用户加密

镜像加密

镜像加密支持私有镜像的加密。在创建弹性云服务器时，用户如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，从而实现弹性云服务器系统盘的加密，提升数据的安全性。

创建加密镜像的方法有两种：

• 通过外部镜像文件创建加密镜像
• 通过已有的加密弹性云服务器创建加密镜像

更多关于镜像加密的信息，请参见《镜像服务用户指南》。

云硬盘加密

云硬盘加密支持系统盘加密和数据盘加密。

• 在创建弹性云服务器时，如果选择的镜像为加密镜像，那么系统盘默认开启加密功能，加密方式与镜像保持一致。
• 在创建弹性云服务器时，您可以对添加的数据盘设置加密。

更多关于云硬盘加密的信息，请参见《云硬盘用户指南》。

对弹性伸缩的影响

如果使用加密的弹性云服务器创建弹性伸缩配置，那么创建出来的伸缩配置，加密方式与原云服务器保持一致。

关于密钥

加密所需的密钥依赖于数据加密服务（DEW，Data Encryption Workshop）。DEW通过数据加密密钥（Data Encryption Key，DEK），对具体资源进行加密，然后通过用户主密钥（Customer Master Key，CMK）对DEK进行加密，保护DEK，如图1所示。

图1 数据加密过程

数据加密过程中涉及的几种密钥，如表1所示。

如果加密云硬盘使用的CMK被执行禁用或计划删除操作，操作生效后，使用该CMK加密的云硬盘仍然可以正常使用，但是，当该云硬盘被卸载并重新挂载至弹性云服务器时，由于无法正常获取密钥，会导致挂载失败，云硬盘不可用。

关于密钥管理的更多信息，请参见《密钥管理服务用户指南》。