如何用Packer在AWS创建可跨账号共享的未加密AMI

下面是针对问题的具体排查和解决步骤：

• 显式配置根块设备的加密属性
  Packer的encrypt_boot参数有时不会完全覆盖根卷的加密设置，尤其是当AWS区域存在默认加密规则时。需要在launch_block_device_mappings里明确指定根卷的encrypted为false，示例配置如下：

"builders": [
  {
    "type": "amazon-ebs",
    "region": "us-east-1",
    "source_ami": "ami-xxxxxx",
    "instance_type": "t2.micro",
    "encrypt_boot": false,
    "launch_block_device_mappings": [
      {
        "device_name": "/dev/sda1",
        "encrypted": false,
        "volume_type": "gp2",
        "volume_size": 30
      }
    ]
  }
]

• 检查AWS区域的EBS默认加密设置
  如果你的AWS账户在目标区域开启了EBS默认加密，所有新建EBS卷都会自动加密，Packer的设置会被覆盖。解决方法：

  1. 登录EC2控制台，切换到目标构建区域
  2. 左侧导航栏选择「EBS加密」
  3. 关闭「默认加密」开关（构建完成后可根据需求重新开启）

• 验证源AMI的加密状态
  如果使用的源AMI本身是加密的，基于它构建的自定义AMI必然也是加密的，encrypt_boot参数无法改变这一点。此时需要先将源AMI复制为未加密版本，再用这个未加密的AMI作为Packer的source_ami。

• 查看Packer构建日志确认配置生效
  运行packer build packer.json时，留意日志中关于EBS卷的输出，确认是否有encrypted: false的明确记录。如果日志显示仍在加密，检查是否有变量或其他配置片段覆盖了当前设置。

内容的提问来源于stack exchange，提问作者Dieter