View a markdown version of this page

Persyaratan untuk enkripsi Amazon EBS - Amazon EBS
Tipe volume yang mendukungTipe instans yang didukungIzin untuk penggunaIzin untuk instans

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Persyaratan untuk enkripsi Amazon EBS

Sebelum memulai, verifikasi bahwa persyaratan berikut dipenuhi.

Tipe volume yang mendukung

Enkripsi mendukung oleh semua tipe volume EBS. Anda dapat mengharapkan performa IOPS yang sama pada volume terenkripsi seperti pada volume yang tidak terenkripsi, dengan efek minimal pada latensi. Anda dapat mengakses volume terenkripsi dengan cara yang sama seperti Anda mengakses volume yang tidak terenkripsi. Enkripsi dan dekripsi ditangani secara transparan, dan tidak memerlukan tindakan tambahan dari Anda atau aplikasi Anda.

Tipe instans yang didukung

Enkripsi Amazon EBS tersedia di semua jenis instans generasi saat ini dan generasi sebelumnya.

Izin untuk pengguna

Saat Anda menggunakan kunci KMS untuk enkripsi EBS, kebijakan kunci KMS memungkinkan setiap pengguna dengan akses ke AWS KMS tindakan yang diperlukan untuk menggunakan kunci KMS ini untuk mengenkripsi atau mendekripsi sumber daya EBS. Anda harus memberikan izin kepada pengguna untuk melakukan tindakan berikut agar dapat menggunakan enkripsi EBS:

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

  • kms:GenerateDataKeyWithoutPlaintext

  • kms:ReEncrypt

Tip

Untuk mengikuti prinsip hak akses paling rendah, jangan biarkan akses penuh ke kms:CreateGrant. Sebagai gantinya, gunakan kunci kms:GrantIsForAWSResource kondisi untuk mengizinkan pengguna membuat hibah pada kunci KMS hanya ketika hibah dibuat atas nama pengguna oleh AWS layanan, seperti yang ditunjukkan pada contoh berikut.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kms:CreateGrant",
            "Resource": [
                "arn:aws:kms:us-east-2:123456789012:key/abcd1234-a123-456d-a12b-a123b4cd56ef"
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

Untuk informasi selengkapnya, lihat Mengiz inkan akses ke AWS akun dan mengaktifkan kebijakan IAM di bagian Kebijakan kunci default di Panduan Peng AWS Key Management Service embang.

Izin untuk instans

Saat instans mencoba berinteraksi dengan AMI, volume, atau snapshot terenkripsi, pemberian kunci KMS dikeluarkan untuk peran khusus identitas instans. Peran khusus identitas adalah peran IAM yang digunakan oleh instans untuk berinteraksi dengan AMI, volume, atau snapshot yang terenkripsi atas nama Anda.

Identity-only peran tidak perlu dibuat atau dihapus secara manual, dan mereka tidak memiliki kebijakan yang terkait dengannya. Selain itu, Anda tidak dapat mengakses kredensial peran khusus identitas.

catatan

Identity-only peran tidak digunakan oleh aplikasi pada instans Anda untuk mengakses sumber daya AWS KMS terenkripsi lainnya, seperti objek Amazon S3 atau tabel Dynamo DB. Operasi ini dilakukan menggunakan kredensional peran instans Amazon EC2, atau AWS kredenSIAL lain yang telah Anda konfigurasi pada instans Anda.

Identity-only peran tunduk pada kebijakan kontrol layanan (SCP), dan kebijakan kunci KMS. Jika kunci SCP atau KMS menolak akses peran identitas saja ke kunci KMS, Anda mungkin gagal meluncurkan instans EC2 dengan volume terenkripsi, atau menggunakan AMI atau snapshot terenkripsi.

Jika Anda membuat SCP atau kebijakan kunci yang menolak akses berdasarkan lokasi jaringan menggunakan kunci kondisiaws:SourceIp,aws:VpcSourceIp,aws:SourceVpc, atau aws:SourceVpce AWS global, maka Anda harus memastikan bahwa pernyataan kebijakan ini tidak berlaku untuk peran khusus instance. Untuk contoh kebijakan, lihat Contoh Kebijakan Perimeter Data.

Identity-only peran ARN menggunakan format berikut:

arn:aws-partition:iam::account_id:role/aws:ec2-infrastructure/instance_id

Ketika pemberian kunci diberikan kepada sebuah instans, pemberian kunci tersebut dikeluarkan untuk sesi peran yang diasumsikan khusus untuk instans tersebut. ARN pengguna utama penerima menggunakan format berikut:

arn:aws-partition:sts::account_id:assumed-role/aws:ec2-infrastructure/instance_id