Ловлюсь с томами шифрования EBS. Но я поражен и не понимаю, как это работает.
У меня есть две учетные записи пользователей xyz и abc с правами администратора, которые создаются из учетной записи root.
Я создал ключ из учетной записи xyz, скажем, xyz-key, и зашифровал том vol-xyz, используя его, и добавил к нему несколько файлов. xyz-key имеет как администратора ключа, так и пользователя ключа в качестве пользователя xyz.
Теперь я вошел в консоль как пользователь abc, отключил vol-xyz и подключился к другому экземпляру. Теперь, когда я попытался получить доступ к содержимому тома, все файлы доступны и не зашифрованы.
Разве том не должен быть зашифрован?
Когда вы шифруете том с помощью KMS-шифрования, данные шифруются, когда они находятся в состоянии покоя. Это означает, что данные зашифрованы, когда они находятся на оборудовании тома EBS. Не тогда, когда вы обращаетесь к нему из экземпляра EC2. Когда вы читаете блоки из тома EBS, система EC2 / EBS автоматически расшифровывает данные и представляет их вам в незашифрованном виде.
Данные шифруются на уровне блоков, а не на уровне файловой системы. К тому времени, когда ваш экземпляр EC2 Linux / Windows «увидит» блоки, данные уже будут расшифрованы.
Важно: вы никогда не увидите данные в зашифрованном виде.
KMS шифрование тома EBS не является скрытие данных от других людей, которые имеют доступ к вашему экземпляру EC2.
KMS шифрование тома EBS не является скрытие данных при подключении тома к другому экземпляру EC2.
KMS шифрование тома EBS делает скрыть данные от тех, кто получает доступ к оборудованию тома EBS напрямую.
KMS шифрование тома EBS делает скрыть данные, если человек начало у экземпляра EC2 нет доступа к ключу KMS. В этом случае экземпляр EC2 не начнется.
После запуска и запуска экземпляра EC2 любой, у кого есть доступ к экземпляру EC2, получит доступ к тому EBS. И данные никогда не будут казаться вам зашифрованными.
KMS-шифрование тома EBS скрывает данные, если лицо, запускающее экземпляр EC2, >> не имеет доступа к ключу KMS. В этом случае инстанс EC2 не запустится.
Я не уверен, что это совсем правильно. Пока экземпляр EC2 имеет доступ к ключу KMS (работает под ролью, имеющей доступ KMS), не имеет значения, какие учетные данные пользователя (пользователю просто нужен доступ EC2).
Звучит правильно?