您可以通过ECS控制台、API等方式在创建ECS实例或者复制自定义镜像时,选择是否对系统盘进行加密。系统盘加密后,系统盘上的数据都会被加密。加密密钥可以是系统自建的密钥(CMK),也可以是您导入的密钥(BYOK)。
背景信息
系统盘加密方式
您可以通过以下方式加密系统盘:- 创建ECS实例时,为系统盘选中加密并选择密钥来加密系统盘。具体操作,请参见创建实例时加密系统盘。
说明 创建实例时加密系统盘正在公测中,公测地域和可用区仅支持中国(香港)的B、C可用区、新加坡的B、C可用区。
- 复制自定义镜像时,选中加密并选择密钥来加密自定义镜像。使用加密的自定义镜像去创建ECS实例,系统盘以及数据盘(如果有)会被自动加密。具体操作,请参见通过复制镜像加密系统盘。
通过复制自定义镜像加密系统盘的流程如下图所示。更多信息,请参见加密概述 。
系统盘加密场景
ECS系统盘加密主要分为如下几类场景:自定义镜像是否加密 | 创建实例时是否加密系统盘 | ECS系统盘最终加密状态 |
---|---|---|
否 | 否 | 否 |
否 | 是(密钥A)
更多信息,请参见创建实例时加密系统盘。 |
是(密钥A) |
是(密钥B)
更多信息,请参见通过复制镜像加密系统盘。 |
否 | 是(密钥B) |
是(密钥B)
更多信息,请参见通过复制镜像加密系统盘。 |
是(密钥A)
更多信息,请参见创建实例时加密系统盘。 |
是(密钥A) |
创建实例时加密系统盘
您可以在创建ECS实例时,为系统盘选中加密并选择密钥来加密系统盘。
限制条件
创建实例时加密系统盘的限制条件如下所示。- 实例规格族:不包括ecs.ebmg5、ecs.ebmgn5t、ecs.ebmi3、ecs.sccg5、ecs.scch5、ecs.ebmc4和ecs.ebmhfg5。更多信息,请参见实例规格族
- 镜像类型:仅支持公共镜像和自定义镜像,不支持共享镜像和市场镜像
- 云盘类型:仅支持ESSD云盘类型
创建ECS实例
通过复制镜像加密系统盘
您可以在复制镜像时选择加密自定义镜像,使用加密后的自定义镜像创建的系统盘以及数据盘(如果有)会被自动加密。加密自定义镜像
加密自定义镜像支持在控制台复制镜像时加密和在调用API CopyImage时加密。
- 在控制台复制镜像时加密自定义镜像
本步骤介绍在已有的自定义镜像上加密系统盘。如果没有自定义镜像,请先创建自定义镜像。具体操作,请参见使用快照创建自定义镜像和使用实例创建自定义镜像。
- 登录ECS管理控制台。
- 在左侧导航栏,选择 。
- 在顶部菜单栏左上角处,选择地域。
- 在镜像页面,选择自定义镜像页签。
- 选择需要复制的镜像,在操作列中,单击复制镜像。
说明 如果自定义镜像大于500 GiB,单击复制镜像时,请根据系统引导提交工单。
- 在复制镜像对话框中,选中加密,并在下拉列表中选择一个密钥。
选中加密时,阿里云默认使用托管的服务密钥(Default Service CMK)进行加密,您也可以将事先在KMS服务中创建好的CMK密钥(BYOK)指定为该云盘的加密密钥。阿里云建议您使用自定义密钥(BYOK)进行加密。 如何创建自定义密钥,请参见创建密钥。
说明 首次选择更多类型密钥时,单击去授权,根据页面引导为ECS授权AliyunECSDiskEncryptDefaultRole角色,允许ECS访问您的KMS资源。本步骤仅描述复制镜像时如何配置加密选项,其余配置说明,请参见复制镜像。 - 单击确定。
加密后,用来加密云盘的KMS密钥自动被绑定一个标签,标签键固定为
acs:ecs:disk-encryption
,标签值固定为true
。您可以登录密钥管理服务控制台,并单击密钥ID,查看密钥标签。
- 调用CopyImage时加密自定义镜像
以下示例使用阿里云CLI调用API CopyImage,指定一个KMSKeyId来加密系统盘。
aliyun ecs CopyImage --RegionId cn-hongkong \ --ImageId m-bp155shrycg3s0****** --DestinationRegionId cn-shenzhen \ --Encrypted true --KMSKeyId e522b26d-abf6-4e0d-b5da-04b7******3c \ --Tag.N.Key EcsDocumentation
使用加密的自定义镜像创建ECS实例
自定义镜像加密完成后,使用加密的自定义镜像去创建ECS实例,系统盘以及数据盘(如果有)会被自动加密,并且系统盘和数据盘的加密密钥与该镜像使用的密钥相同。创建ECS实例的具体操作,请参见使用向导创建实例。
转换系统盘加密状态说明
- 复制未加密的镜像时,未选择CMK,则使用目标镜像创建的系统盘的加密状态为未加密。
- 复制未加密的镜像时,选择了CMK,则目标镜像被加密,您需要使用选择的CMK访问使用目标镜像创建的ECS实例。
- 复制已加密的镜像时,未选择CMK,则目标镜像被加密,但您只需使用原有密钥访问使用目标镜像创建的ECS实例。
- 复制已加密的镜像时,选择了新的CMK,则目标镜像被加密,您必须使用新密钥访问使用目标镜像创建的ECS实例。