Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Erforderliche KMS-Schlüsselrichtlinie für die Verwendung mit verschlüsselten EBS-Volumes in AWS STCK
AWS PCS verwendet [ dienstgebundene Rollen](service-linked-roles.md), um Berechtigungen an andere zu delegieren. AWS-Services Die dienstgebundene AWS PCS-Rolle ist vordefiniert und beinhaltet Berechtigungen, die AWS PCS benötigt, um andere AWS-Services in Ihrem Namen anzurufen. Zu den vordefinierten Berechtigungen gehört auch der Zugriff auf Ihre Schlüssel, Von AWS verwaltete Schlüssel jedoch nicht auf Ihre vom Kunden verwalteten Schlüssel.
In diesem Thema wird beschrieben, wie Sie die Schlüsselrichtlinie einrichten, die zum Starten von Instances erforderlich ist, wenn Sie einen vom Kunden verwalteten Schlüssel für die Amazon EBS-Verschlüsselung angeben.
**Anmerkung**
AWS PCS benötigt keine zusätzliche Autorisierung, um die Standardeinstellung Von AWS verwalteter Schlüssel zum Schutz der verschlüsselten Volumes in Ihrem Konto zu verwenden.
**Contents**
+ [-Übersicht](#overview)
+ [Konfigurieren von Schlüsselrichtlinien](#configuring-key-policies)
+ [Beispiel 1: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel erlauben](#policy-example-cmk-access)
+ [Beispiel 2: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel über mehrere Konten erlauben](#policy-example-cmk-cross-account-access)
+ [Bearbeiten Sie die wichtigsten Richtlinien in der AWS KMS Konsole](#eding-key-policies-console)
## -Übersicht
Sie können Folgendes AWS KMS keys für die Amazon EBS-Verschlüsselung verwenden, wenn AWS PCS Instances startet:
+ [Von AWS verwalteter Schlüssel](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk)— Ein Verschlüsselungsschlüssel in Ihrem Konto, den Amazon EBS erstellt, besitzt und verwaltet. Dies ist der Standardverschlüsselungsschlüssel für ein neues Konto. Amazon EBS verwendet den Von AWS verwalteter Schlüssel für die Verschlüsselung, sofern Sie keinen vom Kunden verwalteten Schlüssel angeben.
+ [Kundenverwalteter Schlüssel](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk) – Ein benutzerdefinierter Verschlüsselungsschlüssel, den Sie erstellen, besitzen und verwalten. Weitere Informationen finden Sie [ im *AWS Key Management Service Entwicklerhandbuch * unter ](https://docs.aws.amazon.com/kms/latest/developerguide/create-keys.html) Erstellen eines KMS-Schlüssels.
**Anmerkung**
Der Schlüssel muss symmetrisch sein. Amazon EBS unterstützt keine asymmetrischen, vom Kunden verwalteten Schlüssel.
Sie konfigurieren vom Kunden verwaltete Schlüssel, wenn Sie verschlüsselte Snapshots oder eine Startvorlage erstellen, die verschlüsselte Volumes spezifiziert, oder wenn Sie die Verschlüsselung standardmäßig aktivieren.
## Konfigurieren von Schlüsselrichtlinien
Ihre KMS-Schlüssel müssen über eine Schlüsselrichtlinie verfügen, die es AWS PCS ermöglicht, Instances mit Amazon EBS-Volumes zu starten, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt sind.
Verwenden Sie die Beispiele auf dieser Seite, um eine Schlüsselrichtlinie zu konfigurieren, die AWS PCS Zugriff auf Ihren vom Kunden verwalteten Schlüssel gewährt. Sie können die Schlüsselrichtlinie des vom Kunden verwalteten Schlüssels bei der Erstellung des Schlüssels oder zu einem späteren Zeitpunkt ändern.
Die Schlüsselrichtlinie muss die folgenden Aussagen enthalten:
+ Eine Anweisung, die es der im `Principal` Element angegebenen IAM-Identität ermöglicht, den vom Kunden verwalteten Schlüssel direkt zu verwenden. Sie beinhaltet Berechtigungen zur Ausführung der `DescribeKey` Operationen AWS KMS `Encrypt``Decrypt`,`ReEncrypt*`,`GenerateDataKey*`, und mit dem Schlüssel.
+ Eine Anweisung, die es der im `Principal` Element angegebenen IAM-Identität ermöglicht, den `CreateGrant` Vorgang zur Generierung von Zuweisungen zu verwenden, mit denen eine Teilmenge ihrer eigenen Berechtigungen an einen integrierten AWS KMS oder einen anderen AWS-Services Prinzipal delegiert wird. Auf diese Weise können sie den Schlüssel verwenden, um in Ihrem Namen verschlüsselte Ressourcen zu erstellen.
Ändern Sie keine vorhandenen Aussagen in der Richtlinie, wenn Sie die neuen Richtlinienerklärungen zu Ihrer wichtigsten Richtlinie hinzufügen.
Weitere Informationen finden Sie unter:
+ [create-key ](https://docs.aws.amazon.com/cli/latest/reference/kms/create-key.html) in der Befehlsreferenz *AWS CLI *
+ [https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html](https://docs.aws.amazon.com/cli/latest/reference/kms/put-key-policy.html)put-key-policy in der Befehlsreferenz *AWS CLI *
+ [Die Schlüssel-ID und den Schlüssel-ARN ](https://docs.aws.amazon.com/kms/latest/developerguide/find-cmk-id-arn.html) finden Sie im Entwicklerhandbuch *AWS Key Management Service *
+ [Service-linked Rollen für AWS 5 STÜCK](service-linked-roles.md)
+ [Amazon EBS-Verschlüsselung ](https://docs.aws.amazon.com/ebs/latest/userguide/ebs-encryption.html) im * Amazon EBS-Benutzerhandbuch *
+ [AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/)im Entwicklerhandbuch *AWS Key Management Service *
## Beispiel 1: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel erlauben
Fügen Sie der Schlüsselrichtlinie des vom Kunden verwalteten Schlüssels die folgenden Richtlinienerklärungen hinzu. Ersetzen Sie den Beispiel-ARN durch den ARN Ihrer `AWSServiceRoleForPCS` serviceverknüpften Rolle. Diese Beispielrichtlinie erteilt der dienstverknüpften Rolle (`AWSServiceRoleForPCS`) von AWS PCS die Berechtigung, den vom Kunden verwalteten Schlüssel zu verwenden.
```
{
"Sid": "Allow service-linked role use of the customer managed key",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::{{account-id}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
]
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
}
```
```
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::{{account-id}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
]
},
"Action": [
"kms:CreateGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": true
}
}
}
```
## Beispiel 2: Schlüsselrichtlinienabschnitte, welche Zugriff auf den kundenverwalteten Schlüssel über mehrere Konten erlauben
Wenn Sie einen vom Kunden verwalteten Schlüssel in einem anderen Konto als Ihrem AWS PCS-Cluster erstellen, müssen Sie einen ** Zuschuss ** in Kombination mit der Schlüsselrichtlinie verwenden, um den kontoübergreifenden Zugriff auf den Schlüssel zu ermöglichen.
**Um Zugriff auf den Schlüssel zu gewähren**
1. Fügen Sie der Schlüsselrichtlinie des vom Kunden verwalteten Schlüssels die folgenden Richtlinienerklärungen hinzu. Ersetzen Sie den Beispiel-ARN durch den ARN des anderen Kontos. {{111122223333}}Ersetzen Sie es durch die tatsächliche Konto-ID des Kontos AWS-Konto , in dem Sie den AWS PCS-Cluster erstellen möchten. Damit können Sie einem IAM-Benutzer oder einer IAM-Rolle im angegebenen Konto die Berechtigung erteilen, mit dem folgenden CLI-Befehl eine Berechtigung für den Schlüssel zu erstellen. Standardmäßig haben Benutzer keinen Zugriff auf den Schlüssel.
```
{.
"Sid": "Allow external account {{111122223333}} use of the customer managed key",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::{{111122223333}}:root"
]
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
}
```
```
{
"Sid": "Allow attachment of persistent resources in external account {{111122223333}}",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::{{111122223333}}:root"
]
},
"Action": [
"kms:CreateGrant"
],
"Resource": "*"
}
```
1. Erstellen Sie von dem Konto aus, in dem Sie den AWS PCS-Cluster erstellen möchten, einen Grant, der die entsprechenden Berechtigungen an die mit dem AWS PCS-Dienst verknüpfte Rolle delegiert. Der Wert von `grantee-principal` ist der ARN der dienstverknüpften Rolle. Der Wert von `key-id` ist der ARN des Schlüssels.
Das folgende Beispiel für den [ CLI-Befehl ](https://docs.aws.amazon.com/cli/latest/reference/kms/create-grant.html) create-grant erteilt der im Konto genannten dienstverknüpften Rolle die {{111122223333}} Berechtigungen, den vom Kunden verwalteten Schlüssel `AWSServiceRoleForPCS` im Konto zu verwenden. {{444455556666}}
```
aws kms create-grant \
--region {{us-west-2}} \
--key-id {{arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d}} \
--grantee-principal arn:aws:iam::{{111122223333}}:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS \
--operations "Encrypt" "Decrypt" "ReEncryptFrom" "ReEncryptTo" "GenerateDataKey" "GenerateDataKeyWithoutPlaintext" "DescribeKey" "CreateGrant"
```
**Anmerkung**
Der Benutzer, der die Anfrage stellt, muss über Berechtigungen verfügen, um die Aktion verwenden zu können. `kms:CreateGrant`
Das folgende Beispiel für eine IAM-Richtlinie ermöglicht es einer IAM-Identität (Benutzer oder Rolle) im Konto, einen Zuschuss für das vom Kunden verwaltete Key-in-Konto {{111122223333}} zu gewähren. {{444455556666}}
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowCreationOfGrantForTheKMSKeyinExternalAccount{{444455556666}}",
"Effect": "Allow",
"Action": "kms:CreateGrant",
"Resource": "{{arn:aws:kms:us-west-2:444455556666:key/1a2b3c4d-5e6f-1a2b-3c4d-5e6f1a2b3c4d}}"
}
]
}
```
------
Weitere Informationen über die Erstellung eines Zuschusses für einen KMS-Schlüssel in einem anderen AWS-Konto, finden Sie unter [Berechtigungserteilungen in AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/grants.html) im *AWS Key Management Service -Entwicklerhandbuch*.
**Wichtig**
Der Name der serviceverknüpften Rolle, der als Prinzipal des Empfängers angegeben wird, muss der Name einer vorhandenen Rolle sein. Um sicherzustellen, dass AWS PCS durch den Zuschuss den angegebenen KMS-Schlüssel verwenden kann, löschen Sie die serviceverknüpfte Rolle nicht und erstellen Sie sie erneut.
## Bearbeiten Sie die wichtigsten Richtlinien in der AWS KMS Konsole
Die Beispiele in den vorherigen Abschnitten zeigen nur, wie einer Schlüsselrichtlinie Anweisungen hinzugefügt werden, was nur eine Möglichkeit darstellt, eine Schlüsselrichtlinie zu ändern. Der einfachste Weg, eine wichtige Richtlinie zu ändern, besteht darin, die Standardansicht der AWS KMS Konsole für wichtige Richtlinien zu verwenden und eine IAM-Identität (Benutzer oder Rolle) zu einem der * Hauptbenutzer * für die entsprechende Schlüsselrichtlinie zu machen. Weitere Informationen finden Sie im *AWS Key Management Service Entwicklerhandbuch* [unter Verwenden ](https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-modifying.html#key-policy-modifying-how-to-console-default-view) der AWS-Managementkonsole Standardansicht.
**Warnung**
Die Richtlinien für die Standardansicht der Konsole beinhalten Berechtigungen zur Ausführung von AWS KMS `Revoke` Vorgängen mit dem vom Kunden verwalteten Schlüssel. Wenn Sie eine Genehmigung entziehen, die Ihnen AWS-Konto den Zugriff auf einen vom Kunden verwalteten Schlüssel in Ihrem Konto gewährt hat, AWS-Konto verlieren die Benutzer dieser Lizenz den Zugriff auf die verschlüsselten Daten und den Schlüssel.