Criptografia de volume do Amazon EBS

O Amazon EBS oferece capacidade de criptografia de volume. Cada volume é criptografado usando o AES-256-XTS. Isso requer duas chaves de volume de 256 bits, que você pode considerar como uma chave de volume de 512 bits. A chave de volume é criptografada sob uma chave KMS em sua conta. Para que o Amazon EBS criptografe um volume para você, ele deve ter acesso para gerar uma chave de volume (VK) sob uma chave KMS na conta. Você pode fazer isso fornecendo uma concessão para o Amazon EBS para a chave KMS para criar chaves de dados e criptografar e descriptografar essas chaves de volume. Agora, o Amazon EBS usa AWS KMS com uma chave KMS para gerar chaves de volume AWS KMS criptografadas.

O fluxo de trabalho a seguir criptografa os dados que estão sendo gravados em um volume do Amazon EBS:

1. O Amazon EBS obtém uma chave de volume criptografada em uma chave KMS AWS KMS por meio de uma sessão TLS e armazena a chave criptografada com os metadados do volume.

2. Quando o volume do Amazon EBS é montado, a chave de volume criptografada é recuperada.

3. Uma chamada AWS KMS via TLS é feita para descriptografar a chave de volume criptografada. AWS KMS identifica a chave KMS e faz uma solicitação interna a um HSM da frota para descriptografar a chave de volume criptografada. AWS KMS em seguida, retorna a chave de volume para o host Amazon Elastic Compute Cloud (Amazon EC2) que contém sua instância na sessão TLS.

4. A chave de volume é usada para criptografar e descriptografar todos os dados enviados e recebidos do volume do Amazon EBS anexado. O Amazon EBS retém a chave de volume criptografada para uso posterior caso a chave de volume na memória não esteja mais disponível.

Para obter mais informações sobre a criptografia de volumes do Amazon EBS com chaves KMS, consulte Como o Amazon Elastic Block Store usa AWS KMS no Guia do AWS Key Management Service Desenvolvedor e a criptografia do Amazon EBS no Guia do Usuário da Amazon e no EC2 Guia do Usuário da Amazon. EC2