SED 自加密盘是什么
SED（Self-Encrypting Drive）在盘内完成加解密：数据以密文写入介质，密钥由盘内的加密引擎使用，主机侧不需要持续消耗 CPU 做加密。对运维而言，SED 改变的不是读写性能，而是流程——密钥管理、换盘、退役与报修都与普通盘不同。最要紧的一点：启用加密前必须先落实密钥备份与恢复演练，没有恢复路径的加密是风险而不是保护。
基本信息
| 概念 | 盘内加密，密钥在盘内使用 |
|---|---|
| 依赖条件 | 阵列卡或软件栈提供密钥管理与解锁支持 |
| 运维差异 | 换盘、密钥备份与报修流程需单独设计 |
| 退役要求 | 按加密介质要求执行擦除与销毁 |
| 记录内容 | 加密状态与密钥管理方式纳入资产台账 |
典型使用场景
- 合规要求：行业规范要求存储介质静态加密
- 介质退役：整盘或整机退役时降低数据泄露风险
- 设备报修：盘或整机送修前评估盘上数据可读性
- 换盘流程：替换故障盘时同步处理密钥与新盘加密配置
- 加密状态盘点：定期确认机队内哪些盘处于加密状态
查询加密与安全特性（示例）
查询加密与安全特性（示例）
hdparm -I /dev/sdX 2>/dev/null | grep -i security # 查看盘的安全特性位
smartctl -i /dev/sdX | grep -iE "encryption|sed" # 查看是否报告加密能力
# 是否可用、由谁管密钥，取决于阵列卡或软件栈的支持情况
# 检查阵列卡工具中的加密与密钥相关配置项
# 任何密钥操作前先确认：备份位置、恢复步骤与责任人普通盘与 SED 的流程差异
| 环节 | 普通盘 | SED |
|---|---|---|
| 换盘 | 按容量与接口匹配即可 | 需同步处理密钥与新盘的加密配置 |
| 退役 | 擦除数据后即可处置 | 密钥销毁后盘上数据不可读 |
| 报修 | 按常规寄修流程 | 先评估盘上密钥与数据泄露风险 |
| 盘点 | 记录容量与健康状态 | 额外记录加密状态与密钥管理方式 |
| 恢复 | 按备份还原 | 恢复依赖密钥可用，缺失则无法解密 |
启用加密前先确认密钥备份与恢复演练方案：只有确认过“密钥丢了怎么恢复”，加密才是可运维的保护手段。
密钥未备份或备份不可用时，盘故障将直接导致数据无法解密：这是 SED 运维中最需要提前演练的风险点。