# 数据保护技术
用户加密，是指用户通过提供的加密特性，对弹性云服务器资源进行加密，从而提升数据的安全性。用户加密功能包括镜像加密和云硬盘加密。
#### 镜像加密
镜像加密支持私有镜像的加密。在创建弹性云服务器时，用户如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，从而实现弹性云服务器系统盘的加密，提升数据的安全性。
创建加密镜像的方法有两种：
- 通过外部镜像文件创建加密镜像
- 通过已有的加密弹性云服务器创建加密镜像
更多关于镜像加密的信息，请参见[镜像加密](https://support.huaweicloud.com/usermanual-ims/ims_01_0328.html)。
#### 云硬盘加密
云硬盘加密支持系统盘加密和数据盘加密。
- 在创建弹性云服务器时，如果选择的镜像为加密镜像，那么系统盘默认开启加密功能，加密方式与镜像保持一致。
- 在创建弹性云服务器时，您可以对添加的数据盘设置加密。
更多关于云硬盘加密的信息，请参见[云硬盘加密](https://support.huaweicloud.com/usermanual-evs/evs_01_0009.html)。
#### 对弹性伸缩的影响
如果使用加密的弹性云服务器创建弹性伸缩配置，那么创建出来的伸缩配置，加密方式与原云服务器保持一致。
#### 关于密钥
加密所需的密钥依赖于密码安全中心（Data Encryption Workshop，DEW）。DEW通过数据加密密钥（Data Encryption Key，DEK），对具体资源进行加密，然后通过用户主密钥（Customer Master Key，CMK）对DEK进行加密，保护DEK，如[图1]所示。
图1数据加密过程   
![](https://support.huaweicloud.com/productdesc-deh/zh-cn_image_0174075345.png)
数据加密过程中涉及的几种密钥，如[表1]所示。
 表1密钥说明 
| 名称     | 概念                                                                                                                                                             | 功能                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                             |
|:---|:---|:---|
| 数据加密密钥 | 即DEK，是用户加密数据的加密密钥。                                                                                                                                             | 加密具体资源。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                        |
| 自定义密钥  | 是用户通过DEW创建的密钥，是一种密钥加密密钥，主要用于加密并保护DEK。 一个自定义密钥可以加密多个DEK。               | 支持禁用、计划删除等操作。                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  |
| 默认密钥   | 属于用户主密钥，是用户第一次通过对应云服务使用DEW加密时，系统自动生成的，其名称后缀为"/default"。 例如：evs/default | - 支持通过管理控制台DEW页面查询默认密钥详情。  - 不支持禁用、计划删除等操作。   |
   
![](https://support.huaweicloud.com/productdesc-deh/public_sys-resources/note_3.0-zh-cn.png)
如果加密云硬盘使用的CMK被执行禁用或计划删除操作，操作生效后，使用该CMK加密的云硬盘仍然可以正常使用，但是，当该云硬盘被卸载并重新挂载至弹性云服务器时，由于无法正常获取密钥，会导致挂载失败，云硬盘不可用。
关于密钥管理的更多信息，请参见[《密码安全中心用户指南》](https://support.huaweicloud.com/dew/index.html)。