Elastic Compute Service:Grant encryption permissions for ECS resources

Hizmet anahtarlarını kullanma

Alibaba Cloud, hizmet anahtarlarını ücretsiz olarak oluşturur ve yönetir. ECS, bu anahtarları herhangi bir izin kurulumu gerektirmeden doğrudan kullanır.

Disk yapılandırma bölümünde, Settings sütununda Encryption seçeneğini belirleyin. Sistem otomatik olarak alias/acs/ecs hizmet anahtarını kullanır.

CMK'leri kullanma

Bir CMK kullanmak için ECS'ye buna erişim izni vermeniz gerekir. Yetkilendirme akışı şu şekildedir:

1. Alibaba Cloud, hesabınızda KMS kaynaklarına erişim iznine sahip AliyunECSDiskEncryptDefaultRole adlı bir sistem RAM rolü oluşturur.

2. ECS, KMS'deki CMK'nize erişmek için bu RAM rolünü üstlenir.

Yetkilendirmeyi onaylayın:

1. Bir ECS kaynağını şifrelemek için ilk kez bir CMK seçtiğinizde (örneğin, şifreli bir disk oluştururken) If you want to select more keys, grant permissions to the RAM role mesajı görünür.

   Disk yapılandırma bölümünde Encryption onay kutusunu işaretleyin, Service Key açılır listesinden bir anahtar seçin (varsayılan: alias/acs/ecs) ve yetkilendirmeyi tamamlamak için Authorize seçeneğine tıklayın.

2. Authorize seçeneğine tıklayın. Sistem AliyunECSDiskEncryptDefaultRole rolünü oluşturur ve gerekli izinleri verir.

Onaylama işleminden sonra, konsolda ECS kaynaklarını yapılandırırken KMS'den herhangi bir CMK seçebilirsiniz.

Ön koşullar

Aşağıdakilere sahip olduğunuzdan emin olun:

• Paylaşan tarafın hesabında şifreli bir görüntü veya anlık görüntü

• Paylaşan tarafın hesabında RAM rolleri oluşturma ve yönetme izni

Adım 1: Bir RAM rolü oluşturun

Paylaşan tarafın hesabında, güvenilir varlık olarak paylaşan tarafın hesabının belirtildiği bir RAM rolü oluşturun. Bkz. Güvenilir bir Alibaba Cloud hesabı için RAM rolü oluşturma.

Kaynak türüne karşılık gelen rol adını kullanın:

Adım 2: Güven ilkesini değiştirin

RAM rolünün Trust Policy sekmesinde, paylaşılan tarafı belirtmek için ilkeyi güncelleyin. Bkz. RAM rolünün güven ilkesini değiştirme.

Paylaşım senaryonuz için uygun ilkeyi seçin:

Senaryo 1: Diğer Alibaba Cloud hesaplarıyla paylaşım

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "<UID1>@ecs.aliyuncs.com",
          "<UID2>@ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

<UID1> ve <UID2> değerlerini paylaşılan tarafın hesap kimlikleriyle değiştirin. Her hesap için bir giriş ekleyin.

Senaryo 2: Bir kaynak diziniyle paylaşım

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringEquals": {
          "sts:ServiceOwnerRDId": "<ID of the resource directory>"
        }
      }
    }
  ],
  "Version": "1"
}

<ID of the resource directory> değerini kaynak dizini kimliğinizle değiştirin. Bkz. Kaynak dizini hakkındaki temel bilgileri görüntüleme.

Senaryo 3: Bir kaynak dizinindeki belirli bir klasörle paylaşım

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "*@ecs.aliyuncs.com"
      },
      "Condition": {
        "StringLike": {
          "sts:ServiceOwnerRDPath": "<ID of the resource directory>/<Root folder ID>/.../<Current folder ID*>"
        }
      }
    }
  ],
  "Version": "1"
}

<ID of the resource directory>, <Root folder ID> ve <Current folder ID> yer tutucularını gerçek değerlerle değiştirin. Bkz. Klasör hakkındaki temel bilgileri görüntüleme.

Adım 3: RAM rolüne bir ilke ekleyin

İlke, şifreleme anahtarı türüne bağlıdır:

• Hizmet anahtarı: AliyunKMSFullAccess sistem ilkesini ekleyin. Bkz. AliyunKMSFullAccess.

• CMK: Özel bir ilke oluşturun ve ekleyin. Bkz. RAM rolünün izinlerini yönetme.

Özel ilke şablonu:

{
  "Version": "1",
  "Statement": [
    {
      "Action": "kms:List*",
      "Resource": "acs:kms:<region-id>:<account-id>:key",
      "Effect": "Allow"
    },
    {
      "Action": [
        "kms:DescribeKey",
        "kms:TagResource",
        "kms:UntagResource",
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "acs:kms:<region-id>:<account-id>:key/<cmk-id>",
      "Effect": "Allow"
    }
  ]
}

Yer tutucuları değiştirin:

Adım 4: Kaynağı paylaşın

Şifreli kaynağı paylaşılan tarafla paylaşın:

• Anlık görüntüyü diğer Alibaba Cloud hesaplarıyla paylaşma

• Özel görüntü paylaşma