Política de chaves do AWS KMS obrigatórias para uso com volumes criptografados

O Amazon EC2 Auto Scaling usa perfis vinculados ao serviço para delegar permissões para outros Serviços da AWS. Os perfis vinculados ao serviço do Amazon EC2 Auto Scaling são predefinidos e incluem as permissões que o Amazon EC2 Auto Scaling requer para chamar outros Serviços da AWS em seu nome. As permissões predefinidas também incluem acesso a suas Chaves gerenciadas pela AWS. No entanto, elas não incluem acesso às chaves gerenciadas pelo cliente, permitindo que você mantenha o controle total sobre essas chaves.

Este tópico descreve como configurar a política de chaves de que você precisa para iniciar instâncias do Auto Scaling ao especificar uma chave gerenciada pelo cliente para a criptografia do Amazon EBS.

Visão geral

A seguinte AWS KMS keys pode ser usada para criptografia do Amazon EBS quando o Amazon EC2 Auto Scaling inicia instâncias:

Você configura chaves gerenciadas pelo cliente ao criar snapshots criptografados ou um modelo de execução que especifica volumes criptografados ou ao habilitar a criptografia por padrão.

Configurar políticas de chave

Suas chaves do KMS devem ter uma política de chaves que permita que o Amazon EC2 Auto Scaling execute instâncias com volumes do Amazon EBS criptografados com uma chave gerenciada pelo cliente.

Use os exemplos nesta página para configurar uma política de chaves para conceder ao Amazon EC2 Auto Scaling acesso à sua chave gerenciada pelo cliente. Você pode modificar a política de chaves da chave gerenciada pelo cliente no momento em que a chave é criada ou posteriormente.

É necessário adicionar, no mínimo, duas declarações de política à política de chaves para que ela funcione com o Amazon EC2 Auto Scaling.

Ao adicionar as novas declarações de política à sua política de chave, não altere as declarações existentes na política.

Em cada um dos exemplos a seguir, os argumentos que devem ser substituídos, como um ID de chave ou o nome de um perfil vinculado ao serviço, são mostrados como texto substituível em itálico. Na maioria dos casos, você pode substituir o nome do perfil vinculado ao serviço pelo nome de um perfil vinculado ao serviço do Amazon EC2 Auto Scaling.

Para obter mais informações, consulte os seguintes recursos:

Exemplo 1: seções da política de chaves que permitem acesso à chave gerenciada pelo cliente

Adicione as duas instruções de política a seguir à política de chave da chave gerenciada pelo cliente, substituindo o ARN de exemplo pelo ARN do perfil vinculado ao serviço apropriado que tem acesso permitido à chave. Neste exemplo, as seções da política concedem ao perfil vinculado ao serviço chamado AWSServiceRoleForAutoScaling permissões para usar a chave gerenciada pelo cliente.

{
   "Sid": "Allow service-linked role use of the customer managed key",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:Encrypt",
       "kms:Decrypt",
       "kms:ReEncrypt*",
       "kms:GenerateDataKey*",
       "kms:DescribeKey"
   ],
   "Resource": "*"
}

{
   "Sid": "Allow attachment of persistent resources",
   "Effect": "Allow",
   "Principal": {
       "AWS": [
           "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
       ]
   },
   "Action": [
       "kms:CreateGrant"
   ],
   "Resource": "*",
   "Condition": {
       "Bool": {
           "kms:GrantIsForAWSResource": true
       }
    }
}

Exemplo 2: seções da política de chaves que permitem acesso entre contas à chave gerenciada pelo cliente

Se você criar uma chave gerenciada pelo cliente em uma conta diferente da conta usada pelo grupo do Auto Scaling, será necessário usar uma concessão em combinação com a política de chaves para permitir o acesso entre contas à chave.

É necessário concluir duas etapas na seguinte ordem:

Editar políticas de chaves no console do AWS KMS

Os exemplos nas seções anteriores mostram apenas como adicionar declarações a uma política de chaves, que é apenas uma maneira de alterar uma política de chaves. A maneira mais fácil de alterar uma política de chave é usar a visualização padrão do console do AWS KMS para políticas de chave e tornar uma identidade do IAM (usuário ou perfil) um dos usuários da chave para política de chave apropriada. Para obter mais informações, consulte Uso da visualização padrão do Console de gerenciamento da AWS no Guia do desenvolvedor do AWS Key Management Service.