本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

WorkSpaces 在 WorkSpaces 個人中加密

WorkSpaces 與整合 AWS Key Management Service (AWS KMS). 這可讓您加密 WorkSpaces 使用的儲存磁碟區 AWS KMS 鑰匙。當您啟動時 WorkSpace，您可以加密根磁碟區（適用於 Microsoft 視窗，C 磁碟機；對於 Linux，/）和使用者磁碟區（適用於視窗，D 磁碟機；對於 Linux，/home）。這麼做可確保靜態儲存的資料、磁碟區的磁碟 I/O，以及從磁碟區建立的快照全都加密。

必要條件

你需要一個 AWS KMS 在您可以開始加密程序之前，先設定金鑰。此KMS密鑰可以是 AWS適用於 Amazon 的受管KMS金鑰 WorkSpaces (aws/Workspace) 或對稱的客戶受管金鑰。KMS

您必須符合以下要求才能使用 AWS KMS 加密您的密鑰 WorkSpaces：

限制

使用的 WorkSpaces 加密概述 AWS KMS

使 WorkSpaces 用加密磁碟區建立時，請 WorkSpaces 使用 Amazon 彈性區塊存放區 (AmazonEBS) 建立和管理這些磁碟區。Amazon 使用業界標準的 AES -256 演算法使用資料金鑰EBS加密您的磁碟區。Amazon EBS 和 Amazon 都 WorkSpaces 使用您的密KMS鑰與加密卷一起工作。如需有關EBS磁碟區加密的詳細資訊，請參閱 Amazon EC2使用者指南中的 Amazon EBS 加密。

當您 WorkSpaces 使用加密磁碟區啟動時， end-to-end 程序的運作方式如下：

WorkSpaces 加密上下文

WorkSpaces 不會直接使用您的密KMS鑰進行加密操作（例如 EncryptDecrypt，等）GenerateDataKey，這意味著 WorkSpaces 不會將請求發送到 AWS KMS 包括加密上下文。但是，當 Amazon 為 WorkSpaces (步驟 3在中使用的 WorkSpaces 加密概述 AWS KMS) 的加密磁碟區EBS請求加密的資料金鑰時，當它要求該資料金鑰的純文字副本 (步驟 5) 時，它會在請求中包含加密內容。

加密上下文提供了額外的已驗證數據（AAD） AWS KMS 用於確保數據的完整性。加密上下文也寫入您的 AWS CloudTrail 記錄檔，可協助您瞭解使用指定KMS金鑰的原因。Amazon 在加密上下文中EBS使用以下內容：

下列範例顯示 Amazon EBS 使用之加密內容的JSON表示方式：

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

授 WorkSpaces 予代表您使用KMS金鑰的權限

您可以保護您的 WorkSpace 數據 AWS WorkSpaces(aw/ 工作區) 或客戶管理的KMS金鑰的受管理KMS金鑰。如果您使用客戶管理的KMS金鑰，您必須授與 WorkSpaces 權限，才能代表您帳戶中的管理 WorkSpaces 員使用KMS金鑰。所以此 AWS 受管理的KMS密鑰默認 WorkSpaces具有所需的權限。

若要準備客戶管理的KMS金鑰以搭配使用 WorkSpaces，請遵循下列步驟。

您的 WorkSpaces 管理員也需要使用權限 WorkSpaces。如需這些許可的詳細資訊，請前往 的身分識別與存取管理 WorkSpaces。

第 1 部分：將 WorkSpaces 管理員新增為金鑰使用者

若要授予 WorkSpaces 系統管理員所需的權限，您可以使用 AWS Management Console 或 AWS KMS API.

將 WorkSpaces 管理員新增為金鑰的金KMS鑰使用者 (主控台)

若要將 WorkSpaces 管理員新增為金鑰的KMS金鑰使用者 (API)

第 2 部分：使用IAM策略授予 WorkSpaces 管理員其他權限

如果您選擇要用於加密的客戶受管KMS金鑰，則必須建立IAM政策， WorkSpaces 以允許 Amazon 代表您帳戶中啟動加密的使用IAM者使用該KMS金鑰 WorkSpaces。該用戶還需要使用 Amazon 的許可 WorkSpaces。如需有關建立和編輯IAM使用者策略的詳細資訊，請參閱《IAM使用指南》中的〈管理IAM策略〉和的身分識別與存取管理 WorkSpaces。

WorkSpaces 加密需要有限的KMS金鑰存取權。下列是您可以使用的範例金鑰政策。此原則會分隔可管理 AWS KMS 那些可以使用它的人的鑰匙。在您使用此範例金鑰策略之前，請先將範例帳戶 ID 和使用IAM者名稱取代為帳戶中的實際值。

第一個語句匹配默認 AWS KMS 金鑰政策。它允許您的帳戶使用IAM策略來控制KMS密鑰的訪問權限。第二個和第三個語句定義了哪些 AWS 主參與者可以分別管理和使用金鑰。第四個陳述式啟用 AWS 與之整合的服務 AWS KMS 代表指定的主體使用金鑰。此聲明啟用 AWS 創建和管理贈款的服務。陳述式使用一個條件元素，限制對於由下列項目所建立的 KMS Key 授與 AWS 代表您帳戶中的使用者提供服務。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

正在加密的使用者或角色的IAM原則 WorkSpace 必須包含客戶管理KMS金鑰的使用權限，以及存取 WorkSpaces。若要授與IAM使用者或角色 WorkSpaces 權限，您可以將下列範例原則附加至IAM使用者或角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

用戶需要以下IAM策略才能使用 AWS KMS。 它為用戶提供了對KMS密鑰的只讀訪問以及創建授權的能力。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

如果您想要在原則中指定KMS金鑰，請使用類似下列內容的IAM原則。將範例 KMS Key 取代為ARN有效的金鑰。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

加密一個 WorkSpace

檢視已加密 WorkSpaces

若要查看已從 WorkSpaces 主控台加密的磁碟區 WorkSpaces 和磁碟區，請WorkSpaces從左側的導覽列中選擇。[磁碟區加密] 欄會顯示每個加密是否 WorkSpace 已啟用或停用。若要查看已加密的特定磁碟區，請展開 WorkSpace 項目以查看 [加密磁碟區] 欄位。