文档介绍：志达宇泛见著于微阿里云磁盘加密方案介绍Introductiontoaliyun阿里云磁盘加密方案介绍随着云技术的越来越成熟,云端化部署能够更好的支撑客户的业务,上云已经成为了一种趋势,但如何保障云端用户数据安全,是用户和我们最为关心的。本方案主要介绍,阿里云是如何提供磁盘加密的,并介绍阿里云的安全合规资质目录第一部分:阿里云磁盘加密介绍第二部分:阿里云安全合规资质介绍阿里云磁盘加密介绍Introductiontoaliyun阿里云磁盘加密介绍什么是ECS磁盘加密当业务因为业务需要或者认证需要,要求对存储在磁盘上的数据进行加密,阿里云ECS磁盘加密功能能对云盘和共享块存储(以下简称云盘,除非特别指出)加密,提供了一种简单的安全的加密手段,能够对新创建的云盘进行加密处理。无需构建、维护和保护自己的密钥管理基础设施,也无需更改任何已有的应用程序和运维流程,无需做额外的加解密操作,磁盘加密功能对于业务是无感的。加密解密的过程对于云盘的性能几乎没有衰减。阿里云磁盘加密介绍在创建加密云盘并将其挂载到ECS实例后,将对以下类型的数据进行加密:云盘中的数据云盘和实例间传输的数据(实例操作系统内数据不再加密)加密云盘创建的所有快照(加密快照)加密解密是在ECS实例所在的宿主机上进行的,对从ECS实例传输到云盘的数据进行加密。ECS磁盘加密支持所有在售云盘(普通云盘、高效云盘和SSD云盘)和共享块存储(高效和SSD)。ECS磁盘加密支持所有在售的实例规格。所有地域都支持云盘的加密。阿里云磁盘加密依赖介绍ECS磁盘加密的依赖ECS磁盘加密功能依赖于同一地域的密钥管理服务(KeyManagementService,KMS),但是您无需到密钥管理服务控制台做额外的操作,除非您有单独的KMS操作需求。首次使用ECS磁盘加密功能(在ECS实例售卖页或者独立云盘售卖页)时,需要根据页面提示授权开通密钥管理服务(KMS),否则将无法购买带有加密磁盘的实例或者加密的独立云盘。如果使用API或者CLI使用ECS磁盘加密功能,比如CreateInstance、CreateDisk,您需要先在阿里云网站上开通密钥管理服务。当您在一个地域第一次使用加密盘时,ECS系统会为您在密钥管理服务(KMS)中的使用地域自动创建一个专为ECS使用的用户主密钥(CMK,CustomerMasterKey),这个用户主密钥,您将不能删除,您可以在密钥管理服务控制台上查询到该用户主密钥阿里云磁盘加密的密钥管理介绍ECS磁盘加密的密钥管理ECS磁盘加密每个新创建云盘都使用一个唯一的256位密钥(来自于用户主密钥)加密。此云盘的所有快照以及从这些快照创建的后续云盘也关联该密钥。这些密钥受阿里云密钥管理基础设施的保护(由密钥管理服务提供),这将实施强逻辑和物理安全控制以防止未经授权的访问。您的数据和关联的密钥使用行业标准的AES-256算法进行加密。无法更改与已经加密了的云盘和快照关联的用户主密钥(CMK)。阿里云整体密钥管理基础设施符合(NIST)800-57中的建议,并使用了符合(FIPS)140-2标准的密码算法。每个阿里云ECS账号在每个地域都具有一个唯一的用户主密钥(CMK),该密钥与数据分开,存储在一个受严格的物理和逻辑安全控制保护的系统上。每个加密盘及其后续的快照都使用磁盘粒度唯一的加密密钥(从该用户该地域的用户主密钥创建而来)阿里云磁盘加密KMS场景介绍