Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

La política de claves de KMS requerida para su uso con volúmenes de EBS cifrados en AWS PC

AWS PCS usa funciones vinculadas a servicios para delegar permisos a otros. Servicios de AWS La función vinculada a un servicio de AWS PCS está predefinida e incluye los permisos que AWS PCS necesita para llamar a otras Servicios de AWS personas en su nombre. Los permisos predefinidos también incluyen el acceso a sus claves administradas por el cliente Claves administradas por AWS , pero no a las de sus clientes.

En este tema se describe cómo configurar la política de claves necesaria para lanzar instancias cuando se especifica una clave gestionada por el cliente para el cifrado de Amazon EBS.

Descripción general de

Puede usar lo siguiente AWS KMS keys para el cifrado de Amazon EBS cuando AWS PCS lance instancias:

Las claves administradas por el cliente se configuran cuando se crean instantáneas cifradas o una plantilla de lanzamiento que especifica los volúmenes cifrados, o cuando se decide habilitar el cifrado de forma predeterminada.

Configuración de las políticas de claves

Sus claves de KMS deben tener una política de claves que permita a AWS PCS lanzar instancias con volúmenes de Amazon EBS cifrados con una clave gestionada por el cliente.

Utilice los ejemplos de esta página para configurar una política de claves que permita a AWS PCS acceder a la clave gestionada por el cliente. Puede modificar la política de claves de la clave gestionada por el cliente al crear la clave o más adelante.

La política de claves debe incluir las siguientes afirmaciones:

No cambies ninguna declaración existente en la política cuando añadas las nuevas declaraciones de política a tu política clave.

Para obtener más información, consulte lo siguiente:

Ejemplo 1: secciones de la política de claves que permiten el acceso a la clave administrada por el cliente

Añada las siguientes declaraciones de política a la política de claves de la clave gestionada por el cliente. Sustituya el ARN de ejemplo por el ARN de su rol vinculado al AWSServiceRoleForPCS servicio. Este ejemplo de política otorga al rol vinculado al servicio (AWSServiceRoleForPCS) de AWS PCS permisos para usar la clave administrada por el cliente.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Ejemplo 2: secciones de la política de claves que permiten el acceso entre cuentas a la clave administrada por el cliente

Si crea una clave gestionada por el cliente en una cuenta diferente a la de su clúster de AWS PCS, debe usar una concesión en combinación con la política de claves para permitir el acceso a la clave desde varias cuentas.

Edite las políticas clave en el AWS KMS consola

En los ejemplos que aparecen en las secciones anteriores, solo se explica cómo agregar instrucciones a una política de claves, que es una de las múltiples formas de cambiar una de dichas políticas. La forma más sencilla de cambiar una política de claves es utilizar la vista predeterminada de la AWS KMS consola para las políticas de claves y hacer que una identidad de IAM (usuario o rol) sea uno de los usuarios clave de la política de claves adecuada. Para obtener más información, consulta Cómo usar la vista Consola de administración de AWS predeterminada en la Guía para AWS Key Management Service desarrolladores.