在使用云形成创建堆栈时加密 EC2 的根卷

Question

正在处理将创建简单 ec2 实例的云形成脚本。在这里，我想在启动时加密根卷。它可以创建一个单独的 EBS，对其进行加密并将其附加为启动卷。但我在启动时找不到加密它的方法。有什么办法吗？

提前致谢

Answer 1

AWS 最近似乎发布了一项功能，可以启动基于非加密 AMI 的加密卷实例。 Launch encrypted EBS backed EC2 instances from unencrypted AMIs in a single step

从 CloudFormation 的角度来看，您需要覆盖 AMI 块储存设备配置。例如，你可以这样写：

  BlockDeviceMappings:
  - DeviceName: "/dev/xvda"
    Ebs:
      VolumeSize: '8'
      Encrypted: 'true'

这将使用默认 KMS 密钥从非加密 AMI 启动具有加密根 EBS 的实例

Answer 2

我们无法在启动期间加密根卷。这是您需要做的。

1. 始终使用自定义 KMS 密钥。
2. 如果您有未加密的 AMI，只需将 AMI 复制到同一区域并在那里使用加密选项。
3. 然后在您的 cloudformation 中使用该 AMI。