需要使用带有客户 kms 密钥的加密 EBS 卷创建一个自动缩放组

Question

使用 AWS CDK，我需要使用客户 KMS 密钥创建一个带有加密卷的自动缩放，我知道我可以通过使用启动模板来做到这一点，但我没有在文档中找到如何创建启动模板和如何用这个创建自动缩放组。

我只找到了这个构造方法“autoscaling.AutoScalingGroup”

autoscaling.AutoScalingGroup(self, "my-app",
                                vpc=vpc,
                                vpc_subnets=ec2.SubnetSelection(                                              
                                   subnets=[
                                      ec2.Subnet.from_subnet_id(self,"asg_subnetAz1",subnet_az1_id), 
                                      ec2.Subnet.from_subnet_id(self, "asg_subnetAz2", subnet_az2_id)
                                    ]
                                 ),
                                instance_type=ec2.InstanceType( instance_type_identifier=ec2_type),                                              
                                machine_image=linux_ami,
                                desired_capacity=1,
                                min_capacity=1,
                                max_capacity=1,
                                security_group=sg_asg,
                                block_devices=[
                                  autoscaling.BlockDevice(
                                     device_name="/dev/sda1", 
                                     volume=autoscaling.BlockDeviceVolume.ebs(
                                            volume_size=ebs_volume_size, 
                                            delete_on_termination=delete, 
                                            encrypted=True, 
                                            volume_type=autoscaling.EbsDeviceVolumeType.GP2
                                      )
                                  )
                                ],
                               user_data=ec2.UserData.custom(user_data_ec2), 
                               role=self.ec2_role
) 

它工作正常，但在 block_devides 参数中我无法指定客户密钥。

你知道怎么做吗？

Answer 1

这也许可以帮助另一个人。 使用自定义键 2 种方式创建自动缩放：

• 创建一个启动模板，您可以在其中指定 KMS 密钥来加密 EBS 卷，然后使用此启动模板创建 ASG。
• 或者只创建不加密的 asg 并更改帐户设置以强制使用 CMK 加密每个新的 ebs 卷。这是最简单的方法。