デフォルトで Amazon EBS暗号化を有効にする - Amazon EBS

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

デフォルトで Amazon EBS暗号化を有効にする

作成した新しいEBSボリュームとスナップショットコピーの暗号化を強制するように AWS アカウントを設定できます。例えば、Amazon は、インスタンスの起動時に作成されたEBSボリュームとEBS、暗号化されていないスナップショットからコピーしたスナップショットを暗号化します。暗号化されていないリソースから暗号化されたEBSリソースに移行する例については、「」を参照してください暗号化されていないリソースの暗号化。

デフォルトでは、暗号化は既存のEBSボリュームやスナップショットには影響しません。

考慮事項

  • デフォルトでの暗号化はリージョン固有の設定です。リージョンに対して有効にした場合、そのリージョン内の個々のボリュームまたはスナップショットに対して無効にすることはできません。

  • Amazon EBSの暗号化は、すべての現行世代および旧世代のインスタンスタイプでデフォルトでサポートされています。

  • スナップショットをコピーして新しいKMSキーに暗号化すると、完全な (増分ではない) コピーが作成されます。その結果、追加のストレージコストが発生します。

  • AWS Server Migration Service （SMS) を使用してサーバーを移行する場合は、デフォルトで暗号化を有効にしないでください。デフォルトでの暗号化がすでに有効になっていて、デルタレプリケーションエラーが発生している場合は、デフォルトでの暗号化を無効にしてください。代わりに、レプリケーションジョブの作成時にAMI暗号化を有効にします。

Amazon EC2 console
リージョンの暗号化をデフォルトで有効にするには

  1. で Amazon EC2コンソールを開きますhttps://console.aws.amazon.com/ec2/。

  2. ナビゲーションバーから、使用するリージョンを選択します。

  3. ナビゲーションペインから、EC2ダッシュボードを選択します。

  4. ページの右上で、[アカウントの属性]、[データ保護とセキュリティ] の順に選択します。

  5. EBS 暗号化セクションで、管理を選択します。

  6. [Enable] (有効化) を選択します。は、デフォルトの暗号化キーとしてユーザーに代わってaws/ebs作成されたエイリアス AWS マネージドキー で保持するか、対称カスタマーマネージド暗号化キーを選択します。

  7. EBS 暗号化の更新を選択します。

AWS CLI
デフォルトの暗号化設定を表示するには

  • 特定のリージョンの場合

    $ aws ec2 get-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    $ echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text);
do
    default=$(aws ec2 get-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
暗号化をデフォルトで有効にするには

  • 特定のリージョンの場合

    $ aws ec2 enable-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    $ echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); 
do
    default=$(aws ec2 enable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
暗号化をデフォルトで無効にするには

  • 特定のリージョンの場合

    $ aws ec2 disable-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    $ echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); 
do
    default=$(aws ec2 disable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
PowerShell
デフォルトの暗号化設定を表示するには

  • 特定のリージョンの場合

    PS C:\> Get-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    PS C:\> (Get-EC2Region).RegionName |`
    ForEach-Object {
    [PSCustomObject]@{ 
        Region                    = $_; 
        EC2EbsEncryptionByDefault = Get-EC2EbsEncryptionByDefault -Region $_; 
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } |`
    Format-Table -AutoSize
暗号化をデフォルトで有効にするには

  • 特定のリージョンの場合

    PS C:\> Enable-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    PS C:\> (Get-EC2Region).RegionName |`
    ForEach-Object { 
    [PSCustomObject]@{
        Region                    = $_; 
        EC2EbsEncryptionByDefault = Enable-EC2EbsEncryptionByDefault -Region $_;
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } | `
    Format-Table -AutoSize
暗号化をデフォルトで無効にするには

  • 特定のリージョンの場合

    PS C:\> Disable-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    PS C:\> (Get-EC2Region).RegionName |`
    ForEach-Object { 
    [PSCustomObject]@{
        Region                    = $_; 
        EC2EbsEncryptionByDefault = Disable-EC2EbsEncryptionByDefault -Region $_; 
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } | `
    Format-Table -AutoSize

既存のスナップショットまたは暗号化されたボリュームに関連付けられているKMSキーを変更することはできません。ただし、スナップショットのコピーオペレーション中に別のKMSキーを関連付けて、コピーされたスナップショットが新しいKMSキーによって暗号化されるようにすることができます。