amazon-web-services - 如何使用 Elastic Beanstalk 自动执行 EBS 加密

Question

我希望为我创建的新 EC2 环境加密我的根 EBS 卷。我知道我可以从 AWS 控制台和 CloudFormation 执行此操作，但希望能够通过 Elastic Beanstalk 配置文件执行此操作。

我尝试在启动配置中设置 EBS 卷，但这只会从根卷创建其他卷:

Type: AWS::AutoScaling::LaunchConfiguration
Properties:
  BlockDeviceMappings: [ DeviceName: "/dev/sdf1", Ebs: { Encrypted: true, VolumeSize: 8, VolumeType: gp2}]

我还尝试在环境创建时创建一个新的EBS卷，但是我不确定如何动态获取EC2实例的逻辑名称(我在这里使用MyEC2作为引用):

Type: AWS::EC2::Volume
Properties:
  AutoEnableIO: true
  AvailabilityZone: { "Fn::GetAtt" : [ "MyEC2", "AvailabilityZone" ] }
  Encrypted: true
  KmsKeyId: mykey
  Size: 8
  VolumeType: gp2

本质上，我需要能够使用加密的根卷创建一个新环境。任何帮助将不胜感激!

Answer 1

自 2019 年 5 月 23 日起，您可以为新 EBS 卷选择默认加密。两个 EBS(根/docker 数据)在启动时均已加密。需要每个区域启用此功能。

测试设置

平台版本和解决方案堆栈名称:单容器 Docker 18.06 版本 2.12.11

AWS 控制台

EC2 控制台 > 设置 > 始终加密新的 EBS 卷

AWS CLI

首先升级awscli

pip install awscli --upgrade

启用

aws ec2 enable-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": true
}

禁用

aws ec2 disable-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": false
}

获取状态

aws ec2 get-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": false
}

https://aws.amazon.com/blogs/aws/new-opt-in-to-default-encryption-for-new-ebs-volumes/