如何建立具有 EBS 磁碟區加密的 EMR 叢集？

2 分的閱讀內容

我想要在 Amazon EMR 中開啟 Amazon Elastic Block Store (Amazon EBS) 加密。或者，我想要使用 AWS Key Management Service (AWS KMS) 金鑰來加密連接至我的 EMR 叢集的 EBS 磁碟區。

簡短描述

Amazon EBS 加密與 AWS KMS 整合，提供可保護資料的加密金鑰。從 Amazon EMR 5.24.0 版開始，您可以選擇開啟 EBS 加密。EBS 加密選項會加密 EBS 根裝置磁碟區和連接的儲存磁碟區。如需考量和限制，請參閱本機磁碟加密。

有兩個選項可以加密 EMR 叢集上的 EBS 磁碟區：

根據預設，會在帳戶層級為 EBS 磁碟區開啟加密。
建立 KMS 金鑰和 Amazon EMR 安全組態，以加密特定 EMR 叢集的 EBS 磁碟區。

解決方案

根據預設，會在帳戶層級為 EBS 磁碟區開啟加密

如需詳細資訊，請參閱預設加密。

建立 KMS 金鑰和 Amazon EMR 安全組態，以加密特定 EMR 叢集的 EBS 磁碟區

若要使用此選項，請執行下列動作：

建立 KMS 金鑰。
建立和設定 Amazon EMR 安全組態。
使用安全組態佈建 EMR 叢集。

步驟 1：建立 KMS 金鑰

如果您沒有針對此目的準備好 KMS 金鑰，請執行下列動作來建立金鑰：

開啟 AWS KMS 主控台。
若要變更 AWS 區域，請使用頁面右上角的區域選取器。
在導覽窗格中，選擇 Customer managed keys (客戶管理的金鑰)。
選擇 Create key (建立金鑰)。
若要建立對稱加密 KMS 金鑰，請針對 Key type (金鑰類型) 選擇 Symmetric (對稱)。
在 Key usage (金鑰使用) 中，會為您選取 Encrypt and decrypt (加密和解密) 選項。
選擇 Next (下一步)。
輸入金鑰的別名。
選擇 Next (下一步)。
選擇金鑰管理員。
選擇 Next (下一步)。
選取 Amazon EMR 服務角色。預設角色為 EMR_DefaultRole。
選取 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體設定檔角色。執行個體設定檔的預設角色為 EMR_EC2_DefaultRole。
選擇 Next (下一步)。
選擇 Finish (完成)。

如果您使用的是自訂 Amazon EMR 服務角色，請在佈建 EMR 叢集之前將下列政策新增至該角色。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey",
            "kms:CreateGrant",
            "kms:ListGrants"
        ],
        "Resource": [
            "arn:aws:kms:region:account-id:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
        ]
    }]
}

步驟 2：建立和設定 Amazon EMR 安全組態。

開啟 Amazon EMR 主控台。
選擇 Security configurations (安全組態)。
選擇 Create (建立)。
在 Local disk encryption (本機磁碟加密) 底下，選擇 Enable at-rest encryption for local disks (針對本機磁碟啟用靜態加密)。
針對 Key provider type (金鑰提供者類型)，選擇 AWS KMS。
針對 AWS KMS customer master key (AWS KMS 客戶主金鑰)，選擇您的 KMS 金鑰的金鑰 ARN。
選取 Encrypt EBS volumes with EBS encryption (使用 EBS 加密來加密 EBS 磁碟區)。
選擇 Create (建立)。