本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

與加密磁碟區搭配使用的必要 AWS KMS 金鑰原則

Amazon EC2 Auto Scaling 使用服務連結角色將許可委派給其他 AWS 服務人。Amazon EC2 自動擴展服務連結角色是預先定義的，並包含 Amazon EC2 Auto Scaling 代表您呼叫其他角色所需 AWS 服務 的許可。預先定義的權限還包括對您的 AWS 受管金鑰. 不過，其不包括對客戶受管金鑰的存取權，該存取權允許您保有對這些金鑰的完整控制權。

本主題說明當您為 Amazon EBS 加密指定客戶受管金鑰時，如何設定啟動 Auto Scaling 執行個體所需的金鑰政策。

概要

當 Amazon EC2 自動擴展啟動執行個體時，下列項目 AWS KMS keys 可用於 Amazon EBS 加密：

您可以在建立會指定加密磁碟區的加密快照或啟動範本時，設定客戶受管金鑰，或依預設啟用加密。

設定金鑰政策

您的KMS金鑰必須具有金鑰政策，該政策允許 Amazon EC2 Auto Scaling 啟動使用客戶受管金鑰加密 Amazon EBS 磁碟區的執行個體。

使用此頁面上的範例設定金鑰政策，讓 Amazon EC2 Auto Scaling 存取您的客戶受管金鑰。您可以在建立金鑰時修改客戶受管金鑰的金鑰政策，或之後再修改。

您至少必須在金鑰政策中新增兩份政策陳述式，才能與 Amazon EC2 Auto Scaling 搭配使用。

在您為金鑰政策新增政策陳述式時，請勿變更政策中任何現有的陳述式。

在下列每個範例中，必須取代的引數 (例如金鑰 ID 或服務連結角色的名稱) 會顯示為 user placeholder text。 在大多數情況下，您可以將服務連結角色的名稱取代為 Amazon EC2 Auto Scaling 服務連結角色的名稱。

如需詳細資訊，請參閱下列資源：

範例 1：允許存取客戶受管金鑰的金鑰政策區段

將下列兩個政策陳述式新增至客戶管理金鑰的金鑰政策，並以允許存取金鑰ARN的適當服務連結角色取代範例ARN。在此範例中，政策區段會提供名為服務連結角色的AWSServiceRoleForAutoScaling權限，以便使用客戶管理金鑰。

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

範例 2：允許跨帳戶存取客戶受管金鑰的金鑰政策區段

如果您建立的客戶受管金鑰所在帳戶與 Auto Scaling 群組不同，您必須使用搭配金鑰政策的授權，以便允許存取跨帳戶存取權金鑰。

必須依照下列順序完成兩個步驟：

在 AWS KMS 主控台編輯金鑰政策

前幾節的範例僅顯示如何對金鑰政策新增陳述式，而這只是其中一個用來變更金鑰政策的方法。變更金鑰原則的最簡單方法是使用 AWS KMS 主控台的預設檢視來檢視金鑰原則，並將IAM身分識別 (使用者或角色) 設為適當金鑰原則的主要使用者之一。如需詳細資訊，請參閱AWS Key Management Service 開發人員指南中的使用 AWS Management Console 預設檢視。