Come posso condividere AMI o snapshot crittografati tra account per avviare istanze Amazon EC2 crittografate?

Breve descrizione

Per condividere automaticamente AMI o snapshot crittografati di Amazon EBS tra account e Regioni AWS, utilizza il runbook AWSSupport-ShareEncryptedAMIOrEBSSnapshot.

Oppure modifica manualmente la configurazione per condividere le AMI e gli snapshot crittografati.

Importante: il runbook AWSSupport-ShareEncryptedAMIOrEBSSnapshot modifica le risorse per configurare l'accesso multi-account. Potresti incorrere in costi per le copie delle risorse nelle diverse Regioni. Se utilizzi una chiave gestita da AWS, il runbook crea automaticamente una chiave gestita dal cliente. Il runbook utilizza la chiave per copiare e condividere l'AMI o lo snapshot. Non puoi utilizzare una chiave gestita da AWS per condividere manualmente AMI o snapshot crittografati.

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell’Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

Utilizza AWSSupport-ShareEncryptedAMIOrEBSSnapshot per condividere automaticamente AMI o snapshot crittografati di Amazon EBS

Prerequisiti: assicurati di rispettare i seguenti requisiti di configurazione:

• Hai l'ID dell'account di destinazione corretto.
• L'utente o il ruolo AWS Identity and Access Management (AWS IAM) ha le autorizzazioni necessarie. Per ulteriori informazioni, consulta Autorizzazioni IAM richieste in AWSSupport-ShareEncryptedAMIOrEBSSnapshot.
• L'account di destinazione consente ai suoi utenti o ruoli di avviare istanze crittografate con la chiave del Servizio AWS di gestione delle chiavi (AWS KMS) dall'account di origine. Per un esempio di policy IAM, consulta Policy AWS Identity and Access Management richiesta per l'account di destinazione in AWSSupport-ShareEncryptedAMIOrEBSSnapshot.
  Nota: il runbook modifica automaticamente la policy della chiave AWS KMS nell'account di origine per concedere l'accesso multi-account all'account di destinazione. Devi configurare solo le autorizzazioni dell'utente o del ruolo IAM nell'account di destinazione.
• L'AMI è nello stato Disponibile o lo snapshot di Amazon EBS è nello stato Completato.
• Per copiare tra Regioni, la chiave AWS KMS gestita dal cliente deve esistere ed essere impostata su Abilitata nella Regione di destinazione. Per verificare lo stato della chiave, esegui questo comando AWS CLI describe-key:

  aws kms describe-key --key-id key-example-id --region destination-region

  Nota: sostituisci key-example-id con l'ID della tua chiave AWS KMS e destination-region con la Regione del tuo account di destinazione.
• La chiave AWS KMS gestita dal cliente non deve essere una chiave gestita da AWS.

Per eseguire il runbook, consulta Istruzioni in AWSSupport-ShareEncryptedAMIOrEBSSnapshot. Assicurati di eseguire il runbook nell'account di origine che contiene l'AMI o lo snapshot.

Nota: il runbook annulla automaticamente le modifiche in caso di errore. Tuttavia, se il rollback fallisce, controlla manualmente l'account per verificare che non ci siano copie di AMI o snapshot aggiuntive. Inoltre, assicurati che LaunchPermission e CreateVolumePermission riportino solo gli account richiesti e che la policy della chiave AWS KMS sia nello stato originale.

Condividi manualmente AMI crittografate

Prerequisito: assicurati di rispettare i requisiti per la condivisione delle AMI.

Per condividere AMI crittografate tra account, completa i seguenti passaggi:

1. Rivedi i dettagli della crittografia delle AMI.
   Nota: non puoi condividere chiavi gestite da AWS tra account. Di conseguenza, non puoi condividere AMI crittografate con la chiave gestita da AWS predefinita. Se hai utilizzato una chiave gestita da AWS per crittografare l'AMI, copiala e utilizza una chiave gestita dal cliente per crittografare la nuova AMI.
2. Condividi l'AMI con l'account di destinazione.
   Nota: l'account di destinazione è l'account che avvia le istanze EC2 crittografate con le AMI personalizzate condivise.
3. Modifica la policy della chiave per consentire agli utenti dell'account di destinazione di accedere alla chiave AWS KMS.
4. Crea un utente o un ruolo IAM nell'account di destinazione. Quindi collega una policy al ruolo che gli assegni le autorizzazioni DescribeKey, ReEncrypt*, Decrypt, GenerateDataKeyWithoutPlainText e CreateGrant per la chiave AWS KMS.
   Esempio di policy:

   {  "Version": "2012-10-17",  "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:DescribeKey",
           "kms:ReEncrypt*",
           "kms:Decrypt",
           "kms:GenerateDataKeyWithoutPlainText",
           "kms:CreateGrant"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111111111111:key/cmkSource"
         ]
       }
     ]
   }

   Nota: sostituisci 111111111111 con l'ID dell'account di origine che ha l'AMI crittografata, us-east-1 con la tua Regione AWS e cmkSource con l'ID della chiave gestita dal cliente.
5. Per avviare un'istanza dall'AMI condivisa, apri la console Amazon EC2 nell'account di destinazione.
6. Nel pannello di navigazione, scegli EC2 dashboard (Dashboard EC2), quindi scegli Avvia istanza.
7. Alla voce Nome e tag, inserisci un nome per la nuova istanza EC2 in Nome.
8. In Application and OS Images (Amazon Machine Image) (Immagini del sistema operativo e delle applicazioni (Amazon Machine Image), scegli Sfoglia altre AMI per individuare l'AMI crittografata condivisa.
9. Seleziona Le mie AMI, quindi scegli Condivise con me.
10. Per Tipo di istanza, seleziona un tipo di istanza.
11. In Coppia di chiavi (login), per Nome della coppia di chiavi, seleziona una coppia di chiavi. Oppure creane una nuova.
12. (Facoltativo) In Impostazioni di rete, scegli Modifica, quindi seleziona il cloud privato virtuale (VPC) o le sottoreti.
13. Per Configura archiviazione, scegli Avanzate.
14. Alla voce Volumi EBS, espandi Volume.
15. Per Crittografato, scegli Crittografato.
16. Per Chiave KMS, scegli Specifica un valore personalizzato, quindi inserisci il nome della risorsa Amazon (ARN) completo della chiave, ad esempio arn:aws:kms:us-east-1:111111111111:key/key-id.
    Nota: se non scegli una chiave AWS KMS, Amazon EC2 utilizza la chiave predefinita dell'account di destinazione per la crittografia Amazon EBS.
17. Per Riepilogo, scegli Avvia istanza.

Condividi manualmente snapshot crittografati

Prerequisito: assicurati di rispettare i requisiti per la condivisione degli snapshot.

Per condividere manualmente snapshot crittografati tra account, completa i seguenti passaggi:

1. Rivedi i dettagli della crittografia degli snapshot.
   Nota: non puoi condividere chiavi gestite da AWS tra account. Di conseguenza, non puoi condividere snapshot crittografati con la chiave gestita da AWS predefinita. Se hai utilizzato una chiave gestita da AWS per crittografare lo snapshot, copialo e utilizza una chiave gestita dal cliente per crittografare il nuovo snapshot.
2. Condividi lo snapshot con l'account di destinazione.
   Nota: l'account di destinazione è l'account che crea i volumi dallo snapshot crittografato condiviso.
3. Modifica la policy della chiave per consentire agli utenti dell'account di destinazione di accedere alla chiave AWS KMS.
4. Crea un utente o un ruolo IAM nell'account di destinazione. Quindi collega una policy al ruolo che gli assegni le autorizzazioni DescribeKey, ReEncrypt*, Decrypt, GenerateDataKeyWithoutPlainText e CreateGrant per la chiave AWS KMS.
   Esempio di policy:

   {  "Version": "2012-10-17",  "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:DescribeKey",
           "kms:ReEncrypt*",
           "kms:Decrypt",
           "kms:GenerateDataKeyWithoutPlainText",
           "kms:CreateGrant"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111111111111:key/cmkSource"
         ]
       }
     ]
   }

   Nota: sostituisci 111111111111 con l'ID dell'account di origine che ha l'AMI crittografata, us-east-1 con la tua Regione AWS e cmkSource con l'ID della chiave gestita dal cliente.
5. Crea un volume dallo snapshot condiviso nell'account di destinazione.

Informazioni correlate

Come faccio a condividere un'Amazon Machine Image (AMI) privatamente con un altro account AWS?

Scenari di avvio di istanze

Avviare un'istanza Amazon EC2

Come faccio ad avviare un'istanza EC2 da un AMI personalizzata?

How to share encrypted AMIs across accounts to launch encrypted EC2 instances (Come condividere AMI crittografate tra account per avviare istanze EC2 crittografate)