メモ：暗号化済みのEBSボリュームをアタッチしたEC2インスタンスをLambdaから起動したいときはロール設定が必要です。

ベルリンの半瀬です。

はじめに

暗号化済みのEBSボリュームをアタッチしたEC2インスタンスをLambda Function経由で起動できないというお問い合わせがありました。
Lambda経由で実行する際には、暗号化ボリュームを作成したキーの「Key Users」にLambda実行用ロールを追加しておく必要があります（完）。
理由はこちら：[KMS] EBS暗号化によるEC2操作への影響を調べてみた

以下、チェック時の履歴。

確認内容

ロール作成

Ec2FullAccess（今回はstartできればよい）でlambda用のロールを準備。

IAMでEncryption keyを準備

EBSの暗号化に使用します。

Key Usageに前項で作成したロールを指定。Administorative Permissionの割り当ては不要。

Lambda実行確認

上で作成したロールを指定して関数を作成。

起動用スクリプト。

Key Usersにロール登録がない場合の起動失敗表示

State Transition Reason に「Server.InternalError」、
State Transition reason Message に「Client.InternalError: Client error on launch」がエラー表示されます。

さいごに

動作チェックのメモでした。
同じエラーを見る人に届け。

※ 関連記事
【新機能】EBSのブートボリュームが暗号化できるように

ではまた