更新时间:2024-03-26 GMT+08:00

管理加密云硬盘

云硬盘加密场景

  • 系统盘加密场景

    系统盘需要跟随弹性云服务器一起创建,无法单独创建。因此系统盘的加密与创建弹性云服务器时所选择的镜像加密属性相关,主要涉及如下场景:

    表1 镜像加密与系统盘加密之间的关系

    是否使用加密镜像创建弹性云服务器

    创建的系统盘是否加密

    说明

    具体请参见“镜像服务用户指南 > 管理私有镜像 > 加密镜像” 。

    -

  • 数据盘加密场景

    数据盘可以跟随弹性云服务器一起创建,也可以单独创建。数据盘是否加密主要涉及涉及如下场景:

    表2 备份、快照、镜像加密与数据盘加密之间的关系

    创建位置

    创建方式

    创建的数据盘是否加密

    说明

    弹性云服务器控制台创建

    弹性云服务器一起创建

    是/否

    弹性云服务器一起创建的数据盘,可以选择加密或不加密。具体请参见“弹性云服务器用户指南 > 快速入门 > 创建弹性云服务器 > 步骤一:基础配置”。

    在云硬盘控制台单独创建

    不选择数据源创建

    是/否

    不选择数据源创建的空白数据盘,可以选择加密或不加密,创建完成后无法更改其加密属性。

    从备份创建

    是/否

    • 从备份创建的数据盘加密属性无需和备份保持一致,可以选择加密或不加密。
    • 通过数据盘/系统盘创建备份时,备份的加密属性与源云硬盘保持一致。

    从快照创建

    (快照源云硬盘加密)

    通过加密云硬盘创建的快照为加密快照。

    从快照创建

    (快照源云硬盘未加密)

    通过未加密云硬盘创建的快照为非加密快照。

    从镜像创建

    (镜像源云硬盘加密)

    -

    从镜像创建

    (镜像源云硬盘未加密)

    -

约束与限制

表3 加密云硬盘相关的限制

限制项

限制说明

支持加密的云硬盘类型

所有云硬盘均支持。

加密云硬盘的限制项

云硬盘的加密属性在其创建后,不支持修改。即:

  • 加密云硬盘不能直接修改为非加密云硬盘。
  • 非加密云硬盘不能直接修改为加密云硬盘。

用户权限限制

使用加密功能时,根据用户是否为当前区域或者项目内第一个使用加密特性的用户,作如下区分:

  • 是,即该用户是当前区域或者项目内第一个使用加密功能的,在创建加密云硬盘时,需要根据界面提示创建委托,用来给EVS服务授予“KMS Administrator”权限来创建和获取密钥后加密云硬盘。
    说明:

    作为当前区域或者项目内第一个使用加密功能的用户,需要具有“KMS Administrator”权限,才能创建委托授权EVS创建加密云硬盘。如果您没有该权限,请联系账号管理员为您添加该权限。

  • 否,即区域或者项目内的其他用户已经使用过加密功能,该用户可以直接使用加密功能。

加密镜像的限制项

  • 加密镜像不支持跨区域复制。
  • 加密镜像不支持转换为非加密镜像。
  • 加密镜像不支持导出。

创建加密云硬盘

当您需要使用云硬盘加密功能时,需要授权EVS访问KMS。如果您拥有“Security Administrator”权限,则可直接授权。如果权限不足,需先联系拥有“Security Administrator”权限的用户授权EVS访问KMS,然后再重新操作。

创建加密云硬盘的具体操作请参见创建云硬盘

卸载加密云硬盘

如果是加密云硬盘,并且使用的是用户主密钥,请卸载云硬盘前确认用户主密钥是否被禁用或者计划删除。

  • 对于用户主密钥可用的加密云硬盘,卸载云硬盘时,数据不会丢失,也可以正常重新挂载。
  • 对于用户主密钥不可用的加密云硬盘,则该云硬盘仍可以正常使用,但不保证一直可以正常读写,并且当该加密云硬盘被卸载并重新挂载至弹性云服务器时,将会挂载失败,此时请先恢复用户主密钥状态,然后再执行卸载操作。

针对不同状态的密钥,恢复云硬盘的方法不同,具体请参见云硬盘加密

卸载加密云硬盘的具体操作请参见卸载数据盘