全部文档
当前文档
最近更新时间：2026-11-04 10:23:42
加密云盘是金山云云硬盘（EBS）提供的数据安全功能。开启加密后，云盘上的静态数据、云盘与实例之间传输的数据，以及由该云盘生成的快照均会自动加密，从而满足数据安全合规要求，保护您的业务数据免受未授权访问。
加密云盘底层采用 AES-256 加密算法，基于金山云密钥管理服务（KMS）和信封加密技术实现，加解密过程对您的业务完全透明——应用程序无需做任何改造，使用方式与非加密云盘一致。
以"创建一块加密数据盘并挂载到实例"为例，帮助您快速上手加密云盘功能。
已开通云硬盘服务，并拥有支持 ESSD 云盘的实例机型（弹性裸金属 EPCX7、GPU 计算型弹性裸金属 ebmp8v 除外）。
已开通金山云密钥管理服务（KMS）。
已在 KMS 中创建主密钥，且加密算法为 AES-256（非 AES-256 算法的密钥不可用于云盘加密）。
注：AES-256 算法的密钥仅能使用OpenAPI创建，请调用CreateKey接口，创建Algorithm为AES-256的密钥。
登录金山云控制台，进入云硬盘控制台。
点击 新建 云硬盘。
配置云盘基础参数：
云盘类型：选择 ESSD。
云盘属性：选择数据盘（*本期仅数据盘支持加密，后续版本将支持系统盘）。
按需配置容量、可用区、购买时长等参数。
在加密配置区域，勾选"加密"。
首次使用时按页面提示完成 EBSEncryptDefaultRole 服务角色授权。
在密钥下拉框中选择一个的 KMS 主密钥（注：此处只展示AES-256 算法且状态为“可用”的密钥）。
确认配置无误后，点击立即购买，完成加密云盘创建。
创建成功后，在云硬盘列表中找到该云盘，点击挂载，选择目标实例并确认挂载。
挂载成功后，登录实例即可像使用普通数据盘一样对该加密云盘进行分区、格式化与挂载文件系统操作。
加密云盘创建完成后，您可以在云硬盘控制台查看其加密属性与密钥信息：
云盘列表：列表表头新增"加密属性"列，取值为加密或非加密，可用于快速识别云盘是否开启加密。
云盘详情：进入云盘详情页，新增密钥信息栏，展示该加密云盘所关联的：
KMS 密钥名称
KMS 密钥 ID
加密云盘的加密属性创建后不支持修改，已创建的加密盘也不支持更换用户主密钥。
将加密云盘挂载到实例前，金山云会校验以下条件：
KMS 主密钥状态校验：主密钥必须处于可用状态。
主密钥可用：云盘可正常挂载。
主密钥禁用：禁止挂载，提示"KMS 密钥已禁用，请修改密钥状态"。请前往 KMS 控制台 启用密钥后重试。
服务角色校验：EBSEncryptDefaultRole 角色必须存在。若角色已被删除，挂载被拦截，提示"缺少 EBSEncryptDefaultRole 用户角色，EBS 无权访问 KMS 服务"。
机型校验：目标实例机型需支持加密云盘。弹性裸金属 EPCX7、GPU 计算型弹性裸金属 ebmp8v 不支持挂载加密云盘。
校验通过后，云盘服务会在挂载过程中向 KMS 请求将加密盘的密文密钥转为明文密钥，并存储到宿主机内存中（虚拟机访问不到的内存区域），供后续 I/O 加解密使用。
卸载非加密盘：无额外限制。
卸载加密盘：卸载时，云盘服务会使该加密盘的明文密钥失效，并删除宿主机内存中的明文密钥，确保密钥不残留。
为加密云盘创建快照时：
加密云盘创建的快照默认为加密快照，加密密钥与源加密云盘的主密钥保持一致，不支持修改。
极速可用快照和普通快照均支持加密。
创建快照前会校验主密钥状态与角色：
若加密云盘的主密钥被禁用，该云盘无法创建快照，提示"云盘加密所用的 KMS 主密钥已禁用，请启用密钥后重试"。
若 EBSEncryptDefaultRole 角色已被删除，创建快照被拦截。
操作步骤：
在云硬盘控制台找到目标加密云盘，点击创建快照。
在创建快照弹窗中，"加密属性"显示为加密。
填写快照名称等参数，点击确定完成创建。
为加密云盘关联自动快照策略后，自动快照的加密属性如下：
加密云盘的自动快照默认为加密快照，加密密钥与加密云盘的密钥一致。
非加密云盘的自动快照为非加密快照。
若在自动策略关联加密盘期间，主密钥被禁用，则该时段不会有自动快照产生（接口侧拦截，不报错）。请保持密钥可用状态以确保自动快照正常生成。
使用快照创建云盘（快照开盘）时，根据源快照的加密属性有不同的能力：
非加密快照：
支持创建系统盘和数据盘。
仅支持创建非加密盘。
加密快照：
仅支持创建加密数据盘。
加密的普通快照和极速可用快照，创建新云盘时默认继承快照的加密密钥，不支持修改加密密钥（加密密钥选项置灰）。
普通 ESSD 加密快照无论是同可用区还是跨可用区开盘，仅支持创建 ESSD 4.0 云盘，不支持创建 ESSD 3.0 云盘。
操作步骤：
在快照控制台找到目标快照，点击创建云盘。
在创建云盘页面，加密属性根据源快照自动确定：
源快照为非加密快照：加密选项不可勾选，新云盘为非加密盘。
源快照为加密快照：加密选项默认勾选且置灰，新云盘为加密盘，密钥继承自快照。
完成其他参数配置后点击立即购买。
加密快照不支持复制。对加密快照执行复制操作时，前端与接口均会拦截，提示"仅非加密快照支持复制"。
仅支持可用状态的普通（非加密）快照进行跨区域复制。
普通快照可复制到云盘所有售卖区域（ESSD / SSD3.0 / EHDD 产品类型支持的售卖区域）。
目的端快照的所属项目与源快照的所属项目保持一致。
加密的极速可用快照不支持转为普通快照。执行转换操作时会拦截，提示"仅支持非加密的极速可用快照转为普通快照"。
如需转换，请使用非加密的极速可用快照。
*临时限制，后续版本开放。
加密快照不支持制作自定义镜像。执行制作镜像操作时会拦截，提示"仅支持非加密的快照制作自定义镜像"。
如需基于快照制作自定义镜像，请使用非加密快照。
加密云盘功能的计费遵循"加密不额外收费，密钥按 KMS 计费"的原则：
云盘加密：加密云盘与非加密云盘的计费规则完全相同，加密功能本身不收取额外费用。
快照加密：加密快照与非加密快照的计费规则相同，加密属性不额外收费。
在使用加密云盘前，请了解以下限制：
仅数据盘支持加密：本期支持对数据盘开启加密，系统盘暂不支持加密。
支持的云盘类型：ESSD PL0/PL1/PL2、Entry、ESSD AutoPL。
创建时开启：加密属性只能在创建云盘时开启，已创建的云盘无法补开加密。
不可关闭、不可更换密钥：加密属性开启后无法关闭；已创建的加密云盘不支持更换用户主密钥。
支持 ESSD 云盘的实例机型均支持加密云盘。以下机型为例外，不支持挂载加密数据盘：
弹性裸金属 EPCX7（DPU 机型）
GPU 计算型弹性裸金属 ebmp8v
加密数据盘不能挂载到上述两款机型；将加密云盘挂载到不支持的机型时会报错。
加密快照：仅加密云盘支持创建加密快照；非加密云盘只能创建非加密快照。
加密属性继承：加密快照的加密密钥与源加密云盘的主密钥保持一致，不支持修改。
快照属性不可转换：加密快照与非加密快照之间不支持互相转换。
复制快照：加密快照不支持复制，仅非加密快照支持跨区域复制。
制作自定义镜像：加密快照不支持制作自定义镜像，仅非加密快照支持。
极速可用快照转普通快照：加密的极速可用快照不支持转为普通快照，仅非加密的极速可用快照支持。
源快照类型 | 可创建的云盘 |
非加密快照 | 支持创建系统盘和数据盘，仅支持创建非加密盘 |
加密快照 | 仅支持创建加密数据盘；加密密钥默认继承快照的加密密钥，不支持修改（加密密钥选项置灰） |
普通 ESSD 加密快照无论是同可用区还是跨可用区开盘，仅支持创建 ESSD 4.0 云盘，不支持创建 ESSD 3.0 云盘。
加密云盘所使用的 KMS 主密钥必须为 AES-256 加密算法，选择其他算法的密钥将无法用于云盘加密。
首次使用加密云盘功能时，需要授权云硬盘服务访问您的 KMS 资源。授权过程由控制台自动完成：
在创建云盘页面勾选"加密"后，系统会检测当前账号是否已具备 EBSEncryptDefaultRole 服务角色。
若尚未具备，页面会提示您进行授权。点击授权后，控制台会自动为您创建以下服务角色：EBSEncryptDefaultRole
授权完成后即可选择 KMS 主密钥创建加密云盘。
若该角色后续被删除，创建加密云盘、挂载加密云盘等操作将被拦截，并提示"缺少 EBSEncryptDefaultRole 用户角色，EBS 无权访问 KMS 服务"。请重新完成授权后再使用。
加密云盘的正常使用依赖所选 KMS 主密钥处于可用状态。请关注以下行为：
主动禁用/删除关联密钥会被拦截：当某把 KMS 主密钥已关联加密云盘时，金山云会拦截对该主密钥的禁用与删除操作，避免因密钥失效导致加密数据无法访问。
密钥欠费被禁用：若因 KMS 欠费导致主密钥被禁用，将影响加密云盘的如下操作：
创建快照：会被拦截，提示"云盘加密所用的 KMS 主密钥已禁用，请启用密钥后重试"。
挂载云盘：会被拦截，提示"KMS 密钥已禁用，请修改密钥状态"。
已挂载的加密云盘：短期内仍可正常读写，但无法执行上述需要校验密钥状态的操作。请及时恢复 KMS 服务以避免影响业务。
建议您对加密云盘所使用的 KMS 主密钥谨慎执行禁用/删除操作。
纯净模式
