amazon-web-services - 如何在启动 EC2 后使用 Terraform 加密 EBS

Question

如果我启动 EC2，根 EBS 将不会被加密(不知道为什么，可能是因为 EC2 是从公共(public) AMI 启动的。但即使我创建了自己的加密 AMI，我也无法从它启动 EC2.. ..)

无论如何，我知道我可以通过这种方式从现有的 EC2 加密 EBS:

1. 首先启动 EC2，然后对其进行快照，

2. 然后将快照复制到新快照，并将新快照设置为加密。

3. 然后从新快照创建一个卷，然后从现有的未加密卷中分离 EC2。

4. 然后将 EC2 附加到新的加密卷并将设备设置为/dev/sda1。

5. 最后，EC2 的 EBS 将被加密。如您所见，这些步骤很复杂。

事实上，我需要创建一个 EC2，EC2 应该使用 Terraform 加密根 EBS。上面的步骤看起来很复杂，我不知道如何使用Terraform开发它们。

我的问题是:启动 EC2 后如何编写 Terraform 代码加密 EBS？任何解决方案都可以，我只想使用 Terraform 开发它。如果 Terraform 无法做到这一点，我应该使用什么其他自动化工具？

Answer 1

我遇到了同样的问题。您可以使用下面的代码片段并将其添加到您的 terraform 脚本中。接下来，销毁您的基础设施设置并尝试重新创建它，您的所有 EC2 实例都将使用附加的 EBS 卷创建，这些卷依次加密。

resource "aws_ebs_encryption_by_default" "enabled" {
     enabled = true
}