CAS E0786P02H01 虚拟机的磁盘有加密吗

在 H3C CAS E0786P02H01 版本中，虚拟磁盘的数据在默认情况下是不加密的。不过，平台从 E0760 版本开始，已原生支持对虚拟磁盘进行加密。

🔒 默认情况：明文存储

在未开启加密功能时，虚拟机磁盘文件（默认为 qcow2 格式）中的数据是以明文形式存储在物理存储介质上的。

这意味着，一旦物理存储介质（如硬盘）丢失或被非法访问，攻击者可以直接读取其中的数据。同时，虚拟机的核心配置文件（如 XML 格式的硬件描述文件）在默认情况下也是明文的。

🛡️ 如何开启加密：基于LUKS

从 E0760 及之后版本开始，CAS 提供了可选的虚拟磁盘加密功能。

• 加密算法：支持 AES256（国际通用算法）和 SM4（中国国密算法）。

• 实现方式：基于 LUKS（Linux Unified Key Setup）磁盘加密规范。

• 操作方式：你可以在创建加密虚拟机时，或在为已有虚拟机添加新磁盘时，选择开启加密并设置密钥。

• 加密效果：加密对虚拟机自身透明。数据在写入磁盘时自动加密，读取时自动解密，不影响虚拟机内部业务。

⚠️ 版本与快照的重要说明

• 版本要求：请务必确认你的 CAS 版本为 E0760 或更高版本。你提到的 E0786P02H01 满足此要求。

• 快照文件：需要注意的是，即使对虚拟磁盘开启了加密，快照文件本身在存储时默认也是没有加密的。虽然数据是加密的，但快照的元数据或结构信息可能仍会暴露。

核心结论
默认状态：虚拟机虚拟磁盘【不自动加密】，业务数据写入虚拟磁盘是明文存储；加密是可选功能，需要创建磁盘时手动开启。
版本基线 E0786P02H01 ≥ E0760，平台原生支持 LUKS 虚拟磁盘加密。
1、默认场景（绝大多数现有虚拟机）
创建磁盘选择【智能 (qcow2) / 高速 (raw)】
虚拟机内部业务数据写入虚拟磁盘文件时，虚拟化层不做任何加密；
存储池底层 qcow2/raw 文件为明文，拿到存储介质、直接拷贝磁盘文件，可直接提取业务数据。
关键点：不存在 CAS 全局自动加密开关，不会默认开启。
2、开启加密后的工作机制
创建磁盘时存储格式选择【加密（LUKS 加密 qcow2）】
数据流向：虚拟机业务写入 → CAS 虚拟化层 实时加密 → 写入物理存储；
读取：物理存储读出密文 → 虚拟化层解密 → 交付虚拟机；
支持算法：AES256、SM4 国密算法，基于 LUKS 标准框架；
约束：磁盘创建时选定加密属性，已存在的普通 qcow2 磁盘无法事后转为加密磁盘，只能新增加密磁盘。
3、加密磁盘重要限制（业务评估重点）
开启加密后，虚拟机将失去大量常用特性：
✅ 不支持：在线存储迁移、云彩虹迁移、CBT 增量备份、虚拟机克隆、模板转换、外部快照、OVF 导出；
✅ 密钥自行保管，密钥丢失磁盘数据无法恢复。
4、容易混淆的两层加密区分
CAS 虚拟化层磁盘加密（本次讨论）：虚拟机 qcow2 磁盘静态加密，保护宿主机存储层面的数据；
虚拟机操作系统内部加密（BitLocker/LUKS）：客户操作系统内自行部署，和 CAS 平台无关；
二者互相独立，不要混淆。
5、等保测评常见补充说明
如果测评提问：
CAS 平台虚拟机磁盘数据是否加密？
标准答复：
CAS E0786P02H01 版本虚拟磁盘默认明文存储；平台提供可选 LUKS 磁盘加密功能，可在新建虚拟机 / 新增磁盘时启用 AES256/SM4 加密；存量虚拟机磁盘无法动态加密，如需静态加密保护，需要新建加密磁盘迁移业务数据。
极简一句话总结
不手动选择加密磁盘格式 → 业务数据明文写入虚拟磁盘；新建磁盘时选择【加密】，才会在写入时自动加密；已有普通磁盘不能后期开启加密。