如何使用Elastic Beanstalk自动化EBS加密

Question

我希望为我创建的新EC2环境加密我的根EBS卷。 我知道我可以从AWS控制台和CloudFormation执行此操作，但希望能够通过Elastic Beanstalk配置文件执行此操作。

我尝试在启动配置中设置EBS卷，但是这只会从根卷创建额外的卷：

Type: AWS::AutoScaling::LaunchConfiguration
Properties:
  BlockDeviceMappings: [ DeviceName: "/dev/sdf1", Ebs: { Encrypted: true, VolumeSize: 8, VolumeType: gp2}]

我还尝试在环境创建上创建一个新的EBS卷，但我不确定如何动态获取EC2实例的逻辑名称（我在这里使用MyEC2作为参考）：

Type: AWS::EC2::Volume
Properties:
  AutoEnableIO: true
  AvailabilityZone: { "Fn::GetAtt" : [ "MyEC2", "AvailabilityZone" ] }
  Encrypted: true
  KmsKeyId: mykey
  Size: 8
  VolumeType: gp2

基本上我需要能够创建具有加密根卷的新环境。 任何帮助将不胜感激！

Answer 1

您无法使用CloudFormation或Beanstalk指定加密根卷。 关键是使用具有加密根卷的AMI。 这意味着复制您要使用的AMI并在AMI复制过程中对其进行加密。 一旦有了加密的AMI，就可以使用CloudFormation或Beanstalk中的AMI Id来启动实例。

要加密根卷：

• 在控制台中选择要创建EC2实例的AMI。
• 复制AMI，在选项中选择“加密”。 这将创建一个具有加密根卷的新AMI。
• 创建实例时指定新的AMI。

这是AWS上唯一可用于加密EC2实例上的根卷的方法。 一旦有了加密的AMI，就可以将其用于任何可以指定AMI ImageId来创建实例的服务。

加密卷将使用KMS来管理加密密钥。 注意：每个KMS密钥和使用费都会收取少量费用。

您还可以使用CLI创建加密的AMI。

aws ec2 copy-image -r source_region -s source_ami_id \
  [-n ami_name] [-d ami_description] [-c token] \
  [--encrypted] [--kmsKeyID keyid]

创建加密的AMI时，请勿使用从快照创建的AMI。 AWS声明这可能导致启动失败。

对于Elastic Beanstalk，这里有一个使用自定义AMI的链接：

使用自定义亚马逊机器映像（AMI）

Answer 2

自2019年5月23日起，您可以选择加入新EBS卷的默认加密 。 EBS（root / docker数据）都在启动时加密。 需要为每个区域启用此功能。

测试设置

平台版本和解决方案堆栈名称： 单容器Docker 18.06版本2.12.11

AWS控制台

EC2 Console > Settings > Always encrypt new EBS volumes

AWS CLI

首先升级awscli

pip install awscli --upgrade

启用

aws ec2 enable-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": true
}

禁用

aws ec2 disable-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": false
}

得到状态

aws ec2 get-ebs-encryption-by-default --region us-east-1
{
    "EbsEncryptionByDefault": false
}

https://aws.amazon.com/blogs/aws/new-opt-in-to-default-encryption-for-new-ebs-volumes/