云沙箱自 2026 年 10 月 24 日起暂时下线 OSS 挂载场景的 KMS 服务端加密（SSE-KMS）能力，需提前完成配置调整。
背景信息
为提升沙箱场景下的数据访问安全性，函数计算云沙箱将暂时停止在 OSS（Object Storage Service，对象存储）挂载场景中支持 KMS（Key Management Service，密钥管理服务）服务端加密（SSE-KMS）。请提前检查相关配置并完成调整，以免影响业务运行。
OSS 的 KMS 服务端加密以对象（文件）为粒度关联 KMS 密钥。同一 Bucket 或挂载目录下的不同文件，可能使用不同的 KMS 密钥，包括历史文件使用的旧密钥。在实际挂载中，需要将超出挂载需求的权限下发至沙箱环境，带来非预期的数据访问风险。
为避免此类潜在安全风险，在具备更精确的 KMS 授权方案前，当前阶段暂时下线该功能。后续如恢复支持，将另行公告。
生效时间
自 2026 年 10 月 24 日起，云沙箱 OSS 挂载暂时不再支持使用 SSE-KMS 加密的对象。
影响范围
变更生效后，云沙箱 OSS 挂载将暂时不再支持读取或写入使用 KMS 服务端加密的对象。使用 SSE-OSS（Server-Side Encryption with OSS-managed keys，OSS 完全托管密钥的服务端加密）及未启用服务端加密的对象，不受本次变更影响。
通过云沙箱 OSS 挂载访问以下数据的业务，需要在变更生效前完成调整：
默认加密方式为 SSE-KMS 的 Bucket 中，使用该方式加密的数据。
单独配置了 SSE-KMS 的对象，包括历史已加密对象。
变更生效后，未完成调整的相关业务可能出现文件读取或写入失败。
本次变更仅适用于云沙箱产品，不涉及函数计算的云函数产品。OSS 产品本身的 KMS 服务端加密能力不受影响。
后续步骤
如需继续通过云沙箱 OSS 挂载访问数据，需将相关数据的加密方式调整为 SSE-OSS：
检查挂载涉及的 Bucket 默认加密配置及对象实际加密方式。
将相关 Bucket 的默认加密方式调整为 SSE-OSS，并检查上传程序是否单独指定了 SSE-KMS。
对已有 SSE-KMS 对象，通过重新上传或拷贝并显式指定 SSE-OSS 的方式完成迁移。
重新挂载并验证文件读写正常。
仅修改 Bucket 默认加密方式不会改变已有对象的加密配置。对于仍需通过挂载访问的历史 SSE-KMS 对象，还需一并处理。
加密方式配置说明，请参见服务端加密。OSS Volume 的创建与挂载操作，请参见创建 OSS Volume、挂载 OSS Volume。
如需确认影响范围或协助调整，请提交工单，或加入钉钉用户群（群号：64970014484）与我们联系。