将快照共享给其他阿里云账号

步骤1：共享者创建角色并授权

当您共享加密快照时，需要先通过阿里云的访问控制创建名称为AliyunECSShareEncryptSnapshotDefaultRole的角色并授予指定的权限与策略，然后才可以将加密快照共享给其他阿里云账号使用。

1. 共享者登录RAM控制台。

2. 在权限策略页面，通过脚本编辑模式创建自定义权限策略。具体操作，请参见通过脚本编辑模式创建自定义权限策略。

   策略内容如下，限制只共享指定加密快照中的加密密钥相关权限。

   {
     "Version": "1",
     "Statement": [
       {
         "Action": "kms:List*",
         "Resource": "acs:kms:<密钥归属地域ID>:<密钥归属用户AliUid>:key",
         "Effect": "Allow"
       },
       {
         "Action": [
           "kms:DescribeKey",
           "kms:TagResource",
           "kms:UntagResource",
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:GenerateDataKey"
         ],
         "Resource": "acs:kms:<密钥归属地域ID>:<密钥归属用户AliUid>:key/<快照关联KMS加密密钥Key>",
         "Effect": "Allow"
       }
     ]
   }

   说明

   其中<密钥归属地域ID>、<密钥归属用户AliUid>和<快照关联KMS加密密钥Key>为变量，您需要分别修改为KMS密钥所在的地域ID、KMS密钥归属用户的阿里云账号ID和KMS密钥的密钥ID。

3. 在角色页面创建可信实体为阿里云账号的RAM角色，角色名称为AliyunECSShareEncryptSnapshotDefaultRole。

   具体操作，请参见创建可信实体为阿里云账号的RAM角色。

4. 在角色列表页面，单击已创建的AliyunECSShareEncryptSnapshotDefaultRole角色进入角色详情页面。

   • 在权限管理页签单击新增授权，为RAM角色授予步骤2已创建的自定义策略。具体操作，请参见为RAM角色授权。

   • 在信任策略页签，修改RAM角色的信任策略为以下内容，以确定可以将加密快照共享给哪些共享对象。具体操作，请参见修改RAM角色的信任策略。

     {
       "Statement": [
         {
           "Action": "sts:AssumeRole",
           "Effect": "Allow",
           "Principal": {
             "Service": [
               "<UID>@ecs.aliyuncs.com"
             ]
           }
         }
       ],
       "Version": "1"
     }

     说明

     其中<UID>为变量，您需要修改为共享对象的阿里云账号ID。如果您的快照需要共享给多个阿里云账号，需要添加多个共享对象的阿里云账号ID。

步骤2：共享者共享加密快照

1. 共享者登录ECS管理控制台。

2. 在左侧导航栏，选择存储与快照 > 快照。

3. 在页面左侧顶部，选择目标资源所在的资源组和地域。

4. 找到目标加密快照，在操作列选择 > 共享快照。

5. 在添加到共享单元对话框中，配置参数。

   

   1. 选择已在资源共享控制台创建的共享单元。

      说明

      快照共享给其他阿里云账号使用时基于资源管理的资源共享功能，您可以创建共享单元，添加共享资源和资源使用者，将自己拥有的资源共享给其他成员使用。有关共享单元的更多信息，请参见资源共享概述。

   2. 在资源使用者区域，单击编辑添加资源使用者。

      1. 默认使用者范围为允许共享给任意账号。更多信息，请参见资源共享方式。

      2. 输入共享对象的阿里云账号ID并单击添加。

6. 添加完成后，单击确定。