本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

WorkSpaces 在 WorkSpaces 个人模式下加密

WorkSpaces 与 AWS Key Management Service (AWS KMS) 集成。这使您能够 WorkSpaces 使用密 AWS KMS 钥加密存储量。当你启动时 WorkSpace，你可以加密根卷（对于微软 Windows，为 C 盘；对于 Linux，/）和用户卷（对于 Windows，则为 D 盘；对于 Linux，/home）。这样做可以确保静态存储的数据、磁盘 I/O 到卷的数据以及从卷创建的快照都经过加密。

前提条件

在开始加密过程之前，您需要一个密 AWS KMS 钥。此 KMS 密钥可以是亚马逊AWS 托管 KMS 密钥 WorkSpaces (aws/workspaces)，也可以是对称的客户管理的 KMS 密钥。

您必须满足以下要求才能使用 AWS KMS 密钥加密您的 WorkSpaces：

限制

使用 WorkSpaces 加密概述 AWS KMS

当您使用 WorkSpaces 加密卷创建时， WorkSpaces 使用亚马逊弹性区块商店（亚马逊 EBS）来创建和管理这些卷。Amazon EBS 使用行业标准 AES-256 算法使用数据密钥对您的卷进行加密。亚马逊 EBS 和亚马逊都 WorkSpaces 使用您的 KMS 密钥来处理加密卷。有关 EBS 卷加密的更多信息，请参阅《Amazon EC2 用户指南》中的 Amazon EBS 加密。

当您 WorkSpaces 使用加密卷启动时，端到端过程如下所示：

WorkSpaces 加密上下文

WorkSpaces 不直接使用您的 KMS 密钥进行加密操作（例如EncryptDecryptGenerateDataKey、、等），这意味着 WorkSpaces 不会向包含加密上下文的请求发送请求。 AWS KMS 但是，当 Amazon EBS 请求您的 WorkSpaces （步骤 3中使用 WorkSpaces 加密概述 AWS KMS）加密卷的加密数据密钥以及请求该数据密钥的纯文本副本（步骤 5）时，它会在请求中包含加密上下文。

加密环境提供额外的经过身份验证的数据 (AAD)， AWS KMS 用于确保数据完整性。加密上下文也会写入您的 AWS CloudTrail 日志文件，这可以帮助您了解使用给定的 KMS 密钥的原因。Amazon EBS 会对加密上下文使用以下内容：

以下示例显示了 Amazon EBS 使用的加密上下文的 JSON 表示形式：

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

WorkSpaces 授予代表您使用 KMS 密钥的权限

您可以使用 WorkSpaces (aws/workspaces) 的 AWS 托管 KMS 密钥或客户管理的 KMS 密钥保护您的 WorkSpace 数据。如果您使用客户管理的 KMS 密钥，则需要 WorkSpaces 授予代表账户 WorkSpaces 管理员使用 KMS 密钥的权限。默认情况下，的 AWS 托管 KMS 密钥 WorkSpaces具有所需的权限。

要准备您的客户管理的 KMS 密钥以供使用 WorkSpaces，请使用以下步骤。

您的 WorkSpaces 管理员还需要权限才能使用 WorkSpaces。有关这些权限的更多信息，请参阅 的身份和访问管理 WorkSpaces。

第 1 部分：将 WorkSpaces 管理员添加为密钥用户

要向 WorkSpaces 管理员提供所需的权限，您可以使用 AWS 管理控制台 或 AWS KMS API。

将 WorkSpaces 管理员添加为 KMS 密钥的密钥用户（控制台）

将 WorkSpaces 管理员添加为 KMS 密钥 (API) 的密钥用户

第 2 部分：使用 IAM 策略向 WorkSpaces 管理员授予额外权限

如果您选择客户管理的 KMS 密钥进行加密，则必须制定 IAM 政策， WorkSpaces 允许亚马逊代表您账户中启动加密的 IAM 用户使用 KMS 密钥 WorkSpaces。该用户还需要获得许可才能使用亚马逊 WorkSpaces。有关创建和编辑 IAM 用户策略的更多信息，请参阅《IAM 用户指南》中的管理 IAM 策略和 的身份和访问管理 WorkSpaces。

WorkSpaces 加密需要对 KMS 密钥的有限访问权限。以下是您可以使用的一个示例密钥策略。此策略将可以管理 AWS KMS 密钥的主体与可以使用此密钥的主体分开。在使用此示例密钥策略之前，请将示例账户 ID 和 IAM 用户名替换为您账户中的实际值。

第一条语句与默认 AWS KMS 密钥策略相匹配。它授予您的账户使用 IAM 策略控制对 KMS 密钥的访问的权限。第二和第三条语句分别定义哪些 AWS 委托人可以管理和使用密钥。第四个语句 AWS KMS 允许与集成的 AWS 服务代表指定的主体使用密钥。该语句允许 AWS 服务创建和管理授权。该声明使用条件元素，将 KMS 密钥的授予限制为 AWS 服务代表您账户中的用户发放的授权。

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

加密用户或角色的 IAM 策略 WorkSpace 必须包括对客户管理的 KMS 密钥的使用权限以及对的访问 WorkSpaces权限。要向 IAM 用户或角色 WorkSpaces 授予权限，您可以将以下示例策略附加到 IAM 用户或角色。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

用户需要以下 IAM 策略才能使用 AWS KMS。它为用户提供了对 KMS 密钥的只读访问权限以及创建授权的能力。

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

如果您想在策略中指定 KMS 密钥，请使用类似于以下内容的 IAM 策略。将示例 KMS 密钥 ARN 替换为有效值。

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

加密 WorkSpace

查看已加密 WorkSpaces

要查看哪些 WorkSpaces 卷已从 WorkSpaces 控制台加密，请WorkSpaces从左侧的导航栏中选择。卷加密列显示每个卷加密是启用还是禁用 WorkSpace 了加密。要查看哪些特定卷已加密，请展开 WorkSpace 条目以查看 “加密卷” 字段。