質問・問題
稼働中のEC2にアタッチされている既存のEBSボリュームを暗号化する方法を教えて下さい。
回答・解決方法
まずはじめに、暗号化されていない既存の EBS ボリュームを直接暗号化することはできません。
その為、暗号化した EBS ボリュームを新規に作成して、既存の EBS ボリュームと取り替える必要がございますが、おおまかには以下の流れになります。
1. 既存の EBS ボリュームからスナップショットを作成する（このスナップショットは暗号化されていない）
2. AWS KMS で暗号化用のキーを作成する
3. 1.で作成したスナップショットを2.のキーを用いて暗号化する（スナップショットのコピーにて実施）
4. 3.で作成した暗号化されたスナップショットから EBS ボリュームを作成する
上記の手順のあと EC2 から既存の EBS ボリュームをデタッチし、新規に作成した暗号化された EBS ボリュームに取り替えますが、
データ破損等の予防の観点からも EC2 を停止した状態での取り替えを推奨いたします。
なお、root ボリュームに使用されているものは EC2 を停止しなければデタッチできない為、取り替えの際に EC2 の停止が必須となります。
【参考資料】
[1] 【Amazon EBS】暗号化されていない既存EBSを暗号化する方法 - サーバーワークスエンジニアブログ
https://blog.serverworks.co.jp/encrypt-ebs-volume