# 创建加密云硬盘 您由于业务需求从而需要对存储在云硬盘的数据进行加密时，EVS为您提供加密功能，可以对新创建的云硬盘进行加密。 #### 云硬盘加密场景 - **系统盘加密场景** 系统盘需要跟随云服务器一起购买，无法单独购买。因此系统盘的加密与创建云服务器时所选择的镜像加密属性相关，主要涉及如下场景： 表1镜像加密与系统盘加密之间的关系 | 购买云服务器时，系统盘是否加密 | 是否使用加密镜像创建云服务器 | 创建的系统盘是否加密 | 说明 | |:---|:---|:---|:---| | 是（密钥A） | 是（密钥B） | 是（密钥A） | - 系统盘加密请参见[自定义购买弹性云服务器](https://support.huaweicloud.com/usermanual-ecs/ecs_03_7002.html)。 - 关于镜像加密，具体请参见[加密镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0328.html)。 | | 是（密钥A） | 否 | 是（密钥A） | - 系统盘加密请参见[自定义购买弹性云服务器](https://support.huaweicloud.com/usermanual-ecs/ecs_03_7002.html)。 - 关于镜像加密，具体请参见[加密镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0328.html)。 | | 否 | 是（密钥B） | 是（密钥B） | - 系统盘加密请参见[自定义购买弹性云服务器](https://support.huaweicloud.com/usermanual-ecs/ecs_03_7002.html)。 - 关于镜像加密，具体请参见[加密镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0328.html)。 | | 否 | 否 | 未开启默认加密：否 开启默认加密：是 | 未开启默认加密：如果想使用非加密镜像创建加密系统盘，可以先把非加密镜像复制为加密镜像，然后在创建云服务器时选择该加密镜像，即可创建加密系统盘。具体参见[复制镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0331.html)。 开启默认加密：使用默认加密配置的密钥，也可以修改成其他任意的密钥。 | - **数据盘加密场景** 数据盘可以跟随云服务器一起购买，也可以单独购买。数据盘是否加密主要涉及涉及如下场景： 表2备份、快照、镜像加密与数据盘加密之间的关系 | 场景 | 数据源是否加密 | 新的数据盘是否加密 | 说明 | |:---|:---|:---|:---| | 不选择数据源创建 | 空白云硬盘 | 加密或不加密 | 无论是在EVS控制台单独创建的云硬盘，还是随ECS一起创建的云硬盘，可以选择加密或不加密，创建完成后无法更改其加密属性。 | | 使用备份创建云硬盘 | 无限制 | 加密或不加密 | - 从备份创建的数据盘加密属性无需和备份保持一致，可以选择加密或不加密。 - 通过数据盘/系统盘创建备份时，备份的加密属性与源云硬盘保持一致。 | | 使用镜像创建云硬盘 | 加密 | 加密 | 加密属性和源云硬盘保持一致。- | | 使用镜像创建云硬盘 | 不加密 | 不加密 | 加密属性和源云硬盘保持一致。- | | 使用存量快照创建云硬盘 | 不加密 | 不加密 | 加密属性和源云硬盘保持一致。 | | 使用存量快照创建云硬盘 | 加密 | 加密 | 加密属性和源云硬盘保持一致。 | | 使用标准快照创建云硬盘（极速可用已开启，但是数据未上传完成） | 不加密 | 不加密 | 加密属性和源云硬盘保持一致。 | | 使用标准快照创建云硬盘（极速可用已开启，但是数据未上传完成） | 加密 | 加密 | 加密属性和源云硬盘保持一致。 | | 使用标准快照创建云硬盘（数据上传完成） | 无限制 | 加密或不加密 | 加密属性和源云硬盘不需要保持一致。 | #### 约束与限制 表3加密云硬盘相关的限制 | 限制项 | 限制说明 | |:---|:---| | 支持加密的云硬盘类型 | 所有云硬盘均支持，但是已经购买完成的云硬盘不支持更改加密属性。 | | 加密云硬盘 | - 云硬盘的加密属性在其创建后，不支持修改。即： - 加密云硬盘不能直接修改为非加密云硬盘。 - 非加密云硬盘不能直接修改为加密云硬盘。 | | 用户权限 | 使用加密功能时，根据用户是否为当前区域或者项目内第一个使用加密特性的用户，做如下区分： - 是，即该用户是当前区域或者项目内第一个使用加密功能的，在创建加密云硬盘时，需要根据界面提示创建委托，用来给EVS服务授予"EVS KMSAccess"权限来创建和获取密钥后加密云硬盘。 - 否，即区域或者项目内的其他用户已经使用过加密功能，该用户可以直接使用加密功能。 | | 加密镜像 | - 加密镜像不支持跨区域复制。 - 加密镜像不支持转换为非加密镜像。 - 加密镜像不支持导出。 | #### 计费说明 使用KMS加密模式，超过免费配额会收取相应费用。详情参见[DEW计费说明](https://support.huaweicloud.com/price-dew/dew_03_0006.html)。 #### 创建加密云硬盘 当您需要使用云硬盘加密功能时，需要授权EVS访问KMS。如果您拥有"Security Administrator"权限，则可直接授权。如果权限不足，需先联系拥有"Security Administrator"权限的用户授权EVS访问KMS，然后再重新操作。 创建加密云硬盘的具体操作请参见[购买云硬盘](https://support.huaweicloud.com/usermanual-evs/zh-cn_topic_0021738346.html)。 加密系统盘创建后可直接使用，加密数据盘创建后您还需要进行挂载和初始化等后续操作。 表4后续操作 | 操作步骤 | 说明 | |:---|:---| | 第一步：挂载云硬盘 | 如果购买云硬盘时，选择暂不挂载到云服务器，您需要手动完成[挂载](https://support.huaweicloud.com/usermanual-evs/evs_01_0107.html)操作。 | | 第二步：初始化云硬盘 | 初始化数据盘，全新的空数据盘和有数据的数据盘，初始化操作有差异，详情参见[初始化概述](https://support.huaweicloud.com/usermanual-evs/evs_01_0038.html#section0)。 | #### 卸载加密云硬盘 如果是加密云硬盘，并且使用的是自定义密钥，请卸载云硬盘前确认自定义密钥是否被禁用或者计划删除。 - 对于自定义密钥可用的加密云硬盘，卸载云硬盘时，数据不会丢失，也可以正常重新挂载。 - 对于自定义密钥不可用的加密云硬盘，则该云硬盘仍可以正常使用，但不保证一直可以正常读写，并且当该加密云硬盘被卸载并重新挂载至云服务器时，将会挂载失败，此时请先恢复自定义密钥状态，然后再执行卸载操作。 针对不同状态的密钥，恢复云硬盘的方法不同，具体请参见[云硬盘加密的密钥](https://support.huaweicloud.com/usermanual-evs/evs_01_0018.html#evs_01_0018__section17331463223115)。 卸载加密云硬盘的具体操作请参见[卸载云硬盘](https://support.huaweicloud.com/usermanual-evs/evs_01_0003.html)。 #### 相关文档 - KMS密钥的详细介绍请参见[密钥管理概述](https://support.huaweicloud.com/usermanual-dew/dew_01_7775.html)。 - 加密云硬盘介绍，加密原理介绍参见[云硬盘加密概述](https://support.huaweicloud.com/usermanual-evs/evs_01_0018.html)。