Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Politique de clé KMS requise pour une utilisation avec des volumes EBS chiffrés dans AWS PIÈCES

AWS PCS utilise des rôles liés à des services pour déléguer des autorisations à d'autres. Services AWS Le rôle lié au service AWS PCS est prédéfini et inclut les autorisations dont AWS PCS a besoin pour appeler d'autres personnes en votre Services AWS nom. Les autorisations prédéfinies incluent également l'accès à vos clés gérées par le client Clés gérées par AWS , mais pas à celles de vos clients.

Cette rubrique explique comment configurer la politique de clé requise pour lancer des instances lorsque vous spécifiez une clé gérée par le client pour le chiffrement Amazon EBS.

Vue d’ensemble

Vous pouvez utiliser les éléments suivants AWS KMS keys pour le chiffrement Amazon EBS lorsque AWS PCS lance des instances :

Vous configurez des clés gérées par le client lorsque vous créez des instantanés chiffrés ou un modèle de lancement qui spécifie des volumes chiffrés, ou lorsque vous choisissez d'activer le chiffrement par défaut.

Configurer des politiques de clé

Vos clés KMS doivent avoir une politique de clé qui permet à AWS PCS de lancer des instances avec des volumes Amazon EBS chiffrés avec une clé gérée par le client.

Utilisez les exemples de cette page pour configurer une politique de clé permettant à AWS PCS d'accéder à votre clé gérée par le client. Vous pouvez modifier la politique de clé de la clé gérée par le client lorsque vous créez la clé ou ultérieurement.

La politique clé doit comporter les déclarations suivantes :

Ne modifiez aucune déclaration existante dans la politique lorsque vous ajoutez les nouvelles déclarations de politique à votre politique principale.

Pour plus d’informations, consultez :

Exemple 1 : sections de la politique de clé qui autorisent l'accès à la clé gérée par le client

Ajoutez les déclarations de politique suivantes à la politique de clé de la clé gérée par le client. Remplacez l'exemple d'ARN par l'ARN de votre rôle AWSServiceRoleForPCS lié à un service. Cet exemple de politique donne au rôle lié au service AWS PCS (AWSServiceRoleForPCS) l'autorisation d'utiliser la clé gérée par le client.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Exemple 2 : sections de la politique de clé autorisant l'accès entre comptes à la clé gérée par le client

Si vous créez une clé gérée par le client dans un compte différent de celui de votre cluster AWS PCS, vous devez utiliser une autorisation en combinaison avec la politique de clé pour autoriser l'accès à la clé entre comptes.

Modifiez les politiques clés dans AWS KMS console

Les exemples des sections précédentes montrent comment ajouter des déclarations à une politique de clé, qui est simplement un moyen de modifier une politique de clé. Le moyen le plus simple de modifier une politique clé consiste à utiliser la vue par défaut de la AWS KMS console pour les politiques clés et à faire d'une identité IAM (utilisateur ou rôle) l'un des utilisateurs clés de la stratégie clé appropriée. Pour plus d'informations, consultez la section Utilisation de l'affichage Console de gestion AWS par défaut dans le Guide du AWS Key Management Service développeur.