用戶加密，是指用戶通過公有云平臺提供的加密特性，對彈性云服務(wù)器資源進行加密，從而提升數(shù)據(jù)的安全性。用戶加密功能包括 鏡像 加密和 云硬盤 加密。
鏡像加密
鏡像加密支持私有鏡像的加密。在創(chuàng)建彈性云服務(wù)器時，用戶如果選擇加密鏡像，彈性云服務(wù)器的系統(tǒng)盤會自動開啟加密功能，從而實現(xiàn)彈性云服務(wù)器系統(tǒng)盤的加密，提升數(shù)據(jù)的安全性。
創(chuàng)建加密鏡像的方法有兩種：
-
通過已有的加密彈性云服務(wù)器創(chuàng)建加密鏡像
-
通過外部鏡像文件創(chuàng)建加密鏡像
更多關(guān)于鏡像加密的信息，請參見《 鏡像服務(wù) 用戶指南》。
云硬盤加密
云硬盤加密支持系統(tǒng)盤加密和數(shù)據(jù)盤加密。
-
在創(chuàng)建彈性云服務(wù)器時，您可以對添加的數(shù)據(jù)盤進行加密。
-
在創(chuàng)建彈性云服務(wù)器時，如果選擇的鏡像為加密鏡像，那么系統(tǒng)盤默認(rèn)開啟加密功能，加密方式與鏡像保持一致。
更多關(guān)于云硬盤加密的信息，請參見云硬盤加密。
對 彈性伸縮 的影響
如果使用加密的彈性云服務(wù)器創(chuàng)建彈性伸縮配置，那么創(chuàng)建出來的伸縮配置，加密方式與原云服務(wù)器保持一致。
關(guān)于密鑰
加密所需的密鑰依賴于數(shù)據(jù)加密服務(wù)（ DEW ，Data Encryption Workshop）。DEW通過數(shù)據(jù)加密密鑰（Data Encryption Key, DEK），對具體資源進行加密，然后通過用戶主密鑰（Customer Master Key, CMK）對DEK進行加密，保護DEK，如圖1所示。
圖1 數(shù)據(jù)加密過程
數(shù)據(jù)加密過程中涉及的幾種密鑰，如表1所示。
|
名稱 |
概念 |
功能 |
|---|---|---|
|
數(shù)據(jù)加密密鑰 |
即DEK，是用戶加密數(shù)據(jù)的加密密鑰。 |
加密具體資源。 |
|
用戶主密鑰 |
即CMK，是用戶通過DEW創(chuàng)建的密鑰，是一種密鑰加密密鑰，主要用于加密并保護DEK。 一個用戶主密鑰可以加密多個DEK。 |
支持禁用、計劃刪除等操作。 |
|
默認(rèn)主密鑰 |
屬于用戶主密鑰，是用戶第一次通過對應(yīng)云服務(wù)使用DEW加密時，系統(tǒng)自動生成的，其名稱后綴為“/default”。 例如：evs/default |
|
說明：
如果加密云硬盤使用的CMK被執(zhí)行禁用或計劃刪除操作，操作生效后，使用該CMK加密的云硬盤仍然可以正常使用，但是，當(dāng)該云硬盤被卸載并重新掛載至彈性云服務(wù)器時，由于無法正常獲取密鑰，會導(dǎo)致掛載失敗，云硬盤不可用。
關(guān)于密鑰管理的更多信息，請參見《數(shù)據(jù)加密服務(wù)用戶指南》。
