跨账户共享使用 AWS 托管密钥加密的 AWS EC2 映像

Question

我喜欢跨账户共享图像，但图像是使用 AWS 托管密钥加密的，我想知道如何将此图像传输到另一个账户。

我收集到一个用客户密钥加密的图像是可以传输的，它和用 AWS 密钥加密的图像一样吗？

Answer 1

KMS
使用 KMS，您拥有 AWS 托管密钥和客户托管密钥 (CMK)。
要允许另一个帐户使用您的密钥，它需要是一个 CMK，因为您需要在您的密钥警察上允许它。
https://docs.aws.amazon.com/kms/latest/developerguide/key-policy-modifying-external-accounts.html

您无法更改 AWS 托管密钥的策略。这意味着您不能允许其他账户使用 AWS 托管密钥。

因此您不能与另一个使用 AWS Managed Key 的账户共享您的加密 AMI。

AMI

无法转移 AMI，但您与其他帐户共享了它。加密后，您还需要共享密钥。请参阅下面的文档。
https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/sharingamis-explicit.html

由于您当前的 AMI 是使用 AWS Managed Key 加密的，您可以做的是创建一个没有加密或使用 CMK 加密的新 AMI 并共享它。请参阅下面的文档。
https://aws.amazon.com/premiumsupport/knowledge-center/account-transfer-ec2-instance/