某跨國企業面臨兩個主要需求：其一，研發部門需將預裝應用環境的EBS卷快照共享給測試團隊，避免重復構建鏡像；其二，財務部門需將包含敏感數據的快照跨區域備份至合規存儲區，滿足GDPR與HIPAA要求。傳統方案中，未加密快照的公開共享存在數據泄露風險，而加密快照的跨賬戶共享又因密鑰管理復雜導致操作失敗。企業亟需一種安全、自動化且符合合規標準的共享方案。
采用基于AWS控制臺的加密快照共享架構。結合 KMS（密鑰管理服務）與 IAM（身份與訪問管理）實現細粒度權限控制。實現方法為：使用客戶自主管理型KMS密鑰（CMK）加密EBS卷，避免依賴默認密鑰（default CMK），確保密鑰可共享；通過IAM策略授予目標賬戶對CMK的kms:CreateGrant權限，允許其解密快照；在源賬戶中創建快照并修改權限，指定目標賬戶ID；目標賬戶復制共享快照，并使用自有CMK重新加密，形成獨立備份。該方案通過“共享-復制-重加密”三步隔離風險，既滿足合規性要求，又避免因源賬戶權限變更導致數據丟失。
本次采用 AWS Console 界面完成作業。
注意：根據項目的具體情況，可以采用不同的實施方法。比如使用命令行(CLI)部署、代碼部署 (CloudFomation、Terraform 等）、以及其它開發語言（SDK）完成作業。
步驟一：創建加密EBS卷
登錄AWS控制臺，進入 EC2 服務，選擇“卷”→“創建卷”；
設置卷類型（如 gp3）、大小（如 100GB），在“加密”選項中選擇客戶 CMK；
掛載卷至 EC2 實例，預裝應用環境（如 Nginx、數據庫）。
步驟二：生成加密快照并共享
在卷列表中選擇目標卷，點擊“操作”→“創建快照”；
創建完成后，選中快照，點擊“操作”→“修改權限”，添加目標賬戶 ID（如123456789012）；
確認快照加密狀態為“已加密”，且密鑰為非默認CMK。
步驟三：目標賬戶復制并重加密快照
登錄目標賬戶 AWS 控制臺，進入 EC2 →“快照”，篩選“共享快照”找到源賬戶共享的快照；
選中快照，點擊“操作”→“復制”，選擇目標區域（如us-west-2），并指定自有 CMK。
復制完成后，基于副本創建新卷并掛載至實例，驗證數據完整性。該案例證明，通過 AWS 控制臺即可實現加密 EBS 快照的安全共享，無需編寫代碼即可滿足企業跨團隊協作與合規備份需求。