云盘加密是什么
云盘加密在虚拟化层对磁盘数据做透明加解密，密钥由密钥管理服务（KMS）托管，实例侧无需改动。加密范围通常包括云盘数据以及由它创建的快照，加密盘产生的快照一般保持加密状态。开启方式是在创建云盘时选择加密并指定密钥，因此存量未加密盘通常无法原地转换，常见做法是新建加密盘再复制数据。
基本信息
| 加密范围 | 云盘数据与由它创建的快照（快照通常保持加密） |
|---|---|
| 开启方式 | 创建云盘时选择加密并指定 KMS 密钥 |
| 性能 | 加解密在虚拟化层完成，开销较小但高 IO 场景建议压测 |
| 密钥管理 | 密钥的删除保护与授权范围要纳入流程 |
| 使用限制 | 加密快照与镜像的共享、导出能力通常受限 |
典型使用场景
- 合规要求数据落盘加密的业务系统
- 承载敏感数据（个人信息、财务数据）的数据库盘
- 跨部门共享环境中的多租户隔离要求
- 云上灾备盘与备份介质同样需要加密
- 安全审计要求证明静态数据受密钥保护
上线前检查项
上线前检查项
1 确认密钥归属账号与授权范围，避免业务账号无解密权限
2 确认快照是否随盘加密，灾备链路要一起核对
3 确认加密盘的共享与导出能力是否满足业务需求
4 把密钥删除保护与轮换纳入运维流程
5 对高 IO 业务先在测试环境压测，确认性能可接受对象与加密行为
| 对象 | 加密行为 | 注意 |
|---|---|---|
| 云盘 | 创建时指定密钥，数据透明加解密 | 创建后通常无法原地改为加密 |
| 快照 | 由加密盘创建的快照保持加密 | 跨账号共享与导出受密钥权限约束 |
| 镜像 | 由加密快照制作的镜像同样受限 | 跨账号共享镜像的方案要提前验证 |
| 共享导出 | 需要对方能使用同一密钥 | 密钥授权不当会让接收方无法使用 |
| 性能 | 虚拟化层加解密带来少量开销 | 高 IOPS 业务需压测确认 |
密钥删除会导致加密数据不可读；密钥的删除保护与授权范围要纳入流程管理，删除前确认没有在用卷与快照依赖。
存量未加密盘能否原地转换以厂商当前文档为准；常见做法是新建加密盘并复制数据，预留停机或在线迁移窗口。