加密ECS資源

ECS和KMS深度集成。當(dāng)您需要對ECS的云盤、快照、鏡像等資源進行加密時，可直接選擇使用KMS的密鑰，并使用KMS提供的信封加密技術(shù)對云資源進行數(shù)據(jù)加密。您可以選擇使用KMS提供的服務(wù)密鑰也可使用您自行創(chuàng)建的用戶主密鑰進行加密。關(guān)于加密密鑰的更多說明，請參見加密密鑰。

跨賬號共享加密資源

當(dāng)您希望將加密的鏡像、快照共享給其他阿里云賬號或RD組織使用時，由于鏡像、快照已經(jīng)被當(dāng)前阿里云賬號下的KMS密鑰加密過，所以需要授權(quán)允許被共享賬號或RD組織訪問當(dāng)前云賬號KMS密鑰的權(quán)限。授權(quán)的大致流程為：在當(dāng)前共享賬號下創(chuàng)建系統(tǒng)默認(rèn)角色，授權(quán)允許被共享賬號的ECS服務(wù)扮演當(dāng)前共享賬號的系統(tǒng)默認(rèn)角色，使用當(dāng)前賬號的KMS服務(wù)。具體授權(quán)流程如下：

1. 創(chuàng)建RAM角色

根據(jù)要共享的資源（加密快照/加密鏡像），在共享資源的賬號下創(chuàng)建可信實體為阿里云賬號的RAM角色，具體操作請參見創(chuàng)建可信實體為阿里云賬號的RAM角色。

• 共享加密快照時創(chuàng)建的RAM角色：AliyunECSShareEncryptSnapshotDefaultRole。

• 共享加密鏡像時創(chuàng)建的RAM角色：AliyunECSShareEncryptImageDefaultRole。

2. 修改RAM角色的授信主體

在信任策略頁簽，修改信任策略，確定將加密快照、加密鏡像共享給哪些被共享賬號或RD組織的ECS服務(wù)使用。具體操作，請參見修改RAM角色的信任策略。修改后的RAM角色的信任策略內(nèi)容如下：

場景一：共享給其他阿里云賬號

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "<UID1>@ecs.aliyuncs.com",
          "<UID2>@ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

場景二：共享給RD組織

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringEquals": {
          "sts:ServiceOwnerRDId": "<資源目錄ID>"
        }
      }
    }
  ],
  "Version": "1"
}

場景三：共享給RD組織的某個資源夾

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringLike": {
          "sts:ServiceOwnerRDPath": "<資源目錄ID>/<Root資源夾ID>/……/<當(dāng)前資源夾ID*>"
        }
      }
    }
  ],
  "Version": "1"
}

3. 創(chuàng)建權(quán)限策略并授權(quán)

如果您的鏡像或快照是使用用戶主密鑰加密，需要創(chuàng)建自定義權(quán)限策略并給RAM角色授權(quán)，允許ECS訪問和使用KMS的指定密鑰。詳細的授權(quán)操作請參見為RAM角色授權(quán)。策略信息如下：

{
  "Version": "1",
  "Statement": [
    {
      "Action": "kms:List*",
      "Resource": "acs:kms:<密鑰歸屬地域ID>:<密鑰歸屬用戶UID>:key",
      "Effect": "Allow"
    },
    {
      "Action": [
        "kms:DescribeKey",
        "kms:TagResource",
        "kms:UntagResource",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "acs:kms:<密鑰歸屬地域ID>:<密鑰歸屬用戶UID>:key/<關(guān)聯(lián)的KMS加密密鑰Key>",
      "Effect": "Allow"
    }
  ]
}

4. 將資源共享給其他阿里云賬號

本文主要介紹加密操作涉及的權(quán)限部分，其他內(nèi)容請參見：

• 共享加密快照，請參見共享加密快照。

• 共享加密鏡像，請參見共享加密自定義鏡像。