# 加密镜像
用户可以采用加密方式创建私有镜像，确保镜像数据安全性。
![](https://support.huaweicloud.com/usermanual-ims/public_sys-resources/note_3.0-zh-cn.png)
- 用户如需使用镜像加密特性需要提前申请KMS Administrator的权限。具体操作，请参见[创建用户并授权使用IMS](https://support.huaweicloud.com/usermanual-ims/ims_01_0414.html)。
- 镜像服务如何通过KMS对数据进行加密，请参见"[华为云服务如何使用KMS加密数据](https://support.huaweicloud.com/dew_faq/dew_01_0053.html)"。
- 整机加密镜像时可能包含多个磁盘，每个磁盘盘都的加密状态可能不同，所以在镜像列表加密栏的状态会显示为"-"。
- 整机加密镜像会继承创建整机镜像时弹性云服务器各个磁盘的加密状态，不支持更改。
- 查看整机加密镜像中磁盘的加密状态请参考"[如何查看整机加密镜像中磁盘的加密状态？](https://support.huaweicloud.com/ims_faq/ims_faq_0025.html#section3)"。
- 共享加密镜像时，需确保接收方有加密镜像使用的密钥权限。
 
#### 约束与限制
- 用户已启用密码安全中心。
- 使用默认密钥加密的镜像不能共享给其他用户。
- 加密镜像不能发布到应用超市。
- 对于加密镜像创建的云服务器，其系统盘只能为加密状态，且磁盘密钥与镜像密钥一致。
- 如果云服务器的系统盘已加密，那么使用该云服务器创建的私有镜像也是加密的。
- 不能修改加密镜像使用的密钥。
- 加密镜像使用的密钥为禁用状态或者被删除时，该镜像无法使用。
- 整机加密镜像不支持跨Region复制。
 
 #### 创建加密镜像
你可以通过以下方式创建加密镜像：
- 通过外部镜像文件创建加密镜像 用户使用OBS桶中已上传的外部镜像文件创建私有镜像，可以在注册镜像时选择KMS加密及密钥完成镜像加密。具体操作步骤请参考[通过外部镜像文件创建系统盘镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0203.html)。
  
- 通过加密弹性云服务器创建加密镜像 用户选择弹性云服务器创建私有镜像时，如果该云服务器的系统盘已加密，那么使用该云服务器创建的私有镜像也是加密的。加密镜像使用的密钥和系统盘的密钥保持一致。具体操作请参考[通过弹性云服务器创建系统盘镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0201.html)。
  
- 通过将非加密镜像复制为加密镜像 如果用户需要将原来某个非加密的镜像采用加密方式进行保存，则可以通过镜像复制功能，指定加密密钥，将原有的非加密镜像复制为一个新的加密私有镜像。具体操作请参考[区域内复制镜像](https://support.huaweicloud.com/usermanual-ims/ims_01_0331.html)。