加密EC2实例上的卷，当前由实例存储

Question

我有一个（未加密的）EC2实例，其实例存储根卷

现在我需要加密此实例上的存储

我该怎么做？

从AWS文档中，我认为我应该：

1. 生成加密密钥（通过IAM服务）
2. 拍摄根卷的快照
3. 从快照生成加密卷
4. 停止EC2实例
5. 分离根EBS卷
6. 在root（/ dev / sda1）
附加新的加密卷
7. 启动EC2实例

如果这是正确的，我关注的是步骤（3）。

我不确定是否可以从实例存储快照生成加密卷

感谢任何帮助/建议！

Answer 1

快照是EBS功能 - 您无法创建实例存储卷的快照。

您无法停止使用实例存储根卷的EC2实例 - 它们只能被终止。

有一种机制可以加密实例存储卷上的文件 - 请参阅this link - 但这有点像黑客攻击。

你不能简单地使用EBS卷吗？

Answer 2

您无法直接对未加密的卷进行加密。 AWS确实允许您在创建快照时进行加密并复制+加密卷。 AWS建议仅在完整卷上执行此操作，而不是单个文件夹。

对于快照选项：创建现有卷的快照，在应用加密时复制快照，将快照还原到新的加密卷。这将成为您的产量。删除旧卷。

对于复制选项：创建新的加密目标卷，附加原始卷，从现有卷复制数据。新卷现在是您的产量。删除旧卷。

亚马逊文档的详细信息如下：https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html。