Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Politica chiave KMS richiesta per l'utilizzo con volumi EBS crittografati in AWS 2 PEZZI

AWS PCS utilizza ruoli collegati ai servizi per delegare le autorizzazioni ad altri. Servizi AWS Il ruolo collegato ai servizi AWS PCS è predefinito e include le autorizzazioni richieste da AWS PCS per chiamare altri per conto dell'utente. Servizi AWS Le autorizzazioni predefinite includono anche l'accesso alle chiavi gestite dal cliente Chiavi gestite da AWS ma non alle chiavi gestite dal cliente.

Questo argomento descrive come impostare la policy chiave richiesta per avviare le istanze quando si specifica una chiave gestita dal cliente per la crittografia di Amazon EBS.

Panoramica di

Puoi utilizzare quanto segue AWS KMS keys per la crittografia di Amazon EBS quando AWS PCS avvia le istanze:

Le chiavi gestite dal cliente vengono configurate quando si creano istantanee crittografate o un modello di avvio che specifica i volumi crittografati, oppure quando si sceglie di abilitare la crittografia per impostazione predefinita.

Configurare le policy chiave

Le tue chiavi KMS devono avere una policy chiave che consenta a AWS PCS di avviare istanze con volumi Amazon EBS crittografati con una chiave gestita dal cliente.

Utilizza gli esempi in questa pagina per configurare una policy chiave per consentire a AWS PCS di accedere alla chiave gestita dal cliente. È possibile modificare la politica delle chiavi gestite dal cliente al momento della creazione della chiave o in un secondo momento.

La politica chiave deve contenere le seguenti dichiarazioni:

Non modificate alcuna dichiarazione esistente nella policy quando aggiungete le nuove dichiarazioni politiche alla vostra policy chiave.

Per ulteriori informazioni, consulta:

Esempio 1: sezioni delle policy delle chiavi che permettono l'accesso alla chiave gestita dal cliente

Aggiungi le seguenti dichiarazioni politiche alla politica chiave della chiave gestita dal cliente. Sostituisci l'ARN di esempio con l'ARN del tuo ruolo collegato al AWSServiceRoleForPCS servizio. Questa politica di esempio fornisce al ruolo collegato al servizio AWS PCS le autorizzazioni per utilizzare la chiave AWSServiceRoleForPCS gestita dal cliente.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/pcs.amazonaws.com/AWSServiceRoleForPCS"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Esempio 2: sezioni delle policy delle chiavi che permettono l'accesso multiaccount alla chiave gestita dal cliente

Se si crea una chiave gestita dal cliente in un account diverso da quello del cluster AWS PCS, è necessario utilizzare una concessione in combinazione con la policy chiave per consentire l'accesso alla chiave tra account.

Modifica le politiche chiave in AWS KMS console

Gli esempi nelle seguenti sezioni mostrano solo come aggiungere le istruzioni alla policy di una chiave, che è solo uno dei modi per modificare questo tipo di policy. Il modo più semplice per modificare una policy chiave è utilizzare la visualizzazione predefinita della AWS KMS console per le policy chiave e rendere un'identità IAM (utente o ruolo) uno degli utenti chiave per la policy chiave appropriata. Per ulteriori informazioni, consulta Utilizzo della visualizzazione Console di gestione AWS predefinita nella Guida per gli AWS Key Management Service sviluppatori.