用户加密

用户加密，是指用户通过提供的加密特性，对弹性云服务器资源进行加密，从而提升数据的安全性。用户加密功能包括镜像加密和云硬盘加密。

镜像加密支持私有镜像的加密。在创建弹性云服务器时，用户如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，从而实现弹性云服务器系统盘的加密，提升数据的安全性。

创建加密镜像的方法有两种：

更多关于镜像加密的信息，请参见《镜像服务用户指南》。

云硬盘加密支持系统盘加密和数据盘加密。

更多关于云硬盘加密的信息，请参见《云硬盘用户指南》。

如果使用加密的弹性云服务器创建弹性伸缩配置，那么创建出来的伸缩配置，加密方式与原云服务器保持一致。

加密所需的密钥依赖于密钥管理服务（KMS，Key Management Service）。KMS通过数据加密密钥（Data Encryption Key，DEK），对具体资源进行加密，然后通过用户主密钥（Customer Master Key， CMK）对DEK进行加密，保护DEK，如图1所示。

图1 数据加密过程

数据加密过程中涉及的几种密钥，如表1所示。

表1 密钥说明
名称	概念	功能
数据加密密钥	即DEK，是用户加密数据的加密密钥。	加密具体资源。
自定义密钥	是用户通过KMS创建的密钥，是一种密钥加密密钥，主要用于加密并保护DEK。一个自定义密钥可以加密多个DEK。	支持禁用、计划删除等操作。
默认密钥	属于用户主密钥，是用户第一次通过对应云服务使用KMS加密时，系统自动生成的，其名称后缀为“/default”。例如：evs/default	支持通过管理控制台KMS页面查询默认密钥详情。不支持禁用、计划删除等操作。