リージョンごとに EBS のデフォルト暗号化を有効にすると、すべての新規ディスク、コピーしたスナップショット、およびイメージが自動的に暗号化され、統一されたセキュリティコンプライアンスを実現できます。
制限事項
アカウントレベルのデフォルト暗号化には、以下の制限事項があります。
-
特定のユーザーのみが利用できます。アクセスをリクエストするには、してください。
-
アカウントレベルのデフォルト暗号化を設定するには、RAM ユーザーに AliyunECSFullAccess 権限を付与する必要があります。詳細については、「RAM ユーザー権限の管理」をご参照ください。
-
KMS が有効になっている必要があります。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。
-
アカウントレベルのデフォルト暗号化が有効になると、以下のようになります。
-
新規ディスクにのみ適用されます。既存のディスクは影響を受けません。
-
暗号化されていないディスクは作成できなくなり、スナップショットやイメージの標準コピーもサポートされません。
-
暗号化されていないスナップショットやイメージから、暗号化された標準 SSD、ウルトラディスク、またはベーシックディスクを作成することはできません。
-
EBS のアカウントレベルのデフォルト暗号化の設定
EBS のアカウントレベルのデフォルト暗号化の有効化
アカウントレベルのデフォルト暗号化をリージョンごとに設定します。有効にすると、そのリージョン内のすべての新規ディスク、コピーしたスナップショット、およびコピーしたイメージがデフォルトで暗号化されます。
コンソールの使用
-
Elastic Compute Service (ECS) コンソールにログインします。
-
概要 ページで、右側の [共通機能] セクションで 暗号化設定 をクリックします。
-
[リージョンを追加] をクリックし、リージョンとデフォルトの暗号化キーを選択して、OK をクリックします。
-
暗号化されたディスクを作成します。詳細については、「空のデータディスクの作成」をご参照ください。
暗号化 はデフォルトで選択されており、選択を解除できません。ディスクは、設定済みのデフォルトキーで暗号化されます。別のキーを使用するには、ドロップダウンリストからキーを選択します。
説明スナップショットからディスクを作成する場合、ESSD、ESSD Entry、または ESSD AutoPL ディスクのみがサポートされます。
API の使用
EnableDiskEncryptionByDefault API を呼び出して、EBS のアカウントレベルのデフォルト暗号化を有効にします。
EBS のアカウントレベルのデフォルト暗号化の無効化
リージョンのアカウントレベルのデフォルト暗号化は、いつでも無効にできます。個々のディスクは、引き続き手動で暗号化できます。詳細については、「暗号化ディスクの作成」をご参照ください。
コンソールの使用
-
ECS コンソールにログインします。
-
概要 ページの右側にある [共通機能] セクションで、暗号化設定 をクリックします。
-
対象リージョンの行で、
アイコンをクリックしてデフォルト暗号化を無効にします。
APIの使用
DisableDiskEncryptionByDefault API を呼び出して、対象リージョンのデフォルト暗号化を無効にします。
暗号化の結果
ディスク、スナップショット、イメージは、2 つの方法で暗号化できます。
-
ディスク、スナップショット、またはイメージを作成する際に暗号化キーを指定します。
-
アカウントレベルのデフォルト暗号化が有効になっている場合、新しいディスクとコピーしたスナップショットまたはイメージは、設定済みのデフォルトキーで暗号化されます。指定されたキーは、デフォルトキーよりも優先されます。
説明複数のキーが適用される場合、最も優先度の高いキーが使用されます： 指定されたキー > スナップショットキー (スナップショットから作成されたディスクまたはコピーしたスナップショットの場合) > 設定済みのデフォルトキー > サービスキー (alias/acs/ecs)。
ディスク暗号化の結果
|
暗号化の指定 |
ディスクソース |
アカウントレベルのデフォルト暗号化が無効 |
アカウントレベルのデフォルト暗号化が有効 |
||
|
デフォルト (キー未指定) |
カスタム (キー指定) |
デフォルト (キー未指定) |
カスタム (キー指定) |
||
|
いいえ (ディスク作成時に 暗号化 を選択しなかった場合) |
新規 (空の) ディスク |
暗号化されない |
該当なし |
設定済みのデフォルトキーで暗号化 |
該当なし |
|
暗号化されていないスナップショット/イメージから |
暗号化されない |
設定済みのデフォルトキーで暗号化 |
|||
|
暗号化されたスナップショット/イメージから |
スナップショット/イメージのキーで暗号化 |
スナップショット/イメージのキーで暗号化 |
|||
|
共有された暗号化されていないスナップショット/イメージから |
暗号化されない |
設定済みのデフォルトキーで暗号化 |
|||
|
共有された暗号化されたスナップショット/イメージから (Bring-Your-Own-Key (BYOK) で暗号化されたスナップショットのみ共有可能で、共有時にキーを変更する必要があります) |
サービスキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
|||
|
はい (ディスク作成時に 暗号化 を選択した場合) |
新規 (空の) ディスク |
サービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
暗号化されていないスナップショット/イメージから |
サービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
|
暗号化されたスナップショット/イメージから |
スナップショットのキーで暗号化 |
指定されたキーで暗号化 |
スナップショットのキーで暗号化 |
指定されたキーで暗号化 |
|
|
共有された暗号化されていないスナップショット/イメージから |
サービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
|
共有された暗号化されたスナップショット/イメージから (Bring-Your-Own-Key (BYOK) で暗号化されたスナップショットのみ共有可能で、共有時にキーを変更する必要があります) |
サービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
スナップショット暗号化の結果
|
暗号化の指定 |
スナップショットソース |
アカウントレベルのデフォルト暗号化が無効 |
アカウントレベルのデフォルト暗号化が有効 |
||
|
デフォルト (キー未指定) |
カスタム (キー指定) |
デフォルト (キー未指定) |
カスタム (キー指定) |
||
|
該当なし (スナップショット作成時) |
暗号化されていないクラウドディスク |
暗号化されない |
該当なし |
暗号化されない |
該当なし |
|
暗号化されたクラウドディスク |
ディスクのキーで暗号化 |
ディスクのキーで暗号化 |
|||
|
いいえ (スナップショットのコピー時に コピー を選択した場合) |
暗号化されていないスナップショットのクロスリージョンコピー (標準コピーはクロスリージョンコピーでのみサポートされます) |
暗号化されない |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
||
|
暗号化されたスナップショットのクロスリージョンコピー (標準コピーはクロスリージョンコピーでのみサポートされます) |
該当なし (暗号化されたスナップショットは、暗号化コピーのみをサポートします) |
該当なし (暗号化されたスナップショットは、暗号化コピーのみをサポートします) |
|||
|
共有された暗号化されていないスナップショットのクロスリージョンコピー |
暗号化されない |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
|||
|
共有された暗号化されたスナップショットのクロスリージョンコピー |
該当なし (暗号化されたスナップショットは、暗号化コピーのみをサポートします) |
該当なし (暗号化されたスナップショットは、暗号化コピーのみをサポートします) |
|||
|
はい (スナップショットのコピー時に コピーして暗号化 を選択した場合) |
同一リージョン内のスナップショット (任意の種類) の暗号化コピー |
現在のリージョンのサービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
別のリージョンへのスナップショット (任意の種類) の暗号化コピー |
宛先リージョンのサービスキーで暗号化 |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
|||
イメージ暗号化の結果
|
暗号化の指定 |
イメージソース |
アカウントレベルのデフォルト暗号化が無効 |
アカウントレベルのデフォルト暗号化が有効 |
||
|
デフォルト (キー未指定) |
カスタム (キー指定) |
デフォルト (キー未指定) |
カスタム (キー指定) |
||
|
該当なし (イメージ作成時) |
暗号化されていないディスクを持つ ECS インスタンスから作成 |
暗号化されない |
該当なし |
暗号化されない |
該当なし |
|
暗号化されたクラウドディスクを持つ ECS インスタンスから作成 |
ディスクのキーで暗号化 |
ディスクのキーで暗号化 |
|||
|
いいえ (イメージのコピー時に コピー を選択した場合) |
暗号化されていないイメージのクロスリージョンコピー (標準コピーはクロスリージョンコピーでのみサポートされます) |
暗号化されない |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
||
|
暗号化されたイメージのクロスリージョンコピー (標準コピーはクロスリージョンコピーでのみサポートされます) |
該当なし (暗号化されたイメージは、暗号化コピーのみをサポートします) |
該当なし (暗号化されたイメージは、暗号化コピーのみをサポートします) |
|||
|
共有された暗号化されていないイメージのクロスリージョンコピー |
暗号化されない |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
|||
|
共有された暗号化されたイメージのクロスリージョンコピー |
該当なし (暗号化されたイメージは、暗号化コピーのみをサポートします) |
該当なし (暗号化されたイメージは、暗号化コピーのみをサポートします) |
|||
|
はい (イメージのコピー時に コピーして暗号化 を選択した場合) |
同一リージョン内のイメージ (任意の種類) の暗号化コピー |
現在のリージョンのサービスキーで暗号化 |
指定されたキーで暗号化 |
設定済みのデフォルトキーで暗号化 |
指定されたキーで暗号化 |
|
別のリージョンへのイメージ (任意の種類) の暗号化コピー |
宛先リージョンのサービスキーで暗号化 |
宛先リージョンで設定済みのデフォルトキーで暗号化 |
|||
関連ドキュメント
API を使用してデフォルト暗号化を管理します。
-
デフォルトの暗号化キーの変更： ModifyDiskDefaultKMSKeyId または ResetDiskDefaultKMSKeyId
-
デフォルトの暗号化キーの照会： DescribeDiskDefaultKMSKeyId
-
デフォルト暗号化ステータスの照会： DescribeDiskEncryptionByDefaultStatus