本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用加密卷所需的 AWS KMS 密钥策略

Amazon A EC2 uto Scaling 使用与服务相关的角色向其他 AWS 服务角色委派权限。Amazon A EC2 uto Scaling 服务相关角色是预定义的，包括 Amazon A EC2 uto Scaling 代表您呼叫他人所需的权限。 AWS 服务 预定义的权限还包括对您的访问权限 AWS 托管式密钥。但是，它们不包括对客户管理密钥的访问权限，因此您可以保持对这些密钥的完全控制。

本主题介绍如何设置在为亚马逊EBS加密指定客户托管密钥时启动 Auto Scaling 实例所需的密钥策略。

概述

当 Amazon A EC2 uto Scaling 启动实例时，以下内容 AWS KMS keys 可用于亚马逊EBS加密：

在创建加密的快照或指定加密卷的启动模板，或者默认启用加密时，您可以配置客户托管密钥。

配置密钥策略

您的KMS密钥必须具有密钥策略，允许 Amazon A EC2 uto Scaling 启动使用客户托管密钥加密的亚马逊EBS卷的实例。

使用本页上的示例配置密钥策略，让 Amazon A EC2 uto Scaling 能够访问您的客户托管密钥。您可以在创建密钥时或以后的某个时间修改客户托管密钥的密钥策略。

要使其与 Amazon A EC2 uto Scaling 配合使用，您必须至少在密钥策略中添加两份政策声明。

当您向密钥策略添加新的策略语句时，不要更改策略中任何已存在的语句。

对于以下每个示例，必须替换的参数（例如密钥 ID 或服务相关角色的名称）显示为 user placeholder text。 在大多数情况下，您可以将服务相关角色的名称替换为 Amazon A EC2 uto Scaling 服务相关角色的名称。

有关更多信息，请参阅以下资源：

示例 1：允许访问客户托管密钥的关键策略部分

将以下两个策略声明添加到客户托管密钥的密钥策略中，将示例ARN替换为允许访问密钥ARN的相应服务相关角色的示例。在此示例中，策略部分向名为的服务相关角色AWSServiceRoleForAutoScaling授予使用客户托管密钥的权限。

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

示例 2：允许跨账户访问客户托管密钥的关键策略部分

如果您在与自动扩缩组不同的账户中创建了客户管理型密钥，则必须组合使用授权和密钥策略以允许对该密钥的跨账户存取。

必须按以下顺序完成两个步骤：

在 AWS KMS 控制台中编辑密钥策略

之前部分中的示例仅显示如何向密钥策略添加语句，这只是更改密钥策略的一种方法。更改密钥策略的最简单方法是使用 AWS KMS 控制台的默认密钥策略视图，并将IAM身份（用户或角色）设为相应密钥策略的密钥用户之一。有关更多信息，请参阅《AWS Key Management Service 开发人员指南》中的使用 AWS Management Console 默认视图。