使用云形成创建堆栈时加密EC2的根卷

Question

研究云形成脚本，它将创建简单的ec2实例。在这里，我想在启动时对根卷进行加密。可以创建一个单独的EBS，对其进行加密并将其作为启动卷附加。但我找不到启动时对其进行加密的方法。有什么办法吗？

预先感谢

Answer 1

在启动过程中，我们无法加密根卷。这是您需要做的。

1. 始终使用自定义KMS密钥。
2. 如果您拥有未加密的AMI，只需将AMI复制到相同的区域并在其中使用加密选项即可。
3. 然后在您的cloudformation中使用该AMI。

Answer 2

AWS最近似乎发布了一项功能，该功能可以基于非加密的AMI启动具有加密卷的实例。 Launch encrypted EBS backed EC2 instances from unencrypted AMIs in a single step

从CloudFormation角度看，您需要覆盖AMI块设备配置。因此，例如，您可以这样编写：

  BlockDeviceMappings:
  - DeviceName: "/dev/xvda"
    Ebs:
      VolumeSize: '8'
      Encrypted: 'true'

这将从具有默认KMS密钥的非加密AMI启动具有加密根EBS的实例