Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erforderliche KMS-Schlüsselrichtlinie für die Verwendung mit verschlüsselten EBS-Volumes in AWS STCK

AWS PCS verwendet dienstgebundene Rollen, um Berechtigungen an andere zu delegieren. AWS-Services Die dienstgebundene AWS PCS-Rolle ist vordefiniert und beinhaltet Berechtigungen, die AWS PCS benötigt, um andere AWS-Services in Ihrem Namen anzurufen. Zu den vordefinierten Berechtigungen gehört auch der Zugriff auf Ihre Schlüssel, Von AWS verwaltete Schlüssel jedoch nicht auf Ihre vom Kunden verwalteten Schlüssel.

In diesem Thema wird beschrieben, wie Sie die Schlüsselrichtlinie einrichten, die zum Starten von Instances erforderlich ist, wenn Sie einen vom Kunden verwalteten Schlüssel für die Amazon EBS-Verschlüsselung angeben.

-Übersicht

Sie können Folgendes AWS KMS keys für die Amazon EBS-Verschlüsselung verwenden, wenn AWS PCS Instances startet:

Sie konfigurieren vom Kunden verwaltete Schlüssel, wenn Sie verschlüsselte Snapshots oder eine Startvorlage erstellen, die verschlüsselte Volumes spezifiziert, oder wenn Sie die Verschlüsselung standardmäßig aktivieren.

Konfigurieren von Schlüsselrichtlinien

Ihre KMS-Schlüssel müssen über eine Schlüsselrichtlinie verfügen, die es AWS PCS ermöglicht, Instances mit Amazon EBS-Volumes zu starten, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt sind.

Verwenden Sie die Beispiele auf dieser Seite, um eine Schlüsselrichtlinie zu konfigurieren, die AWS PCS Zugriff auf Ihren vom Kunden verwalteten Schlüssel gewährt. Sie können die Schlüsselrichtlinie des vom Kunden verwalteten Schlüssels bei der Erstellung des Schlüssels oder zu einem späteren Zeitpunkt ändern.

Die Schlüsselrichtlinie muss die folgenden Aussagen enthalten:

Ändern Sie keine vorhandenen Aussagen in der Richtlinie, wenn Sie die neuen Richtlinienerklärungen zu Ihrer wichtigsten Richtlinie hinzufügen.

Weitere Informationen finden Sie unter:

Beispiel 1: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel erlauben

Fügen Sie der Schlüsselrichtlinie des vom Kunden verwalteten Schlüssels die folgenden Richtlinienerklärungen hinzu. Ersetzen Sie den Beispiel-ARN durch den ARN Ihrer AWSServiceRoleForPCS serviceverknüpften Rolle. Diese Beispielrichtlinie erteilt der dienstverknüpften Rolle (AWSServiceRoleForPCS) von AWS PCS die Berechtigung, den vom Kunden verwalteten Schlüssel zu verwenden.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Beispiel 2: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel über mehrere Konten erlauben

Wenn Sie einen vom Kunden verwalteten Schlüssel in einem anderen Konto als Ihrem AWS PCS-Cluster erstellen, müssen Sie einen Zuschuss in Kombination mit der Schlüsselrichtlinie verwenden, um den kontoübergreifenden Zugriff auf den Schlüssel zu ermöglichen.

Bearbeiten Sie die wichtigsten Richtlinien in der AWS KMS Konsole

Die Beispiele in den vorherigen Abschnitten zeigen nur, wie einer Schlüsselrichtlinie Anweisungen hinzugefügt werden, was nur eine Möglichkeit darstellt, eine Schlüsselrichtlinie zu ändern. Der einfachste Weg, eine wichtige Richtlinie zu ändern, besteht darin, die Standardansicht der AWS KMS Konsole für wichtige Richtlinien zu verwenden und eine IAM-Identität (Benutzer oder Rolle) zu einem der Hauptbenutzer für die entsprechende Schlüsselrichtlinie zu machen. Weitere Informationen finden Sie im AWS Key Management Service Entwicklerhandbuch unter Verwenden der AWS-Managementkonsole Standardansicht.