¿Cómo comparto las AMI o instantáneas cifradas entre cuentas para iniciar instancias de Amazon EC2 cifradas?

Descripción corta

Para compartir automáticamente las AMI cifradas o las instantáneas de Amazon EBS entre cuentas y regiones de AWS, utiliza el runbook AWSSupport-ShareEncryptedAMIOrEBSSnapshot.

O bien, modifica manualmente la configuración para compartir las AMI y las instantáneas cifradas.

Importante: El runbook AWSSupport-ShareEncryptedAMIOrEBSSnapshotmodifica los recursos para configurar el acceso entre cuentas. Es posible que incurras en costes por las copias de los recursos entre regiones. Si utilizas una clave administrada de AWS, el runbook crea automáticamente una clave administrada por el cliente. El runbook usa la clave para copiar y compartir la AMI o la instantánea. No puedes usar una clave administrada de AWS para compartir manualmente las AMI o instantáneas cifradas.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de errores de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Uso de AWSSupport-ShareEncryptedAMIOrEBSSnapshot para compartir automáticamente AMI o instantáneas de Amazon EBS cifradas

Requisitos previos: Asegúrate de cumplir los siguientes requisitos de configuración:

• Tienes el ID de cuenta de destino correcto.
• Tu usuario o rol de AWS Identity and Access Management (IAM) tiene los permisos necesarios. Para obtener más información, consulta Permisos de IAM necesarios en AWSSupport-ShareEncryptedAMIOrEBSSnapshot.
• La cuenta de destino permite a sus usuarios o roles iniciar instancias cifradas con la clave de AWS Key Management Service (AWS KMS) de la cuenta de origen. Para ver un ejemplo de política de IAM, consulta Política requerida de AWS Identity and Access Management para la cuenta de destino en AWSSupport-ShareEncryptedAMIOrEBSSnapshot.
  Nota: El runbook modifica automáticamente la política de claves de AWS KMS en la cuenta de origen para conceder acceso entre cuentas a la cuenta de destino. Debes configurar únicamente los permisos de usuario o rol de IAM en la cuenta de destino.
• La AMI está en el estado Disponible o la instantánea de Amazon EBS está en el estado Completado.
• Para copiar entre regiones, la clave de AWS KMS administrada por el cliente debe existir y estar configurada como Habilitada en la región de destino. Para comprobar el estado de la clave, ejecuta el siguiente comando describe-key de la AWS CLI:

  aws kms describe-key --key-id key-example-id --region destination-region

  Nota: Sustituye key-example-id por tu ID de clave de AWS KMS y destination-region por la región de tu cuenta de destino.
• La clave de AWS KMS administrada por el cliente no debe ser una clave administrada de AWS.

Para ejecutar el runbook, consulta las instrucciones que se indican en AWSSupport-ShareEncryptedAMIOrEBSSnapshot. Asegúrate de ejecutar el runbook en la cuenta de origen que tenga la AMI o la instantánea.

Nota: El runbook revierte automáticamente los cambios si falla. Sin embargo, si la reversión falla, comprueba manualmente tu cuenta para verificar que no hay copias de instantáneas o AMI adicionales. Además, asegúrate de que LaunchPermission y CreateVolumePermission solo incluyan las cuentas necesarias y de que la política de claves de AWS KMS esté en su estado original.

Compartir manualmente las AMI cifradas

Requisito previo: Asegúrate de cumplir los requisitos para compartir las AMI.

Para compartir manualmente las AMI cifradas entre cuentas, sigue estos pasos:

1. Revisa los detalles de cifrado de las AMI.
   Nota: No puedes compartir las claves administradas de AWS entre cuentas. Como resultado, no puedes compartir las AMI que hayas cifrado con la clave administrada de AWS predeterminada. Si utilizaste una clave administrada de AWS para cifrar la AMI, cópiala y utiliza una clave administrada por el cliente para cifrar la nueva AMI.
2. Comparte la AMI con la cuenta de destino.
   Nota: La cuenta de destino es la cuenta que inicia las instancias de EC2 cifradas con las AMI personalizadas compartidas.
3. Edita la política de claves para permitir a los usuarios de la cuenta de destino acceder a la clave de AWS KMS.
4. Crea un usuario o rol de IAM en la cuenta de destino. A continuación, adjunta una política al rol que le otorgue permisos DescribeKey, ReEncrypt*, Decrypt, GenerateDataKeyWithoutPlainText y CreateGrant para tu clave de AWS KMS.
   Ejemplo de política:

   {  "Version": "2012-10-17",  "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:DescribeKey",
           "kms:ReEncrypt*",
           "kms:Decrypt",
           "kms:GenerateDataKeyWithoutPlainText",
           "kms:CreateGrant"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111111111111:key/cmkSource"
         ]
       }
     ]
   }

   Nota: Sustituye 111111111111 por el ID de la cuenta de origen con la AMI cifrada, us-east-1 por tu región y cmkSource por el ID de la clave administrada por el cliente.
5. Para iniciar una instancia desde la AMI compartida, abre la consola de Amazon EC2 en la cuenta de destino.
6. En el panel de navegación, selecciona Panel de EC2 y, a continuación, selecciona Iniciar instancia.
7. En Nombres y etiquetas, en Nombre, introduce un nombre para la instancia de EC2.
8. En Imágenes de aplicaciones y sistemas operativos (imagen de máquina de Amazon), elige Examinar más AMI para encontrar la AMI cifrada compartida.
9. Selecciona Mis AMI y, a continuación, elige Compartidas conmigo.
10. En Tipo de instancia, selecciona un tipo de instancia.
11. En Par de claves (inicio de sesión), en Nombre del par de claves, selecciona un par de claves. O bien, crea uno nuevo.
12. (Opcional) En Configuración de red, elige Editar y, a continuación, selecciona la nube virtual privada (VPC) o las subredes.
13. En Configurar almacenamiento, elige Avanzado.
14. En Volúmenes de EBS, expande Volumen.
15. En Cifrado, selecciona Cifrado.
16. En Clave de KMS, selecciona Especificar un valor personalizado y, a continuación, introduce el nombre de recurso de Amazon (ARN) completo de tu clave, como arn:aws:kms:us-east-1:111111111111:key/key-id.
    Nota: Si no eliges una clave de AWS KMS, Amazon EC2 utiliza la clave predeterminada de la cuenta de destino para el cifrado de Amazon EBS.
17. En Resumen, selecciona Iniciar instancia.

Compartir manualmente instantáneas cifradas

Requisito previo: Asegúrate de cumplir los requisitos para compartir las instantáneas.

Para compartir manualmente las instantáneas cifradas entre cuentas, sigue estos pasos:

1. Revisa los detalles de cifrado de las instantáneas.
   Nota: No puedes compartir las claves administradas de AWS entre cuentas. Como resultado, no puedes compartir las instantáneas que hayas cifrado con la clave administrada de AWS predeterminada. Si utilizaste una clave administrada de AWS para cifrar la instantánea, cópiala y utiliza una clave administrada por el cliente para cifrar la nueva instantánea.
2. Comparte la instantánea con la cuenta de destino.
   Nota: La cuenta de destino es la cuenta que crea volúmenes a partir de la instantánea cifrada compartida.
3. Edita la política de claves para permitir a los usuarios de la cuenta de destino acceder a la clave de AWS KMS.
4. Crea un usuario o rol de IAM en la cuenta de destino. A continuación, adjunta una política al rol que le otorgue permisos DescribeKey, ReEncrypt*, Decrypt, GenerateDataKeyWithoutPlainText y CreateGrant para tu clave de AWS KMS.
   Ejemplo de política:

   {  "Version": "2012-10-17",  "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:DescribeKey",
           "kms:ReEncrypt*",
           "kms:Decrypt",
           "kms:GenerateDataKeyWithoutPlainText",
           "kms:CreateGrant"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111111111111:key/cmkSource"
         ]
       }
     ]
   }

   Nota: Sustituye 111111111111 por el ID de la cuenta de origen con la AMI cifrada, us-east-1 por tu región y cmkSource por el ID de la clave administrada por el cliente.
5. Crea un volumen a partir de la instantánea compartida en la cuenta de destino.

Información relacionada

¿Cómo comparto una imagen de máquina de Amazon (AMI) de forma privada con otra cuenta de AWS?

Situaciones de iniciación de instancias

Inicio de una instancia de Amazon EC2

¿Cómo puedo iniciar una instancia de EC2 desde una AMI personalizada?

Cómo compartir AMI cifradas entre cuentas para iniciar instancias de EC2 cifradas