Comment puis-je partager des AMI chiffrées entre des comptes pour lancer des instances EC2 chiffrées ?

Résolution

Prérequis : Assurez-vous de respecter les exigences relatives au partage d'AMI.

Pour partager des AMI chiffrées entre des comptes, procédez comme suit :

1. Vérifiez les informations relatives au chiffrement de l'AMI.
   Remarque : Vous ne pouvez pas partager les clés gérées par AWS entre plusieurs comptes. Par conséquent, vous ne pouvez pas partager les AMI que vous avez chiffrées avec la clé gérée par AWS par défaut. Si vous avez utilisé une clé gérée par AWS pour chiffrer l'AMI, copiez l'AMI et utilisez une clé gérée par le client pour chiffrer la nouvelle AMI.
2. Partagez l'AMI avec le compte cible.
   Remarque : Le compte cible est votre compte qui lance les instances EC2 chiffrées avec des AMI personnalisées partagées.
3. Modifiez la stratégie de clé afin de permettre aux utilisateurs du compte cible d'accéder à la clé AWS Key Management Service (AWS KMS).
4. Créez un utilisateur ou un rôle Gestion des identités et des accès AWS (AWS IAM) dans le compte cible. Puis, associez une politique au rôle qui lui confère les autorisations DescribeKey, ReEncrypt*, Decrypt, GenerateDataKeyWithoutPlainText et CreateGrant pour votre clé AWS KMS. Exemple de politique :

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:DescribeKey",
           "kms:ReEncrypt*",
           "kms:Decrypt",
           "kms:GenerateDataKeyWithoutPlainText",
           "kms:CreateGrant"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111111111111:key/cmkSource"
         ]
       }
     ]
   }

   Remarque : Remplacez 111111111111 par l'ID du compte source avec l'AMI chiffrée, us-east-1 par votre région AWS et cmkSource par l'ID de la clé gérée par le client.
5. Ouvrez la console Amazon EC2.
6. Dans le volet de navigation, sélectionnez Tableau de bord EC2, puis Lancer une instance.
7. Sous Noms et identifications, dans Nom, saisissez le nom de votre instance.
8. Sous Images de l'application et du système d'exploitation (Amazon Machine Image), sélectionnez Explorer plus d’AMI pour rechercher l'AMI chiffrée partagée.
9. Sélectionnez Mes AMI, puis Partagé avec moi.
10. Sous Type d'instance, sélectionnez un type d'instance.
11. Sous Paire de clés (connexion), dans Nom de la paire de clés, sélectionnez une paire de clés. Vous pouvez également en créer un.
12. (Facultatif) Dans Paramètres réseau, choisissez Modifier, puis sélectionnez votre cloud privé virtuel (VPC) ou vos sous-réseaux.
13. Sous Configurer le stockage, sélectionnez Avancé.
14. Sous Volumes EBS, développez Volume.
15. Sous Chiffré, sélectionnez Chiffré.
16. Sous Clé KMS, choisissez Spécifier une valeur personnalisée, puis saisissez l’Amazon Resource Name (ARN) complet de votre clé. Par exemple, arn:aws:kms:us-east-1:111111111111:key/key-id.
    Remarque : Si vous ne choisissez pas de clé AWS KMS, Amazon EC2 utilise la clé par défaut du compte cible pour le chiffrement Amazon Elastic Block Store (Amazon EBS).
17. Sous Résumé, choisissez Lancer l'instance.

Pour plus d'informations, consultez la section Lancer une instance EC2 à l'aide de l'assistant de lancement d'instance de la console.

Informations connexes

Comment puis-je partager une Amazon Machine Image (AMI) de manière privée avec un autre compte AWS ?

Scénarios de lancement d'instance

Lancer une instance Amazon EC2

Comment lancer une instance EC2 à partir d’une AMI personnalisée ?