为满足数据安全合规要求，并有效应对物理盗窃、未经授权访问等安全威胁，可使用密钥管理服务（KMS）对 ECS 云盘进行加密，从而全面保障业务数据的机密性与完整性。 ## 注意事项 * 本文所描述的云盘均为数据盘，系统盘在创建云服务器时自动创建并挂载，无法独立创建。 * 该功能处于邀测状态，如需使用，请联系客户经理。 * 已开通KMS密钥管理系统。具体操作，请参见[密钥管理快速入门](https://www.volcengine.com/docs/6476/71333?lang=zh) * 当前仅支持华东2（上海），如有其他地域需求，请联系客户经理。 ## 工作原理加密云盘通过两层密钥保障数据安全： * 数据密钥：用于加密和解密云盘数据。 * KMS密钥：由KMS服务保管，用于加密和解密数据密钥。创建加密云盘时，由KMS密钥加密的数据密钥会被存储在云盘中。实例启动阶段，云服务器ECS会向KMS服务请求解密数据密钥，解密后的数据密钥明文将被加载到内存中，用于加解密数据。 KMS密钥分为以下两种类型。 * **服务密钥**：由云产品为 ECS 服务自动创建和管理的密钥，别名为 `Default Service Key(managed_ebs_key)`。满足基本的数据加密需求，操作简便，无需管理密钥生命周期。 * **用户主密钥**：在 KMS 中自行导入/创建的拥有完全控制权的密钥。适用于对数据安全有更高要求，需要自行管理密钥的轮转、禁用、删除等生命周期。 ## 创建加密云盘 1. 在云服务器控制台的[云盘](https://console.volcengine.com/ebs)页面，单击“创建云盘”。 2. 在“创建云盘”页面，勾选“加密设置”。

说明

如未授权加密服务，请单击“未授权，请先授权访问KMS”。

3. 在“跨服务访问请求”页面，请确认您的 IMA 角色，并单击“立即授权”，授权完成后（需等待 3 秒），系统将自动返回“创建云盘”页面。 4. 在“创建云盘”页面，请单击“请选择秘钥”下拉列表，选择您所需 KMS 密钥。 5. 根据业务需要配置云盘其他参数，各项配置的具体说明，请参见[创建云盘](https://www.volcengine.com/docs/6396/71957)。 6. 在“订单详情”区域勾选“我已阅读并同意《[云服务器服务条款](https://www.volcengine.com/docs/6396/75278?lang=zh)》”，单击“立即购买”，即可完成加密云盘创建。 ## 加密快照创建加密云盘基于已有的加密快照创建加密云盘时，新创建的加密云盘在初始状态下即包含该快照中的完整数据。具体操作步骤如下： 1. 在云服务器控制台的[云盘](https://console.volcengine.com/ebs)页面，单击“创建云盘”。 2. 在“创建云盘”页面的“数据源”参数处，单击“用快照创建云盘”。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_1817af30ab2b07e6f6a4ea3744b524a6.jpg) 3. 在弹出的“选择快照”面板中，勾选您的目标加密快照，单击“确定”。 4. 根据您的业务需要配置云盘的其他参数。各项配置的具体说明，请参见[创建云盘](https://www.volcengine.com/docs/6396/71957)。 ## 验证加密云盘

注意

该方法通过禁用密钥进行加密验证，会导致系统盘出现读写异常，建议使用测试实例进行测试。

1. 创建ECS测试实例时，使用用户主密钥加密的系统盘。 2. 禁用用户主密钥 1. 在密钥管理系统的[用户主密钥](https://console.volcengine.com/kms)页面，选择您密钥所在地域。 2. 在“用户主密钥”页面，找到目标密钥，单击目标密钥右侧“操作”列下是“详情”。 3. 在“密钥环详情”页面，单击目标密钥“状态”列下的按钮，在弹出的对话框中单击“确定”。 3. 验证是否加密连接 ECS 实例后，执行 `sudo reboot`，重启操作系统，由于加密系统盘关联的 KMS 加密密钥已被禁用，系统无法解密数据，会出现I错误。此时连接ECS实例，显示为黑屏，证明数据已被加密。 4. 启用KMS主密钥并释放测试实例。 ## 费用说明 ### 云盘费用加密云盘与非加密云盘的计费规则相同，加密功能本身不收取额外费用。更多信息，请参见[云盘计费](https://www.volcengine.com/docs/6396/68422?lang=zh#%E8%AE%A1%E8%B4%B9%E6%96%B9%E5%BC%8F)。 ### 密钥费用 * 自定义密钥（CMK）：如果您选择使用自己的 CMK 进行加密，相关的密钥管理与调用费用将由密钥管理服务（KMS）另行收取。 * 服务密钥：使用系统默认的服务密钥进行加密，不会产生任何额外费用。 ## 配额与限制 ### 实例规格在加密系统盘或通过快照创建加密数据盘时，仅支持第三代及以上代次的计算实例。 ### 云盘类型在加密系统盘或通过快照创建加密数据盘时，仅支持加密极速型` ESSD PL0` 与 `ESSD FlexPL `云盘。 ### 类型转换不支持直接更改存量云盘的加密类型。如需转换，您可以在使用快照创建新云盘时，通过选择新的 KMS 密钥来间接实现转换。