View a markdown version of this page

デフォルトで Amazon EBS の暗号化を有効化 - Amazon EBS
デフォルトの暗号化キー

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

デフォルトで Amazon EBS の暗号化を有効化

作成した新しい EBS ボリュームとスナップショットコピーの暗号化を強制するように AWS アカウントを設定できます。例えば、Amazon EBS は、インスタンスの起動時に作成された EBS ボリュームと、暗号化されていないスナップショットからコピーしたスナップショットを暗号化します。暗号化されていない EBS リソースから暗号化された EBS リソースへの移行の例については、暗号化されていないリソースの暗号化を参照してください。

デフォルトでは、暗号化は既存の EBS ボリュームまたはスナップショットには影響しません。

考慮事項

  • デフォルトでの暗号化はリージョン固有の設定です。リージョンに対して有効にした場合、そのリージョン内の個々のボリュームまたはスナップショットに対して無効にすることはできません。

  • デフォルトで Amazon EBS 暗号化は、すべての現行世代および前世代のインスタンスタイプでサポートされています。

  • スナップショットをコピーして、新しい KMS キーで暗号化すると、完全な (増分ではない) コピーが作成されます。その結果、追加のストレージコストが発生します。

Console
リージョンの暗号化をデフォルトで有効にするには

  1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

  2. ナビゲーションバーから、使用するリージョンを選択します。

  3. ナビゲーションペインから設定を選択し、データ保護とセキュリティタブを選択します。

  4. [EBS 暗号化] セクションで、[管理] を選択します。

  5. [Enable] (有効化) を選択します。は、デフォルトの暗号化キーとしてユーザーに代わってaws/ebs作成されたエイリアス AWS マネージドキー で保持するか、対称カスタマーマネージド暗号化キーを選択します。

  6. [Update EBS encryption] (EBS 暗号化を更新する) を選択します。

AWS CLI
デフォルトの暗号化設定を表示するには

get-ebs-encryption-by-default コマンドを使用します。

  • 特定のリージョンの場合

    aws ec2 get-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text);
do
    default=$(aws ec2 get-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
暗号化をデフォルトで有効にするには

enable-ebs-encryption-by-default コマンドを使用します。

  • 特定のリージョンの場合

    aws ec2 enable-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); 
do
    default=$(aws ec2 enable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
暗号化をデフォルトで無効にするには

disable-ebs-encryption-by-default コマンドを使用します。

  • 特定のリージョンの場合

    aws ec2 disable-ebs-encryption-by-default --region region

  • アカウントの全リージョンの場合

    echo -e "Region      \t Encrypt \t Key"; \
echo -e "----------- \t ------- \t -------" ; \
for region in $(aws ec2 describe-regions --region us-east-1 --query "Regions[*].[RegionName]" --output text); 
do
    default=$(aws ec2 disable-ebs-encryption-by-default --region $region --query "{Encryption_By_Default:EbsEncryptionByDefault}" --output text); 
    kms_key=$(aws ec2 get-ebs-default-kms-key-id --region $region | jq '.KmsKeyId'); 
    echo -e "$region \t $default \t\t $kms_key"; 
done
PowerShell
デフォルトの暗号化設定を表示するには

Get-EC2EbsEncryptionByDefault コマンドレットを使用します。

  • 特定のリージョンの場合

    Get-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    (Get-EC2Region).RegionName |
    ForEach-Object {
    [PSCustomObject]@{ 
        Region                    = $_
        EC2EbsEncryptionByDefault = Get-EC2EbsEncryptionByDefault -Region $_
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } |
    Format-Table -AutoSize
暗号化をデフォルトで有効にするには

Enable-EC2EbsEncryptionByDefault コマンドレットを使用します。

  • 特定のリージョンの場合

    Enable-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    (Get-EC2Region).RegionName |
    ForEach-Object { 
    [PSCustomObject]@{
        Region                    = $_
        EC2EbsEncryptionByDefault = Enable-EC2EbsEncryptionByDefault -Region $_
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } |
    Format-Table -AutoSize
暗号化をデフォルトで無効にするには

Disable-EC2EbsEncryptionByDefault コマンドレットを使用します。

  • 特定のリージョンの場合

    Disable-EC2EbsEncryptionByDefault -Region region

  • アカウントの全リージョンの場合

    (Get-EC2Region).RegionName |
    ForEach-Object { 
    [PSCustomObject]@{
        Region                    = $_
        EC2EbsEncryptionByDefault = Disable-EC2EbsEncryptionByDefault -Region $_
        EC2EbsDefaultKmsKeyId     = Get-EC2EbsDefaultKmsKeyId -Region $_ 
    } } |
    Format-Table -AutoSize

既存のスナップショットまたは暗号化されたボリュームに関連付けられている KMS キー を変更することはできません。ただし、スナップショットコピーオペレーション中に別の KMS キー を関連付けて、コピーしたスナップショットを新しい KMS キー で暗号化できます。

デフォルトの暗号化キー

Amazon EBS は、Amazon EBS リソースを作成するリージョン AWS マネージドキー ごとに一意の を自動的に作成します。この KMS キーのエイリアスは ですaws/ebs。これはデフォルトの暗号化キーです。デフォルトの暗号化キーをカスタマーマネージドキーに変更できます。

リージョンのデフォルトの暗号化キーを変更するには、次のいずれかの方法を使用します。

Console
リージョンのデフォルトの暗号化キーを変更するには

  1. Amazon EC2 コンソールの https://console.aws.amazon.com/ec2/ を開いてください。

  2. ナビゲーションバーから、使用するリージョンを選択します。

  3. ナビゲーションペインから設定を選択し、データ保護とセキュリティタブを選択します。

  4. [EBS 暗号化] セクションで、[管理] を選択します。

  5. デフォルトの暗号化キーで、使用する KMS キー ID を選択します。

  6. [Update EBS encryption] (EBS 暗号化を更新する) を選択します。

AWS CLI

modify-ebs-default-kms-key-id コマンドを使用します。

aws ec2 modify-ebs-default-kms-key-id --kms-key-id key-id --region region
PowerShell

Edit-EC2EbsDefaultKmsKeyId コマンドレットを使用します。

Edit-EC2EbsDefaultKmsKeyId -KmsKeyId key-id -Region region