為 Amazon ECS 建立 Fargate 暫時性儲存的加密金鑰

導覽至 https://console.aws.amazon.com/kms。

請遵循 AWS Key Management Service Developer Guide 中的 Creating Keys 的說明操作。

建立 AWS KMS 金鑰時，請務必在金鑰政策中提供 Fargate 服務相關的 AWS KMS 操作許可。若要將客戶自管金鑰與 Amazon ECS 叢集資源搭配使用，必須在金鑰政策中允許下列 API 操作。

下列範例顯示您要套用至目標 AWS KMS 金鑰以進行加密的金鑰政策。若要使用下列政策範例，請將使用者輸入預留位置取代為您自己的資訊。一如往常，只設定您需要的許可，但您需要為至少一個使用者提供 AWS KMS 許可，以避免錯誤。

{
      "Sid": "Allow generate data key access for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow grant creation permission for Fargate tasks.",
      "Effect": "Allow",
      "Principal": { "Service":"fargate.amazonaws.com" },
      "Action": [
        "kms:CreateGrant"
      ],
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:aws:ecs:clusterAccount": [
            "customerAccountId"
          ],
          "kms:EncryptionContext:aws:ecs:clusterName": [
             "clusterName"
          ]   
        },
       "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
             "Decrypt"
          ]
       }
      },
      "Resource": "*"
    },
    {
      "Sid": "Allow describe key permission for cluster operator - CreateCluster and UpdateCluster.",
      "Effect": "Allow",
      "Principal": { "AWS":"arn:aws:iam::customerAccountId:role/customer-chosen-role" },
      "Action": [
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }

Fargate 任務使用 aws:ecs:clusterAccount 與 aws:ecs:clusterName 加密內容金鑰搭配該金鑰進行密碼編譯操作。客戶應新增這些許可，限制對特定帳戶和/或叢集的存取。在指定叢集時，請使用叢集名稱而非 ARN。

如需詳細資訊，請參閱 AWS KMS 開發人員指南中的加密內容。

建立或更新叢集時，您可以選擇使用條件索引鍵 fargateEphemeralStorageKmsKeyId。此條件索引鍵讓客戶可以更精細地控制 IAM 政策。fargateEphemeralStorageKmsKeyId 組態的更新僅在新服務部署上生效。

以下是允許客戶僅將許可授予一組特定核准 AWS KMS 金鑰的範例。

接下來是拒絕嘗試移除已與叢集建立關聯的 AWS KMS 金鑰的範例。

客戶可以使用 describe-cluster、 或 AWS CLI describe-tasksdescribe-services命令，查看其未受管任務或服務任務是否使用 金鑰加密。

如需詳細資訊，請參閱 AWS KMS Developer Guide 中的 Condition keys for AWS KMS。