivos.
```
{
“Version”: “2012-10-17”,
“Id”: “ExamplePolicy01”,
“Statement”: [
{
“Sid”: “VisualEditior0”,
“Effect”: “Allow”,
“Principal”: {
“AWS”: “*”,
},
“Action”: [
“elasticfilesystem:ClientRootAccess”,
“elasticfilesystem:ClientMount”,
“elasticfilesystem:ClientWrite”
],
“Condition”: {
“Bool”: {
“aws:SecureTransport”: “true”
}
}
}
]
}
```
Puede crear una política de sistema de archivos mediante la consola de Amazon EFS o mediante AWS CLI.
Para crear una política del sistema de archivos mediante la consola de EFS:
1. Abra la [consola de Amazon EFS](https://console.aws.amazon.com/efs).
1. Seleccione **File systems** (Sistemas de archivos).
1. En la página File systems (Sistemas de archivos), elija el sistema de archivos para el que desea editar o crear una política de sistema de archivos. Se muestra la página de detalles de dicho sistema de archivos.
1. Seleccione **File system policy** (Política de sistema de archivos) y, a continuación, **Edit** (Editar). Aparece la página File system policy (Política del sistema de archivos).
* Crear política del sistema de archivos *
1. En **Policy options** (Opciones de política), le recomendamos que elija las siguientes opciones de política preconfiguradas disponibles:
+ Impedir el acceso raíz de forma predeterminada
+ Imponer el acceso de solo lectura de forma predeterminada
+ Imponer el cifrado en tránsito para todos los clientes
Si elige una política preconfigurada, el objeto JSON de la política se muestra en el panel **Policy editor** (Editor de políticas).
1. Use **Grant additional permissions** (Otorgar permisos adicionales) para conceder permisos del sistema de archivos a entidades principales de IAM adicionales, incluida otra cuenta de AWS. Elija **Add** (Agregar), luego ingrese el ARN principal de la entidad a la que le está otorgando permisos y, a continuación, elija los **permisos** que se vayan a otorgar.
1. Utilice el **editor de políticas** para personalizar una política preconfigurada o crear su propia política basándose en los requisitos. Al utilizar el editor, las opciones de políticas preconfiguradas dejan de estar disponibles. Para deshacer los cambios en las políticas, seleccione **Clear** (Borrar).
Al borrar el editor, las políticas preconfiguradas vuelven a estar disponibles.
1. Tras finalizar la edición o creación de la política, seleccione **Save ** (Guardar).
Aparece la página de detalles del sistema de archivos, en la que se muestra la política en **File system policy** (Política de sistema de archivos).
También puede crear una política de sistema de archivos mediante programación utilizando AWS CloudFormation, los SDK de AWS o la API de Amazon EFS directamente. Para obtener más información sobre la creación de políticas del sistema de archivos, consulte [Creación de políticas del sistema de archivos](https://docs.aws.amazon.com/efs/latest/ug/create-file-system-policy.html) en la *Guía del usuario de Amazon EFS*.
## Configuración del cifrado de datos en tránsito
Para configurar el cifrado de los datos en tránsito, le recomendamos que descargue el ayudante de montaje EFS en cada cliente. El ayudante de montaje de EFS es una utilidad de código abierto que AWS proporciona para simplificar el uso de EFS, incluida la configuración del cifrado de datos en tránsito. El ayudante de montaje utiliza las opciones de montaje recomendadas por EFS de forma predeterminada.
El ayudante de montaje de EFS se admite en las siguientes distribuciones de Linux:
+ Amazon Linux 2017.09\+
+ Amazon Linux 2\+
+ Debian 9\+
+ Fedora 28\+
+ Red Hat Enterprise Linux / CentOS 7\+
+ Ubuntu 16.04\+
Para configurar el cifrado de los datos en tránsito:
1. Instale el ayudante de montaje de EFS:
+ En Amazon Linux, use este comando:
```
sudo yum install -y amazon-efs-utils
```
+ En ara otras distribuciones de Linux, descárguelo de GitHub e instálelo.
El paquete amazon-efs-utils instala automáticamente las siguientes dependencias: cliente NFS (nfs-utils), retransmisión de red (stunnel), OpenSSL y Python.
1. Monte el sistema de archivos:
```
sudo mount -t efs -o tls {{file-system-id}}
{{efs-mount-point}}
```
+ `mount -t efs` invoca al ayudante de montaje de EFS.
+ No se admite el uso del nombre DNS del sistema de archivos o la dirección IP de un destino de montaje cuando se monta con el ayudante de montaje de EFS; en su lugar, use el identificador del sistema de archivos.
+ El ayudante de montaje EFS utiliza las opciones de montaje recomendadas por AWS de forma predeterminada. No se recomienda anular estas opciones de montaje predeterminadas, pero proporcionamos la flexibilidad de hacerlo cuando surja la ocasión. Le recomendamos que pruebe a fondo cualquier anulación de las opciones de montaje para que comprenda cómo afectan estos cambios al acceso al sistema de archivos y al rendimiento.
+ La siguiente tabla representa las opciones de montaje predeterminadas que utiliza el ayudante de montaje de EFS.
[See the AWS documentation website for more details](http://docs.aws.amazon.com/es_es/whitepapers/latest/efs-encrypted-file-systems/encryption-of-data-in-transit.html)
+ Agregue la siguiente línea a `/etc/fstab` para volver montar automáticamente el sistema de archivos después de reiniciar el sistema.
```
{{file-system-id}} {{efs-mount-point}} efs _netdev, tls, iam 0 0
```
## Utilización del cifrado de datos en tránsito
Si su organización está sujeta a políticas corporativas o regulatorias que requieren el cifrado de los datos en tránsito, le recomendamos usar el cifrado de los datos en tránsito en cada cliente que acceda al sistema de archivos. El cifrado y el descifrado se configuran en el nivel de conexión y agregan otra capa de seguridad.
El montaje del sistema de archivos con el ayudante de montaje de EFS configura y mantiene un túnel TLS 1.2 entre el cliente y Amazon EFS, y dirige todo el tráfico de NFS a través de este túnel cifrado. El certificado utilizado para establecer la conexión TLS cifrada está firmado por la Autoridad de Certificación (CA) de Amazon y la mayoría de las distribuciones de Linux modernas confían en él. El ayudante de montaje de EFS también genera un proceso de vigilancia para supervisar todos los túneles seguros a cada sistema de archivos y garantizar que se estén ejecutando.
Después de utilizar el ayudante de montaje de EFS para establecer conexiones cifradas con Amazon EFS, no se requiere ninguna otra entrada o configuración del usuario. El cifrado es transparente para las conexiones de usuario y las aplicaciones que acceden al sistema de archivos
Después de montar y establecer correctamente una conexión cifrada a un sistema de archivos de EFS mediante el ayudante de montaje de EFS, el resultado de un comando mount muestra que el sistema de archivos está montado y que se ha establecido un túnel cifrado utilizando el host local (127.0.0.1) como retransmisión de red. Consulte el siguiente ejemplo de resultado.
```
127.0.0.1:/ on {{efs-mount-point}} type nfs4
(rw,relatime,vers=4.1,rsize=1048576,wsize=1048576,namlen=255,hard,proto=tcp,port=20059,timeo=600,retrans=2,sec=sys,clientaddr=127.0.0.1,local_lock=none,addr=127.0.0.1)
```
Para asignar un `efs-mount-point` a un sistema de archivos de EFS, consulte el archivo mount.log en `/var/log/amazon/efs` y busque la última operación de montaje correcta. Esto se puede hacer con el siguiente comando grep simple.
```
grep -E "Successfully
mounted.*{{efs-mount-point}}"
/var/log/amazon/efs/mount.log | tail -1
```
El resultado de este comando grep devolverá el nombre DNS del sistema de archivos EFS montado. Consulte el resultado de ejemplo a continuación.
```
2018-03-15 07:03:42,363 - INFO - Successfully mounted
{{file-system-id}}.efs.{{region}}.amazonaws.com
at {{efs-mount-point}}
```