Elastic Compute Service:暗号化関連の権限

ECSリソースの暗号化

ECSとKMSは深く統合されています。 ディスク、スナップショット、イメージなどのECSリソースを暗号化する場合は、KMSキーとKMSが提供するエンベロープ暗号化テクノロジを使用して、ECSリソースのデータを暗号化できます。 KMSが提供するサービスキー、または作成したカスタマーマスターキー (CMK) を使用できます。 暗号化キーの詳細については、「クラウドディスクの暗号化」トピックの暗号化キーセクションを参照してください。

アカウント間で暗号化されたリソースを共有する

暗号化されたイメージまたはスナップショットを別のAlibaba Cloudアカウントまたはリソースディレクトリ (sharee) と共有する場合、イメージまたはスナップショットを暗号化するKMSキーにアクセスする権限を共有者に付与する必要があります。 イメージまたはスナップショットは、現在のAlibaba Cloudアカウント (共有者) のKMSキーを使用して暗号化されます。 共有者に上記の権限を付与するには、共有者アカウントにデフォルトのシステムロールを作成し、共有者のECSサービスが共有者アカウントのデフォルトのシステムロールを引き受け、共有者アカウントのKMSサービスを使用できるようにします。 以下の手順を実行します。

1. RAMロールの作成

暗号化されたスナップショットや暗号化されたイメージなどのリソースを共有する、信頼できるエンティティであるAlibaba Cloudアカウント (共有者) にRAMロールを作成します。 詳細については、「信頼できるAlibaba CloudアカウントのRAMロールの作成」をご参照ください。

• 暗号化されたスナップショットを共有する場合は、AliyunECSShareEncryptSnapshotDefaultRoleという名前のRAMロールを作成します。

• 暗号化されたイメージを共有する場合は、AliyunECSShareEncryptImageDefaultRoleという名前のRAMロールを作成します。

2. RAMロールのプリンシパルの変更

[信頼ポリシー] タブで、信頼ポリシーを変更して、暗号化されたスナップショットまたはイメージを共有するアカウントまたはリソースディレクトリを指定します。 詳細については、「RAMロールの信頼ポリシーの編集」をご参照ください。 次のサンプルコードは、RAMロールの信頼ポリシーの例を示しています。

シナリオ1: ECSリソースを他のAlibaba Cloudアカウントと共有する

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "<UID1>@ecs.aliyuncs.com",
          "<UID2>@ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

シナリオ2: ECSリソースとリソースディレクトリの共有

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringEquals": {
          "sts:ServiceOwnerRDId": "<ID of the resource directory>"
        }
      }
    }
  ],
  "Version": "1"
}

シナリオ3: リソースディレクトリのフォルダとリソースを共有する

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringLike": {
          "sts:ServiceOwnerRDPath": "<ID of the resource directory>/<Root folder ID>/.../<Current folder ID*>"
        }
      }
    }
  ],
  "Version": "1"
}

3. カスタムポリシーを作成し、そのポリシーをRAMロールにアタッチする

共有するイメージまたはスナップショットがCMKを使用して暗号化されている場合、ECSがCMKにアクセスして使用できるように、カスタムポリシーを作成し、そのポリシーをRAMロールにアタッチする必要があります。 詳細については、「RAMロールへの権限の付与」をご参照ください。 次のサンプルコードは、カスタムポリシーの例を示しています。

{
  "Version": "1",
  "Statement": [
    {
      "Action": "kms:List*",
      "Resource": "acs:kms:<ID of the region in which the CMK resides>:<ID of the Alibaba Cloud account to which the CMK belongs>:key",
      "Effect": "Allow"
    },
    {
      "Action": [
        "kms:DescribeKey",
        "kms:TagResource",
        "kms:UntagResource",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "acs:kms:<ID of the region in which the CMK resides>:<ID of the Alibaba Cloud account to which the CMK belongs>:key/<ID of the CMK associated with the ECS resource>",
      "Effect": "Allow"
    }
  ]
}

4。 他のAlibaba Cloudアカウントとリソースを共有する

このトピックでは、暗号化操作に関連する権限について説明します。 詳細については、以下のトピックをご参照ください。

• 他のAlibaba Cloudアカウントとのスナップショットの共有

• カスタムイメージの共有