加密的系统磁盘

复制映像时，您可以选择加密自定义映像，使用该自定义映像创建的系统磁盘和数据磁盘（如果有）将被自动加密，并且系统磁盘和数据磁盘的加密密钥以及图像使用相同的键. 加密密钥可以是系统的自建密钥（CMK），也可以是您导入的密钥（BYOK）.

只能通过复制映像来加密系统磁盘，并且映像类型必须是自定义映像. 有关更多详细信息，请参见. 登录ECS管理控制台. 在左侧导航栏中，单击实例和镜像>镜像. 在顶部状态栏的左上角，选择区域. 在图像列表中，选择“自定义图像”选项卡. 选择要复制的图像，然后在“操作”列中，单击“复制图像”.

说明如果自定义图像大于500 GiB系统盘加密，则单击“复制图像”时，请根据系统指南提交票证.

在复制图像弹出窗口中，选中“加密”，然后在下拉菜单中选择一个密钥.

选中云盘加密后，阿里云默认使用托管服务密钥（默认CMK）进行加密. 您还可以将在KMS服务中创建的CMK密钥（BYOK）指定为云磁盘的加密密钥. 阿里云建议您使用自定义密钥（BYOK）进行加密.

说明首次选择更多类型的密钥时，请单击``取消授权''并按照页面指南为ECS授权AliyunECSDiskEncryptDefaultRole角色，以允许ECS访问您的KMS资源. 此步骤仅描述复制映像时如何配置加密选项. 有关其余的配置详细信息，请参阅.

单击确定.

加密后，用于加密云磁盘的KMS密钥会自动绑定到标签，标签密钥固定为acs: ecs: 磁盘加密，标签值固定为true. 您可以在KMS管理控制台中查看密钥标签.

以下示例使用阿里云CLI调用API并指定KMSKeyId来加密系统磁盘.

aliyun ecs CopyImage --RegionId cn-hongkong --ImageId m-bp155shrycg3s0****** --DestinationRegionId cn-shenzhen --Encrypted true --KmsKeyId e522b26d-abf6-4e0d-b5da-04b7******3c --Tag.N.Key EcsDocumentation

转换系统磁盘的加密状态与是否选择或替换CMK有关系统盘加密，如下所示:

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-198045-1.html