全部文档
当前文档
最近更新时间：2026-11-04 10:23:42
开启加密后，ESSD 数据盘上的数据在写入底层存储前自动加密、在读取时自动解密。
加密云盘基于金山云密钥管理服务（KMS）实现，采用信封加密机制与 AES-256 算法，确保数据从创建之初即受保护，帮助您满足数据安全合规要求。
当前版本支持在新建实例时为 ESSD 数据盘开启加密；系统盘加密将在后续版本支持。
云盘类型：仅支持 ESSD 云盘加密，包括 ESSD PL0/PL1/PL2、ESSD Entry、ESSD AutoPL。非 ESSD 云盘不提供加密选项。
云盘属性：当前版本仅支持数据盘加密，系统盘暂不支持加密。
实例规格：需选择搭载 ESSD 云盘的实例规格。选择不支持 ESSD 的规格（如本地盘、旧规格族）时，不展示加密选项。
不支持加密的机型：弹性裸金属 EPCX7、GPU 计算型弹性裸金属 ebmp8v 暂不支持云盘加密，控制台选择这两款机型时不展示加密选项。
不可逆：云盘加密一旦开启即不可关闭，加密云盘无法转换为非加密云盘。
创建时开启：加密属性只能在创建云盘时开启，已创建的非加密云盘无法补开加密。
密钥不可更换：已创建的加密云盘不支持更换主密钥，加密属性一经确定不可修改。
密钥绑定：加密云盘与所选 KMS 主密钥绑定。若主密钥被禁用或删除，云盘将无法正常读写，可能导致实例启动或运行失败。为避免误操作，平台会拦截与云盘绑定的 KMS 主密钥的删除与禁用操作。
加密云盘创建快照时，快照自动继承云盘的加密属性与密钥。
用加密快照创建云盘时，新云盘自动继承快照的加密属性与密钥，且不可修改；新云盘类型必须为 ESSD 系列，否则报错。
加密云盘、加密快照不支持制作镜像。基于加密云盘或加密快照制作镜像的操作将被拦截。该限制为阶段性约束，后续版本将放开。
已开通金山云密钥管理服务（KMS）。
已在 KMS 中创建主密钥，且加密算法为 AES-256（非 AES-256 算法的密钥不可用于云盘加密）。
注：AES-256 算法的密钥仅能使用OpenAPI创建，请调用CreateKey接口，创建Algorithm为AES-256的密钥。
在创建云服务器的过程中，可以为新购的 ESSD 数据盘开启加密，使数据从初始状态即受保护。
入口：控制台 → 实例 → 新建
操作步骤：
进入实例创建页面，按需完成基础配置、网络配置等步骤。
在"存储配置"部分，为数据盘选择 ESSD 类型云盘。
勾选"加密"复选框（默认不勾选）。
在"密钥名称"下拉框中选择有权限使用的 KMS 主密钥：
下拉框展示有权限的密钥名称/密钥 ID，选中后仅展示密钥名称。
若创建多个 ESSD 数据盘，每块数据盘可独立指定加密密钥。
若无可用密钥：AES-256 算法的密钥仅能使用OpenAPI创建，请调用CreateKey接口，创建Algorithm为AES-256的密钥；创建完成后，下拉框右侧的"刷新"按钮可刷新密钥列表。
若首次使用，按页面提示完成服务授权（创建 EBSEncryptDefaultRole 角色）。
确认配置无误后提交订单。
校验规则：勾选"加密"后，"密钥名称"为必填项，不能为空。若所选实例规格或云盘类型不支持加密，则不展示加密选项。
入口：实例详情页 → 硬盘
云盘列表：列表增加"加密属性"列，取值为"加密"或"非加密"。
云盘详情：进入云盘详情，增加"密钥信息"栏，展示：
KMS 密钥名称
KMS 密钥 ID
入口：实例 → 操作/更多 → 挂载云硬盘
挂载：选择云硬盘时，KMS 密钥状态非可用的加密云盘会被自动过滤、不可选。
卸载：卸载加密云盘时，EBS 底层会使明文密钥失效并从宿主机内存中删除，确保密钥不残留。
加密云盘的挂载、卸载流程与普通云盘一致，差异在于底层会自动完成密钥的解密与清理。
纯净模式
