NAS文件存储：服务器端加密

一起看海

文件存储NAS支持服务器端加密功能。NAS会对存储在文件系统中的数据进行加密，访问数据时，NAS自动将加密数据解密后返回给用户。本文介绍服务器端加密的工作原理及相关操作。

使用限制
仅支持在创建文件系统时开启数据加密功能。
已开启数据加密功能的文件系统不能关闭此功能。

加密方式
当您对文件存储有高安全性或者合规性要求时，建议您开启服务器端加密功能。服务器端加密密钥采用行业标准AES-256加密算法，保护文件系统静态数据，并通过信封加密机制防止未经授权的数据访问。服务器端加密密钥依托于KMS服务生成和管理。KMS服务能最大程度保障密钥的保密性、完整性和可用性。更多信息，请参见使用KMS信封加密在本地加密和解密数据。

NAS针对不同使用场景提供了以下两种服务器端加密方式。

说明
使用NAS托管密钥免费。使用用户管理密钥会产生少量的KMS密钥使用费用。更多信息，请参见KMS计费说明。

NAS托管密钥
使用NAS完全托管的密钥加密每个文件系统。该密钥由NAS在KMS（Key Management Service）服务中进行创建和管理，您可以查看密钥并审计密钥的使用权限，但无法删除、禁用该密钥。

用户管理密钥
使用您托管给KMS服务的用户管理密钥对文件系统进行加解密操作。当该密钥被禁用或者删除后，使用该密钥进行加密的NAS文件系统将不可访问。用户

管理密钥有以下两种来源：
在KMS服务中创建的密钥：您可以在KMS服务中创建用户主密钥CMK（Customer Master Key），并对CMK进行配置和管理，包括启用、禁用、删除、密钥轮转等操作。
自带密钥BYOK（Bring Your Own Key）：为了满足一些特定的安全需求，您可以将本地或其他途径生成的自带密钥BYOK导入KMS，作为用户主密钥CMK。具体操作，请参见导入密钥材料。

操作方式
在NAS控制台创建文件系统时，根据使用场景配置加密方式为NAS托管密钥或用户管理密钥。具体操作，请参见通过控制台创建通用型NAS文件系统和通过控制台创建极速型NAS文件系统。

支持地域
NAS托管密钥加密
通用型NAS：所有地域。
极速型NAS：所有地域。
用户管理密钥加密
通用型NAS：
美国（硅谷）
美国（弗吉尼亚）
英国（伦敦）
澳大利亚（悉尼）
德国（法兰克福）
印度（孟买）
新加坡
极速型NAS：所有地域。