☰

AWS-Stammvolume-Verschlüsselung

tag-icon • tag-icon amazon-web-services amazon-ec2 encryption amazon-ebs aws-cli
AWS-Stammvolume-Verschlüsselung

In meinem Szenario habe ich einige alte EBS-Volumes, die nicht verschlüsselt sind. Um neue Sicherheitsmaßnahmen des Unternehmens zu erfüllen, müssen alle Daten verschlüsselt werden. Daher muss ich einen Plan erstellen, um die unverschlüsselten Daten auf möglichst wenig störende Weise zu verschlüsseln (idealerweise ohne Ausfallzeiten).

Kann jemand einen Vorschlag machen, wie sich dies am besten erreichen lässt?

Antwort1

Hier sind die Schritte zum Verschlüsseln des EBS-Volumes:

  • IAM KMS-Verschlüsselungsschlüssel erstellen
  • Snapshot des Root-Volumes erstellen
  • Kopieren Sie einen Snapshot, der die Verschlüsselungsoption aktiviert
  • Erstellen Sie ein neues verschlüsseltes Volume aus einem verschlüsselten Snapshot
  • Trennen Sie das vorhandene Volume und ersetzen Sie es durch das verschlüsselte Volume

Weitere Informationen finden Sie hier:Dieser Artikel.

Antwort2

Das ist möglich, aber kompliziert. Root-Volumes können auf einer laufenden Instanz mithilfe eines Snapshots oder eines Images ersetzt werden. Wenn Sie jedoch einen Snapshot von einem neu verschlüsselten Volume erstellen, tritt ein Fehler auf. Sie können jedoch ein Image von diesem Snapshot erstellen und dann das Root-Volume ersetzen, ohne die Instanz anzuhalten. Hier sind die Schritte:

  1. Erstellen Sie einen Snapshot des unverschlüsselten Volumes

  2. Erstellen Sie ein Volume aus dem Snapshot und fügen Sie den Verschlüsselungsschlüssel hinzu. WICHTIG: Der Name des Root-Geräts muss derselbe sein. z. B.: /dev/xvda

  3. Erstellen Sie einen neuen Snapshot vom verschlüsselten Volume

  4. Erstellen eines Images aus dem verschlüsselten Snapshot

  5. Stammvolume durch neues Image ersetzen: Aktionen > Überwachen und Fehler beheben > Stammvolume ersetzen

Beachten Sie, dass Sie mit dieser Methode die Verschlüsselungsschlüssel nicht ändern, sondern nur einen hinzufügen können. Um ihn zu ändern, muss die Instanz gestoppt werden.

Einige nützliche Tipps:

  • Behalten Sie den Überblick über IDs

  • Verwenden Sie Tags und Beschreibungen, um den Überblick zu behalten.

  • Stellen Sie sicher, dass Snapshots und Volumes fertig und verfügbar sind.

  • Stellen Sie sicher, dass das neue Image dieselben Einstellungen wie die Originalinstanz hat.

Mehr Infos hier:https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/replace-root.html

verwandte Informationen