Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comment fonctionne le chiffrement Amazon EBS
Vous pouvez chiffrer à la fois le volume de démarrage et le volume de données d'une EC2 instance.
Lorsque vous créez un volume EBS chiffré et l’attachez à un type d’instance pris en charge, les types de données suivants sont chiffrés :
-
Données au repos à l’intérieur du volume
-
Toutes les données circulant entre le volume et l’instance
-
Tous les instantanés créés à partir du volume
-
Tous les volumes créés à partir de ces instantanés
Amazon EBS chiffre votre volume à l'aide d'une clé de données en utilisant le chiffrement des données AES-256 conforme aux normes du secteur. La clé de données est générée AWS KMS puis cryptée AWS KMS avec une AWS KMS clé avant d'être stockée avec les informations de votre volume. Amazon EBS crée automatiquement un identifiant unique Clé gérée par AWS dans chaque région dans laquelle vous créez des ressources Amazon EBS. L'alias de la clé KMS estaws/ebs. Par défaut, Amazon EBS utilise cette clé KMS pour le chiffrement. Vous pouvez également utiliser une clé de chiffrement symétrique gérée par le client que vous créez. L’utilisation de votre propre clé KMS vous donne plus de flexibilité dans la mesure où elle vous permet de créer des clés Clés KMS, de les modifier ou de les désactiver à votre convenance.
Amazon EC2 utilise AWS KMS pour chiffrer et déchiffrer vos volumes EBS de manière légèrement différente selon que l'instantané à partir duquel vous créez un volume chiffré est chiffré ou non chiffré.
Fonctionnement du chiffrement EBS lorsque le snapshot est chiffré
Lorsque vous créez un volume chiffré à partir d'un instantané chiffré que vous possédez, Amazon EC2 travaille avec lui AWS KMS pour chiffrer et déchiffrer vos volumes EBS comme suit :
-
Amazon EC2 envoie une GenerateDataKeyWithoutPlaintextdemande à AWS KMS, en spécifiant la clé KMS que vous avez choisie pour le chiffrement du volume.
-
Si le volume est chiffré à l'aide de la même clé KMS que le snapshot, AWS KMS utilise la même clé de données que le snapshot et le chiffre sous cette même clé KMS. Si le volume est chiffré à l'aide d'une autre clé KMS, AWS KMS génère une nouvelle clé de données et la chiffre sous la clé KMS que vous avez spécifiée. La clé de données chiffrée est envoyée à Amazon EBS pour être stockée avec les métadonnées du volume.
-
Lorsque vous attachez le volume chiffré à une instance, Amazon EC2 envoie une CreateGrantdemande AWS KMS afin de déchiffrer la clé de données.
-
AWS KMS déchiffre la clé de données chiffrée et envoie la clé de données déchiffrée à Amazon. EC2
-
Amazon EC2 utilise la clé de données en texte brut du matériel Nitro pour chiffrer le disque sur le volume I/O . La clé de données en texte brut est conservée en mémoire tant que le volume est attaché à l'instance.
Fonctionnement du chiffrement EBS lorsque l’instantané est non chiffré
Lorsque vous créez un volume chiffré à partir d'un instantané non chiffré, Amazon EC2 travaille avec lui AWS KMS pour chiffrer et déchiffrer vos volumes EBS comme suit :
-
Amazon EC2 envoie une CreateGrantdemande à AWS KMS, afin de chiffrer le volume créé à partir de l'instantané.
-
Amazon EC2 envoie une GenerateDataKeyWithoutPlaintextdemande à AWS KMS, en spécifiant la clé KMS que vous avez choisie pour le chiffrement du volume.
-
AWS KMS génère une nouvelle clé de données, la chiffre sous la clé KMS que vous avez choisie pour le chiffrement du volume et envoie la clé de données chiffrée à Amazon EBS pour qu'elle soit stockée avec les métadonnées du volume.
-
Amazon EC2 envoie une demande de déchiffrement AWS KMS pour déchiffrer la clé de données chiffrée, qu'elle utilise ensuite pour chiffrer les données du volume.
-
Lorsque vous attachez le volume chiffré à une instance, Amazon EC2 envoie une CreateGrantdemande à AWS KMS, afin qu'il puisse déchiffrer la clé de données.
-
Lorsque vous attachez le volume chiffré à une instance, Amazon EC2 envoie une demande de déchiffrement à AWS KMS, en spécifiant la clé de données chiffrée.
-
AWS KMS déchiffre la clé de données chiffrée et envoie la clé de données déchiffrée à Amazon. EC2
-
Amazon EC2 utilise la clé de données en texte brut du matériel Nitro pour chiffrer le disque sur le volume I/O . La clé de données en texte brut est conservée en mémoire tant que le volume est attaché à l’instance.
Pour plus d'informations, consultez l'article Comment utilise Amazon Elastic Block Store (Amazon EBS) AWS KMS et le deuxième exemple d' EC2Amazon dans AWS Key Management Service le manuel du développeur.
Comment les clés KMS inutilisables affectent les clés de données
Lorsqu'une clé KMS devient inutilisable, l'effet est presque immédiat (sous réserve d'une éventuelle cohérence). L’état de clé de la clé KMS change pour refléter son nouvel état, et toutes les requêtes d’utilisation de la clé KMS dans des opérations cryptographiques échouent.
Lorsque vous effectuez une action qui rend la clé KMS inutilisable, il n'y a aucun effet immédiat sur l' EC2 instance ou sur les volumes EBS attachés. Amazon EC2 utilise la clé de données, et non la clé KMS, pour chiffrer tous les disques I/O lorsque le volume est attaché à l'instance.
Toutefois, lorsque le volume EBS chiffré est détaché de l' EC2 instance, Amazon EBS supprime la clé de données du matériel Nitro. La prochaine fois que le volume EBS chiffré est attaché à une EC2 instance, la pièce jointe échoue, car Amazon EBS ne peut pas utiliser la clé KMS pour déchiffrer la clé de données chiffrée du volume. Pour utiliser le volume EBS à nouveau, vous devez rendre la clé KMS à nouveau utilisable.
Astuce
Si vous ne souhaitez plus accéder aux données stockées dans un volume EBS chiffré à l'aide d'une clé de données générée à partir d'une clé KMS que vous souhaitez rendre inutilisable, nous vous recommandons de détacher le volume EBS de l' EC2 instance avant de rendre la clé KMS inutilisable.
Pour plus d’informations, veuillez consulter la rubrique How unusable KMS keys affect data keys dans le Guide du développeur AWS Key Management Service .
