管理加密云硬盘

什么是云硬盘加密

当您由于业务需求从而需要对存储在云硬盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的云硬盘进行加密。加密云硬盘使用的密钥由数据加密服务（DEW，Data Encryption Workshop）中的密钥管理（KMS，Key Management Service）功能提供，无需您自行构建和维护密钥管理基础设施，安全便捷。

已经创建完成的云硬盘不支持更改加密属性。

创建加密云硬盘的具体操作请参见“创建云硬盘”。

云硬盘加密的密钥

当加密云硬盘挂载时，EVS访问KMS，KMS会将数据密钥DK（Data Key）发送至宿主机内存中保存，EVS加密云硬盘使用宿主机内存中的DK明文来加解密磁盘I/O。DK明文只会在您使用的ECS实例所在的宿主机内存中使用，不会以明文形式持久化存储在介质上。在KMS中设置用户主密钥不可用后，加密云硬盘仍能使用内存中的DK明文，当卸载加密云硬盘后，DK明文会被从内存中删除，无法再读写磁盘。在下次挂载该加密云硬盘时，需要先使该用户主密钥处于可用状态。

云硬盘加密场景

• 系统盘加密场景

  系统盘需要跟随云服务器一起创建，无法单独创建。因此系统盘的加密与创建云服务器时所选择的镜像加密属性相关，主要涉及如下场景：

  表2 镜像加密与系统盘加密之间的关系

  是否使用加密镜像创建云服务器	创建的系统盘是否加密	说明
  是	是	具体请参见“镜像服务用户指南 > 管理私有镜像 > 加密镜像” 。
  否	否	-

• 数据盘加密场景

  数据盘可以跟随云服务器一起创建，也可以单独创建。数据盘是否加密主要涉及涉及如下场景：

  表3 备份、快照、镜像加密与数据盘加密之间的关系

  创建位置	创建方式	创建的数据盘是否加密	说明
  在云服务器控制台创建	随云服务器一起创建	是/否	随云服务器一起创建的数据盘，可以选择加密或不加密。具体请参见“弹性云服务器用户指南 > 快速入门 > 创建弹性云服务器 > 步骤一：基础配置”。
  在云硬盘控制台单独创建	不选择数据源创建	是/否	不选择数据源创建的空白数据盘，可以选择加密或不加密，创建完成后无法更改其加密属性。
  	从备份创建	是/否	从备份创建的数据盘加密属性无需和备份保持一致，可以选择加密或不加密。 通过数据盘/系统盘创建备份时，备份的加密属性与源云硬盘保持一致。
  	从快照创建 （快照源云硬盘加密）	是	通过加密云硬盘创建的快照为加密快照。
  	从快照创建 （快照源云硬盘未加密）	否	通过未加密云硬盘创建的快照为非加密快照。
  	从镜像创建 （镜像源云硬盘加密）	是	-
  	从镜像创建 （镜像源云硬盘未加密）	否	-

约束与限制

创建加密云硬盘

当您需要使用云硬盘加密功能时，需要授权EVS访问KMS。如果您拥有“Security Administrator”权限，则可直接授权。如果权限不足，需先联系拥有“Security Administrator”权限的用户授权EVS访问KMS，然后再重新操作。

创建加密云硬盘的具体操作请参见创建云硬盘。

卸载加密云硬盘

如果是加密云硬盘，并且使用的是用户主密钥，请卸载云硬盘前确认用户主密钥是否被禁用或者计划删除。

• 对于用户主密钥可用的加密云硬盘，卸载云硬盘时，数据不会丢失，也可以正常重新挂载。
• 对于用户主密钥不可用的加密云硬盘，则该云硬盘仍可以正常使用，但不保证一直可以正常读写，并且当该加密云硬盘被卸载并重新挂载至云服务器时，将会挂载失败，此时请先恢复用户主密钥状态，然后再执行卸载操作。

针对不同状态的密钥，恢复云硬盘的方法不同，具体请参见云硬盘加密的密钥。

卸载加密云硬盘的具体操作请参见卸载云硬盘。