Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Policy AWS KMS chiave richiesta per l'uso con volumi crittografati

Amazon EC2 Auto Scaling utilizza ruoli collegati ai servizi per delegare le autorizzazioni ad altri. AWS servizi I ruoli collegati ai servizi di Amazon EC2 Auto Scaling sono predefiniti e includono le autorizzazioni richieste da Amazon Auto Scaling EC2 per chiamare altre persone per tuo conto. AWS servizi Le autorizzazioni predefinite includono anche l'accesso ai tuoi. Chiavi gestite da AWS Tuttavia, non includono l'accesso alle chiavi gestite dal cliente, permettendoti di mantenere il pieno controllo su queste chiavi.

Questo argomento descrive come configurare la policy chiave necessaria per avviare le istanze di Auto Scaling quando si specifica una chiave gestita dal cliente per la crittografia Amazon. EBS

Panoramica

Quanto segue AWS KMS keys può essere utilizzato per la EBS crittografia Amazon quando Amazon EC2 Auto Scaling avvia le istanze:

Le chiavi gestite dal cliente vengono configurate quando crei snapshot crittografati o un modello di avvio che specifichi i volumi crittografati, oppure abiliti la crittografia di default.

Configurare le policy chiave

KMSLe tue chiavi devono avere una politica chiave che consenta ad Amazon EC2 Auto Scaling di avviare istanze con EBS volumi Amazon crittografati con una chiave gestita dal cliente.

Utilizza gli esempi in questa pagina per configurare una policy chiave che consenta ad Amazon EC2 Auto Scaling di accedere alla chiave gestita dal cliente. Puoi modificare la policy della chiave gestita dal cliente sia al momento della creazione della chiave che in seguito.

È necessario aggiungere almeno due dichiarazioni politiche alla politica chiave per farla funzionare con Amazon EC2 Auto Scaling.

Quando aggiungi le nuove istruzioni alla policy della chiave, non modificare quelle già esistenti nella policy.

Per ciascuno degli esempi seguenti, gli argomenti che devono essere sostituiti, ad esempio un ID chiave o il nome di un ruolo collegato al servizio, vengono mostrati come user placeholder text. Nella maggior parte dei casi, puoi sostituire il nome del ruolo collegato al servizio con il nome di un ruolo collegato al servizio di Amazon Auto EC2 Scaling.

Per ulteriori informazioni, consulta le seguenti risorse:

Esempio 1: sezioni delle policy delle chiavi che permettono l'accesso alla chiave gestita dal cliente

Aggiungi le seguenti due dichiarazioni politiche alla politica chiave della chiave gestita dal cliente, sostituendo l'esempio ARN con il ARN ruolo appropriato collegato al servizio a cui è consentito l'accesso alla chiave. In questo esempio, le sezioni relative alla policy forniscono al ruolo collegato al servizio denominato il AWSServiceRoleForAutoScalingpermesso di utilizzare la chiave gestita dal cliente.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Esempio 2: sezioni delle policy delle chiavi che permettono l'accesso multiaccount alla chiave gestita dal cliente

Se crei una chiave gestita dal cliente in un account diverso da quello del gruppo con dimensionamento automatico, è necessario utilizzare una concessione in combinazione con la policy della chiave per consentire l'accesso multi-account alla chiave stessa.

Esistono due passaggi, che devono essere completati nel seguente ordine:

Modificare le policy delle chiavi nella console AWS KMS

Gli esempi nelle seguenti sezioni mostrano solo come aggiungere le istruzioni alla policy di una chiave, che è solo uno dei modi per modificare questo tipo di policy. Il modo più semplice per modificare una politica chiave consiste nell'utilizzare la visualizzazione predefinita della AWS KMS console per le politiche chiave e rendere un'IAMidentità (utente o ruolo) uno degli utenti chiave per la politica chiave appropriata. Per ulteriori informazioni, consulta Uso della visualizzazione AWS Management Console predefinita nella Guida per gli AWS Key Management Service sviluppatori.