共享快照

步骤1：共享者创建角色并授权

当您共享加密快照时，需要先通过阿里云的访问控制创建名为AliyunECSShareEncryptSnapshotDefaultRole的角色并授予指定的权限与策略，然后才可以将加密快照共享给其他阿里云账号使用。

1. 阿里云账号A登录RAM控制台。

2. 创建角色名称为AliyunECSShareEncryptSnapshotDefaultRole的加密快照共享RAM角色。

   1. 在左侧导航栏，选择身份管理 > 角色。

   2. 单击创建角色。

   3. 在选择类型页面，选择阿里云账号，然后单击下一步。

   4. 在配置角色页面，角色名称下的文本框中输入AliyunECSShareEncryptSnapshotDefaultRole，并在选择信任的云账号区域单击当前云账号，然后单击完成。

3. 为AliyunECSShareEncryptSnapshotDefaultRole角色配置权限策略。

   1. 在创建完成页面，单击为角色授权。

   2. 在新增授权面板的选择权限区域，单击新建权限策略。

      

   3. 在创建权限策略页面，单击脚本编辑页签。

   4. 编辑以下脚本内容，限制只共享指定加密快照中的加密密钥相关权限。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": "kms:List*",
            "Resource": "acs:kms:<密钥归属地域ID>:<密钥归属用户AliUid>:key",
            "Effect": "Allow"
          },
          {
            "Action": [
              "kms:DescribeKey",
              "kms:TagResource",
              "kms:UntagResource",
              "kms:Encrypt",
              "kms:Decrypt",
              "kms:GenerateDataKey"
            ],
            "Resource": "acs:kms:<密钥归属地域ID>:<密钥归属用户AliUid>:key/<快照关联KMS加密密钥Key>",
            "Effect": "Allow"
          }
        ]
      }

      其中，<密钥归属地域ID>、<密钥归属用户AliUid>和<快照关联KMS加密密钥Key>为变量，您需要分别修改为KMS密钥所在的地域ID、KMS密钥归属用户的阿里云账号ID和KMS密钥的密钥ID。

   5. 根据页面提示完成配置。

4. 为共享对象授予 AliyunECSShareEncryptSnapshotDefaultRole角色权限。

   1. 返回角色页面，通过创建角色后的搜索框，搜索AliyunECSShareEncryptSnapshotDefaultRole角色，然后单击角色名进入角色详情页。

      

   2. 在AliyunECSShareEncryptSnapshotDefaultRole角色详情页面单击信任策略管理页签。

   3. 单击修改信任策略，然后将默认的信任策略进行替换。

      • 如果您的快照需要共享给单个阿里云账号，请使用如下信任策略进行替换。其中<UID>为变量，您需要修改为共享对象的阿里云账号ID。

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "<UID>@ecs.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

      • 如果您的快照需要共享给多个阿里云账号，请使用如下信任策略进行替换。其中<UID>为变量，您需要分别修改为共享对象的阿里云账号ID。

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "<UID-1>@ecs.aliyuncs.com",
                  "<UID-2>@ecs.aliyuncs.com",
                  "<UID-3>@ecs.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

   4. 单击确定。

步骤2：共享者共享加密快照

1. 阿里云账号A登录ECS管理控制台。

2. 在左侧导航栏，选择存储与快照 > 快照。

3. 在页面左侧顶部，选择目标资源所在的资源组和地域。

4. 找到目标加密快照，在操作列选择 > 共享快照。

5. 在添加到共享单元对话框中，配置参数。

   

   1. 选择已在资源共享控制台创建的共享单元。

      说明

      快照共享给其他阿里云账号使用时基于资源管理的资源共享功能，您可以创建共享单元，添加共享资源和资源使用者，将自己拥有的资源共享给其他成员使用。有关共享单元的更多信息，请参见资源共享概述。

   2. 在资源使用者区域，单击编辑添加资源使用者。

      1. 默认使用者范围为允许共享给任意账号。更多信息，请参见资源共享方式。

      2. 输入阿里云账号B的账号ID并单击添加，将快照共享给阿里云账号B。

6. 添加完成后，单击确定。