| 方式 | 创建云盘/实例时开启加密，选择 KMS 主密钥（CMK） |
|---|---|
| 范围 | 系统盘与数据盘均可；加密盘的快照继承加密 |
| 影响 | 加解密对应用透明；性能损耗通常较小（仍建议压测） |
| 权限 | KMS 密钥权限与云盘使用权限分离，注意授权关系 |
加密合规检查点
加密合规检查点
- 数据库数据盘：必须加密
- 备份/快照：确认继承加密
- 密钥策略：跨账号访问需显式授权 CMK
- 审计：开启 KMS 密钥使用日志加密不能替代访问控制：有实例访问权就能读到明文；KMS 密钥删除需要谨慎（密钥销毁=数据不可恢复）。
云盘加密（KMS）
用 KMS 主密钥加密云盘：创建时勾选即开启，读写透明加解密、性能损耗小；加密盘产生的快照也自动加密，满足静态加密合规要求。
易错点
- 合规要求静态加密，上线前才发现云盘未加密需重建
- KMS 密钥误删/禁用导致加密盘不可用
数据来源与参考
- 阿里云文档：云盘加密
- 腾讯云文档：云硬盘加密
- 华为云文档：云硬盘加密