View a markdown version of this page

共享音量 - Amazon EBS
Permissions共享音量查看共享卷共享音量的注意事项监控共享活动共享卷和回收站定价
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

共享音量

您可以使用 Amazon Resource Access Manager (Amazon RAM) 与其他 Amazon 账户共享 Amazon EBS 交易量。共享卷后，消费账户可以在同一个可用区内查看卷信息并创建共享卷的副本。有关创建副本的更多信息，请参阅复制 Amazon EBS 卷。消费账户无法附加、修改、删除或创建共享卷的快照。

例如，您可以与开发账户共享生产量，使用最新的生产数据刷新测试环境，同时保持账户级隔离。

您可以共享以下音量：

  • 未加密

  • 使用客户管理的密钥加密

您无法共享使用 Amazon EBS 的默认 Amazon 托管密钥加密的卷。

Permissions

为共享卷创建资源共享时，必须将托管权限与资源共享关联起来。托管权限决定使用账户可以在资源共享中的共享卷上执行哪些操作。 Amazon RAM 提供以下 Amazon 托管权限：

  • AWSRAMDefaultPermissionEBSVolume（默认）— 授予消费账户查看交易量信息的权限。

  • AWSRAMPermissionEBSVolumeCopyAccess— 授予使用者账户查看卷信息和创建共享卷副本的权限。

或者，您可以为该ec2:Volume资源类型创建客户管理权限。有关更多信息，请参阅《Amazon RAM 用户指南》中的创建和使用客户托管权限。

共享音量

使用以下方法之一共享亚马逊 EBS 卷。

Console
共享音量

  1. 在以下位置打开亚马逊弹性计算云控制台https://console.amazonaws.cn/ec2/。

  2. 在导航窗格中，选择 Volumes。

  3. 选择音量，然后选择操作，共享音量。

  4. 请执行以下操作之一：

    • 要将卷添加到现有资源共享，请选择资源共享。

    • 要创建新的资源共享，请选择创建新资源共享。这将打开 Amazon RAM 控制台，您可以在其中配置共享。

  5. 对于委托人，添加要与之共享交易量的账户。您可以添加个人账户 ID、组织单位 (OU) 或整个组织。

  6. 对于托管权限，请选择以下选项之一：

    • AWSRAMDefaultPermissionEBSVolume（默认）— 消费账户只能查看音量元数据。

    • AWSRAMPermissionEBSVolumeCopyAccess— 消费账户可以查看卷元数据并创建共享卷的副本。

    • 您为ec2:Volume资源类型创建的客户管理权限。

  7. 选择创建资源共享。

Amazon CLI

使用 create-resource-share 命令。指定批量 ARN、消费账户和权限 ARN。要查找音量 ARN，请调用 d es cribe-volumes。响应包括每个卷的VolumeArn字段。

以下示例创建了vol-1234567890abcdef0与账户共享交易量的资源共享222222222222，并分配了AWSRAMPermissionEBSVolumeCopyAccess托管权限：

aws ram create-resource-share \
--name my-volume-share \
--resource-arns arn:aws:ec2:us-east-1:111111111111:volume/vol-1234567890abcdef0 \
--principals 222222222222 \
--permission-arns arn:aws:ram::aws:permission/AWSRAMPermissionEBSVolumeCopyAccess \
--region us-east-1

要使用默认权限（AWSRAMDefaultPermissionEBSVolume仅限描述）共享，请省略--permission-arns参数：

aws ram create-resource-share \
--name my-volume-share \
--resource-arns arn:aws:ec2:us-east-1:111111111111:volume/vol-1234567890abcdef0 \
--principals 222222222222 \
--region us-east-1

有关资源共享的更多信息，请参阅《Amazon RAM 用户指南》中的创建资源共享。

查看共享卷

创建资源共享后，指定的账户会收到邀请。组织以外的账户 Amazon Organizations 必须接受邀请才能访问共享卷。有关更多信息，请参阅《Amazon RAM 用户指南》中的接受和拒绝资源共享邀请。

您可以使用以下方法之一查看与您的账户共享的卷。

Console
查看共享卷

  1. 在以下位置打开亚马逊弹性计算云控制台https://console.amazonaws.cn/ec2/。

  2. 在导航窗格中，选择 Volumes。

  3. 请执行以下操作之一：

    • 选择 “与我共享” 预设过滤器以显示与您的账户共享的所有音量。

    • 选择添加过滤器、所有者 ID，然后输入共享账户 ID。

共享卷在 “所有者 ID” 列中显示共享账户 ID。

Amazon CLI

使用带有owner-id过滤器的 describe-volumes 命令来显示特定账户与您共享的交易量。

aws ec2 describe-volumes \
--filters Name=owner-id,Values=111111111111 \
--region us-east-1

共享卷包含响应中的OwnerId字段，该字段显示共享账户 ID。

共享音量的注意事项

与其他账户共享交易量时，请考虑以下几点。

  • 您可以共享未加密的卷和使用客户管理的密钥加密的卷。您无法共享使用 Amazon EBS 的默认 Amazon 托管密钥加密的卷。

  • 要共享卷，卷所有者的账户必须拥有默认 Amazon EBS 加密密钥的kms:DescribeKey权限。这是所有卷所必需的，包括未加密的卷，因为该服务会在共享过程中验证卷的加密状态。

  • 要共享使用客户管理密钥加密的卷，您还必须与消费账户共享 KMS 密钥。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的 Allowing users in other accounts to use a KMS key。

  • 要创建共享加密卷的副本，消费账户需要 KMS 密钥kms:Decrypt上的kms:CreateGrantkms:GenerateDataKeykms:GenerateDataKeyWithoutPlaintextkms:ReEncrypt*、、和。

  • 消费账户无法附加、修改、删除共享卷或创建共享卷的快照。他们只能查看卷元数据和创建副本。

  • 在共享卷的所有账户中，一次只能对共享卷进行一次复制操作。在当前操作完成之前，其他复制请求会返回错误。

  • 可用区名称（例如us-east-1a）映射到不同 Amazon 账户中的不同物理位置。使用可用区 ID（例如use1-az1）来识别账户间的相同物理位置。有关更多信息，请参阅《Amazon RAM 用户指南》中 Amazon 资源的可用区 ID 。

  • 从资源共享中移除卷并不会取消正在进行的复制操作。

  • 删除源卷并不会取消正在进行的复制操作。

监控共享活动

Amazon CloudTrail API 日志

所有卷共享和复制 API 调用均已登录 Amazon CloudTrail。CopyVolumes系统会记录发起副本的账户和卷所有者的账户的 API 调用。有关更多信息，请参阅使用记录亚马逊弹性计算云 API 调用 Amazon CloudTrail。

亚马逊 EventBridge 通知

跨账户复制操作完成后，亚马逊 EBS 会发送亚马逊 EventBridge 事件。批量所有者和消费账户都会收到该事件。批量复制事件使用详细信息类型EBS Volume Notification和事件名称sharedVolumeCopy。该事件包括卷 ID、完成状态（completed或failed）和时间戳。

要设置通知，请创建一条将EBS Volume Notification事件与sharedVolumeCopy事件名称相匹配的亚马逊 EventBridge 规则。有关更多信息，请参阅亚马逊 EBS 的亚马逊 EventBridge 活动。

共享卷和回收站

如果您有适用于卷的回收站保留规则，则删除共享卷会将其移至回收站。在整个保留期内，该数量将保持在其 Amazon RAM 资源份额中。当您从回收站恢复卷时，可以通过删除前所属的相同资源共享来访问该卷。

请注意回收站中卷的以下资源共享行为：

  • 如果您在卷处于回收站时从资源共享中删除了该帐户，则恢复该卷不会重新授予该帐户访问权限。

  • 如果您在资源共享卷处于回收站中时向该资源共享添加了帐户，则该账户在恢复后可以访问该卷。

从回收站还原卷后，通过在Amazon RAM 控制台中查看您的资源共享，确认只有目标账户才有访问权限。

定价

通过共享音量不收取任何费用 Amazon RAM。创建副本的账户支付批量复制费用和新卷的常规亚马逊 EBS 批量费用。有关更多信息，请参阅 Amazon EBS 定价。