云盘加密的原理与开启方式
云盘加密使用 KMS 的主密钥对云盘数据做静态加密，创建云盘或实例时选择密钥即可开启，读写路径上的加解密由云平台透明完成，应用不需要改代码。加密盘产生的快照会继承加密属性，因此从系统盘、数据盘到备份链路都能满足静态加密的合规要求。
基本信息
| 开启方式 | 创建云盘或实例时选择加密，并指定 KMS 主密钥（CMK） |
|---|---|
| 加密范围 | 系统盘与数据盘均可；加密盘产生的快照继承加密 |
| 性能影响 | 加解密对应用透明，损耗通常较小，高 IO 场景仍建议压测确认 |
| 权限模型 | KMS 密钥权限与云盘使用权限相互独立，跨账号访问需显式授权 |
| 密钥选择 | 可用服务默认密钥或自建 CMK，自建更利于隔离与审计 |
| 实施顺序 | 先定密钥策略与授权关系，再批量创建加密盘 |
典型使用场景
- 合规要求静态加密的数据库盘、日志盘与归档盘
- 多租户环境下隔离数据访问范围，按业务划分独立 CMK
- 个人信息、财务数据等敏感业务的存储层防护
- 跨账号共享数据时通过 CMK 授权精确控制谁能解密
- 对数据销毁有可证明要求的场景：销毁密钥即彻底不可读
加密合规检查点
加密合规检查点
- 数据库数据盘：必须加密
- 备份/快照：确认继承加密，不要只看源盘
- 密钥策略：跨账号访问需显式授权 CMK，并限制密钥管理员
- 审计：开启 KMS 密钥使用日志，保留密钥操作记录
- 存量盘点：定期扫描未加密云盘，纳入整改清单加密能解决与不能解决
| 维度 | 加密能解决 | 加密不能解决 |
|---|---|---|
| 介质泄露 | 云盘被离线读取或误处置时数据不可读 | 有实例访问权限的人仍能读到明文 |
| 合规条款 | 满足静态加密类要求 | 不等同于满足权限与审计类要求 |
| 数据销毁 | 销毁密钥后数据不可恢复 | 已经导出的副本与备份不受影响 |
| 权限隔离 | 密钥授权可独立于实例权限管理 | 实例被入侵后本地数据依然可读 |
| 性能开销 | 对应用透明，影响通常较小 | 高并发场景仍需实测确认 |
加密不能替代访问控制：有实例访问权就能读到明文。KMS 密钥的禁用与删除要格外谨慎，密钥被销毁等同于数据永久不可恢复，且操作不可逆。
存量云盘无法就地开启加密，需要新建加密盘再迁移数据（或按厂商支持的转换规则处理），因此上线前就应把加密策略定下来，避免后期为了合规重建全部实例与备份链路。