加密系统盘

创建实例时加密系统盘

您可以在创建ECS实例时，为系统盘选中加密并选择密钥来加密系统盘。

限制条件

• 实例规格族：不包括ecs.ebmg5、ecs.ebmgn5t、ecs.ebmi3、ecs.sccg5、ecs.scch5、ecs.ebmc4和ecs.ebmhfg5。更多信息，请参见实例规格族
• 镜像类型：仅支持公共镜像和自定义镜像，不支持共享镜像和市场镜像
• 云盘类型：仅支持ESSD云盘类型

创建ECS实例

1. 登录ECS管理控制台。
2. 在左侧导航栏，选择实例与镜像 > 实例。
3. 在顶部菜单栏左上角处，选择地域。
4. 在实例页面，单击创建实例。
5. 在基础配置页面，按以下步骤操作。
   说明 本步骤主要描述创建实例时如何配置加密选项，其余配置说明，请参见使用向导创建实例。
   1. 选择符合条件的地域和可用区、实例规格。
   2. 镜像类型选择公共镜像或者自定义镜像。
   3. 系统盘选择ESSD云盘类型，并配置容量等信息。
   4. 选中加密，并在下拉列表中选择一个密钥。
      

      选中加密时，阿里云默认使用托管的服务密钥（Default Service CMK）进行加密，您也可以将事先在KMS服务中创建好的CMK密钥（BYOK）指定为该云盘的加密密钥。阿里云建议您使用自定义密钥（BYOK）进行加密。 如何创建自定义密钥，请参见创建密钥。

      加密后，用来加密云盘的KMS密钥自动被绑定一个标签，标签键固定为acs:ecs:disk-encryption，标签值固定为true。您可以登录密钥管理服务控制台，并单击密钥ID，查看密钥标签。

通过复制镜像加密系统盘

加密自定义镜像

加密自定义镜像支持在控制台复制镜像时加密和在调用API CopyImage时加密。

• 在控制台复制镜像时加密自定义镜像

  本步骤介绍在已有的自定义镜像上加密系统盘。如果没有自定义镜像，请先创建自定义镜像。具体操作，请参见使用快照创建自定义镜像和使用实例创建自定义镜像。

  1. 登录ECS管理控制台。
  2. 在左侧导航栏，选择实例与镜像 > 镜像。
  3. 在顶部菜单栏左上角处，选择地域。
  4. 在镜像页面，选择自定义镜像页签。
  5. 选择需要复制的镜像，在操作列中，单击复制镜像。
     说明 如果自定义镜像大于500 GiB，单击复制镜像时，请根据系统引导提交工单。
  6. 在复制镜像对话框中，选中加密，并在下拉列表中选择一个密钥。

     选中加密时，阿里云默认使用托管的服务密钥（Default Service CMK）进行加密，您也可以将事先在KMS服务中创建好的CMK密钥（BYOK）指定为该云盘的加密密钥。阿里云建议您使用自定义密钥（BYOK）进行加密。 如何创建自定义密钥，请参见创建密钥。

     说明 首次选择更多类型密钥时，单击去授权，根据页面引导为ECS授权AliyunECSDiskEncryptDefaultRole角色，允许ECS访问您的KMS资源。本步骤仅描述复制镜像时如何配置加密选项，其余配置说明，请参见复制镜像。
  7. 单击确定。

     加密后，用来加密云盘的KMS密钥自动被绑定一个标签，标签键固定为acs:ecs:disk-encryption，标签值固定为true。您可以登录密钥管理服务控制台，并单击密钥ID，查看密钥标签。

• 调用CopyImage时加密自定义镜像
  以下示例使用阿里云CLI调用API CopyImage，指定一个KMSKeyId来加密系统盘。

  aliyun ecs CopyImage --RegionId cn-hongkong \
  --ImageId m-bp155shrycg3s0****** --DestinationRegionId cn-shenzhen \
  --Encrypted true --KMSKeyId e522b26d-abf6-4e0d-b5da-04b7******3c \
  --Tag.N.Key EcsDocumentation

使用加密的自定义镜像创建ECS实例

自定义镜像加密完成后，使用加密的自定义镜像去创建ECS实例，系统盘以及数据盘（如果有）会被自动加密，并且系统盘和数据盘的加密密钥与该镜像使用的密钥相同。创建ECS实例的具体操作，请参见使用向导创建实例。

转换系统盘加密状态说明