共享 Amazon EBS 快照

要使用 Amazon KMS 控制台共享客户托管密钥

1. 在 Amazon KMShttps://console.aws.amazon.com/kms 打开 控制台。

2. 要更改 Amazon Web Services 区域，请使用页面右上角的 Region selector（区域选择器）。

3. 在导航窗格中，选择 Customer managed keys (客户托管密钥)。

4. 在 Alias (别名) 列中，选择用于加密快照的客户托管密钥的别名（文本链接）。密钥详细信息将在新页面中打开。

5. 在 Key policy (密钥策略) 部分，您会看到策略视图或默认视图。策略视图显示密钥策略文档。默认视图显示 Key administrators (密钥管理员)、Key deletion (密钥删除)、Key Use (密钥使用) 和 Other Amazon accounts (其他亚马逊云科技账户) 几个部分。如果您在控制台中创建了策略，但尚未对其进行自定义，则会显示默认视图。如果默认视图不可用，则需要在策略视图中手动编辑策略。有关更多信息，请参阅 Amazon Key Management Service 开发人员指南中的查看密钥策略（控制台）。

   使用策略视图或默认视图（具体取决于您可以访问哪个视图）向策略添加一个或多个 Amazon 账户 ID，如下所示：

   • （策略视图）选择 Edit (编辑)。将一个或多个 Amazon 账户 ID 添加到以下语句："Allow use of the key" 和 "Allow attachment of persistent resources"。选择 Save changes（保存更改）。在以下示例中，会将 Amazon 账户 ID 444455556666 添加到策略中。

     {
       "Sid": "Allow use of the key",
       "Effect": "Allow",
       "Principal": {"AWS": [
         "arn:aws:iam::111122223333:user/KeyUser",
         "arn:aws:iam::444455556666:root"
       ]},
       "Action": [
         "kms:Encrypt",
         "kms:Decrypt",
         "kms:ReEncrypt*",
         "kms:GenerateDataKey*",
         "kms:DescribeKey"
       ],
       "Resource": "*"
     },
     {
       "Sid": "Allow attachment of persistent resources",
       "Effect": "Allow",
       "Principal": {"AWS": [
         "arn:aws:iam::111122223333:user/KeyUser",
         "arn:aws:iam::444455556666:root"
       ]},
       "Action": [
         "kms:CreateGrant",
         "kms:ListGrants",
         "kms:RevokeGrant"
       ],
       "Resource": "*",
       "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
     }    

   • （默认视图）向下滚动到 Other Amazon accounts (其他亚马逊云科技账户)。选择 Add other Amazon accounts(添加其他亚马逊云科技账户)，并按提示输入Amazon账户 ID。要添加其他账户，选择 Add another Amazon account（添加其他亚马逊云科技账户）并输入 Amazon 账户 ID。添加完所有 Amazon 账户后，选择 Save changes（保存更改）。