本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

WorkSpaces 以 WorkSpaces 个人身份加密

WorkSpaces 已与 AWS Key Management Service (AWS KMS)。 这使您能够对 WorkSpaces 使用的存储卷进行加密 AWS KMS 钥匙。当你启动 a 时 WorkSpace，你可以加密根卷（对于微软 Windows，是 C 盘；对于 Linux，/）和用户卷（对于 Windows，是 D 盘；对于 Linux，/home）。这样做可确保静态存储的数据、卷的磁盘 I/O 及从加密卷创建的快照都会被加密。

先决条件

你需要一个 AWS KMS 在开始加密过程之前先进行密钥。这把KMS钥匙可以是 AWS适用于亚马逊的托管KMS密钥 WorkSpaces （aws/workspaces）或对称的客户托管密钥。KMS

您必须满足以下要求才能使用 AWS KMS 加密你的密钥 WorkSpaces：

限制

使用 WorkSpaces 加密概述 AWS KMS

使用加密卷创建 WorkSpaces 时， WorkSpaces 使用亚马逊弹性区块存储 (AmazonEBS) 来创建和管理这些卷。Amazon 使用行业标准的 AES -256 算法使用数据密钥对您的卷进行EBS加密。Amazon EBS 和 Amazon 都 WorkSpaces 使用您的KMS密钥来处理加密卷。有关EBS批量加密的更多信息，请参阅《亚马逊EC2用户指南》中的 “亚马逊EBS加密”。

当您 WorkSpaces 使用加密卷启动时， end-to-end 过程如下所示：

WorkSpaces 加密上下文

WorkSpaces 不会将您的KMS密钥直接用于加密操作（例如EncryptDecrypt、GenerateDataKey、等），这意味着 WorkSpaces 不会向发送请求 AWS KMS 其中包括加密上下文。但是，当 Amazon EBS 请求您的加密卷的加密数据密钥时 WorkSpaces （步骤 3在使用 WorkSpaces 加密概述 AWS KMS）以及请求该数据密钥的纯文本副本（步骤 5）时，它会在请求中包含加密上下文。

加密上下文提供了其他经过身份验证的数据 (AAD) AWS KMS 用于确保数据完整性。加密上下文也会写入您的 AWS CloudTrail 日志文件，这可以帮助您了解为什么使用给定KMS密钥。Amazon 在加密上下文中EBS使用以下内容：

以下示例显示了 Amazon EBS 使用的加密上下文的JSON表示形式：

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

授 WorkSpaces 予代表您使用KMS密钥的权限

您可以根据以下条件保护您的 WorkSpace 数据 AWS WorkSpaces（aws/workspaces）的托管KMS密钥或客户管理的密钥。KMS如果您使用客户管理的KMS密钥，则需要授予代表账户 WorkSpaces 管理员使用该KMS密钥的 WorkSpaces 权限。这些区域有： AWS 的 WorkSpaces托管KMS密钥默认具有所需的权限。

要准备您的客户托管KMS密钥以供使用 WorkSpaces，请按以下步骤操作。

您的 WorkSpaces 管理员还需要获得使用权限 WorkSpaces。有关这些权限的更多信息，请参阅 的身份和访问管理 WorkSpaces。

第 1 部分：将 WorkSpaces 管理员添加为关键用户

要向 WorkSpaces 管理员授予他们所需的权限，您可以使用 AWS Management Console 或者 AWS KMS API.

将 WorkSpaces 管理员添加为密钥的密KMS钥用户（控制台）

将 WorkSpaces 管理员添加为密钥的KMS密钥用户 (API)

第 2 部分：使用IAM策略向 WorkSpaces 管理员授予其他权限

如果您选择客户管理的KMS密钥用于加密，则必须制定IAM政策，允许 Amazon WorkSpaces 代表您账户中启动加密的IAM用户使用该KMS密钥 WorkSpaces。该用户还需要获得使用Amazon的权限 WorkSpaces。有关创建和编辑IAM用户策略的更多信息，请参阅《IAM用户指南》和《管理IAM策略》的身份和访问管理 WorkSpaces。

WorkSpaces 加密需要对密KMS钥的有限访问权限。以下是您可以使用的一个示例密钥策略。该政策将可以管理的校长区分开来 AWS KMS 来自那些能使用它的人的密钥。在使用此示例密钥策略之前，请将示例账户 ID 和IAM用户名替换为账户中的实际值。

第一条语句与默认语句相匹配 AWS KMS 密钥政策。它允许您的账户使用IAM策略来控制对KMS密钥的访问权限。第二和第三条语句定义了哪个 AWS 委托人可以分别管理和使用密钥。第四条语句启用 AWS 与之集成的服务 AWS KMS 代表指定的委托人使用密钥。此语句启用 AWS 用于创建和管理补助金的服务。该语句使用条件元素，将对 KMS Key 的授予限制为由 AWS 代表您账户中的用户提供的服务。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

加密的用户或角色的IAM策略 WorkSpace 必须包括对客户管理的KMS密钥的使用权限以及对的访问 WorkSpaces权限。要向IAM用户或角色 WorkSpaces 授予权限，您可以将以下示例策略附加到该IAM用户或角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

用户必须遵守以下IAM策略才能使用 AWS KMS。 它为用户提供了对KMS密钥的只读访问权限以及创建授权的能力。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

如果要在策略中指定KMS密钥，请使用类似于以下内容的IAM策略。将示例KMS密钥ARN替换为有效的密钥。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

加密 WorkSpace

查看已加密 WorkSpaces

要从 WorkSpaces 控制台查看哪些 WorkSpaces 和卷已加密，请WorkSpaces从左侧的导航栏中进行选择。“卷加密” 列显示 WorkSpace 每个卷加密是启用还是禁用。要查看哪些特定卷已加密，请展开 WorkSpace 条目以查看 “加密卷” 字段。