本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

加密 WorkSpaces

WorkSpaces 與 AWS Key Management Service （AWS KMS）集成。這可讓您 WorkSpaces 使用 AWS KMS Key 加密的儲存磁碟區。當您啟動時 WorkSpace，您可以加密根磁碟區（適用於 Microsoft 視窗，C 磁碟機；對於 Linux，/）和使用者磁碟區（適用於視窗，D 磁碟機；對於 Linux，/home）。這麼做可確保靜態儲存的資料、磁碟區的磁碟 I/O，以及從磁碟區建立的快照全都加密。

必要條件

在開始加密過程之前，您需要一個密 AWS KMS 鑰。此 KMS 金鑰可以是 Amazon 的AWS 受管 KMS 金鑰 WorkSpaces (aw/ 工作區)，也可以是對稱的客戶受管 KMS 金鑰。

您必須符合以下要求才能使用 AWS KMS 金鑰來加密您的 WorkSpaces：

限制

使用的 WorkSpaces 加密概述 AWS KMS

使 WorkSpaces 用加密磁碟區建立時，請 WorkSpaces 使用 Amazon Elastic Block Store (Amazon EBS) 來建立和管理這些磁碟區。Amazon EBS 會使用業界標準的 AES-256 演算法資料金鑰加密您的磁碟區。Amazon EBS 和 Amazon 都 WorkSpaces 使用您的 KMS 金鑰來處理加密的磁碟區。如需有關 EBS 磁碟區加密的詳細資訊，請參閱 Amazon EC2 使用者指南中的亞馬遜 EBS 加密。

當您 WorkSpaces 使用加密磁碟區啟動時， end-to-end 程序的運作方式如下：

WorkSpaces 加密上下文

WorkSpaces 不會直接將 KMS 金鑰用於密碼編譯作業 (例如EncryptDecrypt、等) GenerateDataKey，這表示 WorkSpaces 不會將要求傳送至包 AWS KMS 含加密內容的要求。但是，當 Amazon EBS 為 WorkSpaces (步驟 3在中使用的 WorkSpaces 加密概述 AWS KMS) 的加密磁碟區請求加密的資料金鑰時，當它要求該資料金鑰的純文字複本 (步驟 5) 時，它會在請求中包含加密內容。

加密內容提供額外的驗證資料 (AAD)，可 AWS KMS 用來確保資料完整性。加密內容也會寫入您的 AWS CloudTrail 記錄檔，以協助您瞭解使用指定 KMS 金鑰的原因。Amazon EBS 將以下項目用於加密內容：

以下範例顯示 Amazon EBS 所用加密內容的 JSON 顯示方式：

{
  "aws:workspaces:sid-directoryid": "[S-1-5-21-277731876-1789304096-451871588-1107]@[d-1234abcd01]",
  "aws:ebs:id": "vol-1234abcd"
}

WorkSpaces 授與代表您使用 KMS 金鑰的權限

您可以使用 AWS 受管理的 KMS 金鑰 WorkSpaces (aw/ 工作區) 或客戶管理的 KMS 金鑰來保護您的 WorkSpace 資料。如果您使用客戶管理的 KMS 金鑰，則需要授與 WorkSpaces 權限，才能代表帳戶中的管理 WorkSpaces 員使用 KMS 金鑰。根據預設，的 AWS 受管理 KMS 金鑰 WorkSpaces具有必要的權限。

若要準備客戶受管 KMS 金鑰以供搭配使用 WorkSpaces，請遵循下列程序。

您的 WorkSpaces 管理員也需要使用權限 WorkSpaces。如需這些許可的詳細資訊，請前往 適用於 WorkSpaces 的身分和存取管理。

第 1 部分：將 WorkSpaces 管理員新增為金鑰使用者

若要提供 WorkSpaces 管理員所需的權限，您可以使用 AWS Management Console 或 AWS KMS API。

將 WorkSpaces 管理員新增為 KMS 金鑰 (主控台) 的金鑰使用者

將 WorkSpaces 管理員新增為 KMS 金鑰 (API) 的金鑰使用者

第 2 部分：使用 IAM 政策授予 WorkSpaces 管理員其他許可

如果您選取用於加密的客戶受管 KMS 金鑰，則必須建立 IAM 政策， WorkSpaces 以允許 Amazon 代表您帳戶中啟動加密的 IAM 使用者使用 KMS 金鑰 WorkSpaces。該用戶還需要使用 Amazon 的許可 WorkSpaces。如需建立和編輯 IAM 使用者政策的詳細資訊，請參閱《IAM 使用者指南》中的受管 IAM 政策和適用於 WorkSpaces 的身分和存取管理。

WorkSpaces 加密需要有限的 KMS 金鑰存取權。下列是您可以使用的範例金鑰政策。此政策會將可管理 AWS KMS 金鑰的主體與可使用該金鑰的主體分開。在您使用本範例金鑰政策之前，請將範例帳戶 ID 和 IAM 使用者名稱取代為您帳戶的實際值。

第一個陳述式符合預設 AWS KMS 金鑰原則。它提供您的帳戶使用 IAM 政策來控制 KMS 金鑰存取的許可。第二個和第三個陳述式會分別定義哪些 AWS 主參與者可以管理和使用索引鍵。第四個陳述式可讓與整合 AWS KMS 的 AWS 服務代表指定的主體使用金鑰。此陳述式使 AWS 服務能夠建立和管理授與。陳述式會使用條件元素，將 KMS 金鑰授與限制為 AWS 服務代表您帳戶中的使用者所做的授與。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:root"},
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Create*",
        "kms:Describe*",
        "kms:Enable*",
        "kms:List*",
        "kms:Put*",
        "kms:Update*",
        "kms:Revoke*",
        "kms:Disable*",
        "kms:Get*",
        "kms:Delete*"
       ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Principal": {"AWS": "arn:aws:iam::123456789012:user/Alice"},
      "Action": [
        "kms:CreateGrant",
        "kms:ListGrants",
        "kms:RevokeGrant"
      ],
      "Resource": "*",
      "Condition": {"Bool": {"kms:GrantIsForAWSResource": "true"}}
    }
  ]
}

正在加密的使用者或角色的 IAM 政策 WorkSpace 必須包含客戶受管 KMS 金鑰的使用許可，以及對的存取 WorkSpaces。若要授與 IAM 使用者或角色 WorkSpaces 許可，您可以將下列範例政策附加至 IAM 使用者或角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ds:*",
                "ds:DescribeDirectories",
                "workspaces:*",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:CreateWorkspaces",
                "workspaces:DescribeWorkspaceBundles",
                "workspaces:DescribeWorkspaceDirectories",
                "workspaces:DescribeWorkspaces",
                "workspaces:RebootWorkspaces",
                "workspaces:RebuildWorkspaces"
            ],
            "Resource": "*"
        }
    ]
}

使用者需要下列 IAM 政策才能使用 AWS KMS。其將對 KMS 金鑰的唯讀存取權以及建立授與的能力提供給使用者。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:Describe*",
                "kms:List*"
            ],
            "Resource": "*"
        }
    ]
}

如果您想要在政策中指定 KMS 金鑰，請使用類似以下的 IAM 政策。以有效的 KMS 金鑰 ARN 取代範例 KMS 金鑰 ARN。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "kms:CreateGrant",
      "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListAliases",
        "kms:ListKeys"
      ],
      "Resource": "*"
    }
  ]
}

加密一個 WorkSpace

檢視已加密 WorkSpaces

若要查看已從 WorkSpaces 主控台加密的磁碟區 WorkSpaces 和磁碟區，請WorkSpaces從左側的導覽列中選擇。[磁碟區加密] 欄會顯示每個加密是否 WorkSpace 已啟用或停用。若要查看已加密的特定磁碟區，請展開 WorkSpace 項目以查看 [加密磁碟區] 欄位。