Elastic Block Storage のアカウントレベルのデフォルト暗号化 - Elastic Compute Service

リージョンごとに Elastic Block Storage (EBS) のデフォルト暗号化を有効にすることで、すべての新しいディスク、コピーされたスナップショット、およびイメージを自動的に暗号化し、セキュリティコンプライアンスの統一を実現します。

制限事項

アカウントレベルのデフォルト暗号化には、次の制限事項があります。

特定のユーザーのみが利用できます。アクセスをリクエストするには、チケットを送信してください。
アカウントレベルのデフォルト暗号化を設定するには、RAM ユーザーに AliyunECSFullAccess 権限を付与する必要があります。詳細については、「RAM ユーザー権限の管理」をご参照ください。
KMS を有効にしておく必要があります。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。
アカウントレベルのデフォルト暗号化を有効にした後：
- 新しいディスクにのみ適用されます。既存のディスクは影響を受けません。
- 暗号化されていないディスクは作成できず、スナップショットやイメージの標準コピーはサポートされていません。
- 暗号化されていないスナップショットやイメージから、暗号化された標準 SSD、ウルトラディスク、またはベーシックディスクを作成することはできません。

EBS のアカウントレベルのデフォルト暗号化の設定

EBS のアカウントレベルのデフォルト暗号化の有効化

リージョンごとにアカウントレベルのデフォルト暗号化を設定します。有効にすると、そのリージョン内のすべての新しいディスク、コピーされたスナップショット、およびコピーされたイメージがデフォルトで暗号化されます。

コンソールの使用

ECS コンソールにログインします。
概要ページの右側にある [共通機能] セクションで、暗号化設定 をクリックします。
[リージョンの追加] をクリックし、リージョンとデフォルトの暗号化キーを選択してから、OK をクリックします。

説明
サービスキー ([alias/acs/ecs]) または KMS で作成されたカスタムマスターキーを選択します。暗号化キーの詳細については、「ディスクの暗号化」をご参照ください。マスターキーのリージョンと権限の制限については、「ディスクの暗号化」をご参照ください。

この機能は新しく作成されたリソースにのみ適用され、既存のリソースには影響しません。有効にすると、リージョン内のすべてのディスク作成、スナップショットコピー、およびイメージコピーが強制的に暗号化されます。
暗号化されたディスクを作成します。詳細については、「空のデータディスクの作成」をご参照ください。

暗号化 はデフォルトで選択されており、選択を解除することはできません。ディスクは設定されたデフォルトキーで暗号化されます。別のキーを使用するには、ドロップダウンリストからキーを選択します。

説明
スナップショットからディスクを作成する場合、ESSD、ESSD Entry、または ESSD AutoPL ディスクのみがサポートされています。

API の使用

EnableDiskEncryptionByDefault API を呼び出して、EBS のアカウントレベルのデフォルト暗号化を有効にします。

EBS のアカウントレベルのデフォルト暗号化の無効化

リージョンのアカウントレベルのデフォルト暗号化はいつでも無効にできます。個々のディスクは手動で暗号化することもできます。詳細については、「暗号化ディスクの作成」をご参照ください。

コンソールの使用

ECS コンソールにログインします。
概要ページの右側にある [共通機能] セクションで、暗号化設定 をクリックします。
対象リージョンの行で、アイコンをクリックしてデフォルトの暗号化を無効にします。

APIを使用する

DisableDiskEncryptionByDefault API を呼び出して、対象リージョンのデフォルトの暗号化を無効にします。

Encryption results

Disks, snapshots, and images can be encrypted in two ways:

Specify an encryption key when creating a disk, snapshot, or image.
With account-level default encryption enabled, new disks and copied snapshots or images are encrypted with the configured default key. A specified key takes precedence over the default key.

説明
When multiple keys apply, the highest-priority key is used: Specified key > Snapshot key (for disks created from snapshots or for copied snapshots) > Configured default key > Service key (alias/acs/ecs).

Disk encryption results

Encryption specified	Disk source	Account-level default encryption disabled		Account-level default encryption enabled
Encryption specified	Disk source	Default (key not specified)	Custom (key specified)	Default (key not specified)	Custom (key specified)
No (Did not select [暗号化] when creating the disk)	New (empty) disk	Not encrypted	Not applicable	Encrypted with the configured default key	Not applicable
	From an unencrypted snapshot/image	Not encrypted		Encrypted with the configured default key
	From an encrypted snapshot/image	Encrypted with the snapshot/image key		Encrypted with the snapshot/image key
	From a shared unencrypted snapshot/image	Not encrypted		Encrypted with the configured default key
	From a shared encrypted snapshot/image (Only snapshots encrypted with a Bring-Your-Own-Key (BYOK) key can be shared, and the key must be changed when sharing)	Encrypted with the service key		Encrypted with the configured default key
Yes (Selected [暗号化] when creating the disk)	New (empty) disk	Encrypted with the service key	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key
	From an unencrypted snapshot/image	Encrypted with the service key	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key
	From an encrypted snapshot/image	Encrypted with the snapshot's key	Encrypted with the specified key	Encrypted with the snapshot's key	Encrypted with the specified key
	From a shared unencrypted snapshot/image	Encrypted with the service key	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key
	From a shared encrypted snapshot/image (Only snapshots encrypted with a Bring-Your-Own-Key (BYOK) key can be shared, and the key must be changed when sharing)	Encrypted with the service key	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key

Snapshot encryption results

Specify Encryption	Snapshot source	Account-level default encryption disabled		Account-level default encryption enabled
Specify Encryption	Snapshot source	Default (key not specified)	Custom (key specified)	Default (key not specified)	Custom (key specified)
Not applicable (When creating a snapshot)	Creating an Unencrypted Cloud Disk	Not encrypted	Not applicable	Not encrypted	Not applicable
Not applicable (When creating a snapshot)	Creating an Encrypted Cloud Disk	Encrypted with the disk's key		Encrypted with the disk's key
No (Selected [コピー] when copying the snapshot)	Cross-region copy of an unencrypted snapshot (Standard copy is only supported for cross-region copies)	Not encrypted		Encrypted with the default key configured in the destination region
	Cross-region copy of an encrypted snapshot (Standard copy is only supported for cross-region copies)	Not applicable (Encrypted snapshots only support encrypted copy)		Not applicable (Encrypted snapshots only support encrypted copy)
	Cross-region copy of a shared unencrypted snapshot	Not encrypted		Encrypted with the default key configured in the destination region
	Cross-region copy of a shared encrypted snapshot	Not applicable (Encrypted snapshots only support encrypted copy)		Not applicable (Encrypted snapshots only support encrypted copy)
Yes (Selected [コピーして暗号化] when copying the snapshot)	Encrypted copy of a snapshot (any type) in the same region	Encrypted with the service key of the current region	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key
Yes (Selected [コピーして暗号化] when copying the snapshot)	Encrypted copy of a snapshot (any type) to another region	Encrypted with the service key of the destination region	Encrypted with the specified key	Encrypted with the default key configured in the destination region	Encrypted with the specified key

Image encryption results

Encryption specified	Image Source	Account-level default encryption disabled		Account-level default encryption enabled
Encryption specified	Image Source	Default (key not specified)	Custom (key specified)	Default (key not specified)	Custom (key specified)
Not applicable (When creating an image)	Created from an ECS instance with unencrypted disks	Not encrypted	Not applicable	Not encrypted	Not applicable
Not applicable (When creating an image)	Creating an ECS instance with an encrypted cloud disk	Encrypted with the disk's key		Encrypted with the disk's key
No (Selected [コピー] when copying the image)	Cross-region copy of an unencrypted image (Standard copy is only supported for cross-region copies)	Not encrypted		Encrypted with the default key configured in the destination region
	Cross-region copy of an encrypted image (Standard copy is only supported for cross-region copies)	Not applicable (Encrypted images only support encrypted copy)		Not applicable (Encrypted images only support encrypted copy)
	Cross-region copy of a shared unencrypted image	Not encrypted		Encrypted with the default key configured in the destination region
	Cross-region copy of a shared encrypted image	Not applicable (Encrypted images only support encrypted copy)		Not applicable (Encrypted snapshots support only encrypted replication.)
Yes (Selected [コピーして暗号化] when copying the image)	Encrypted copy of an image (any type) in the same region	Encrypted with the service key of the current region	Encrypted with the specified key	Encrypted with the configured default key	Encrypted with the specified key
Yes (Selected [コピーして暗号化] when copying the image)	Encrypted copy of an image (any type) to another region	Encrypted with the service key of the destination region	Encrypted with the specified key	Encrypted with the default key configured in the destination region	Encrypted with the specified key

References

Use the API to manage default encryption:

Modify the default encryption key: ModifyDiskDefaultKMSKeyId or ResetDiskDefaultKMSKeyId
Query the default encryption key: DescribeDiskDefaultKMSKeyId
Query default encryption status: DescribeDiskEncryptionByDefaultStatus