文档中心

对象存储

服务端加密

设置桶的服务端加密

设置桶的服务端加密

为存储桶设置服务端加密后，如果上传文件时未单独指定服务端加密方式，文件将默认继承存储桶的服务端加密配置。本文介绍如何设置存储桶的服务端加密方式。

注意事项

类型	注意事项
加密方式	仅会对开启存储桶服务端加密方式之后上传的对象进行加密，不会改变开启前已有对象的服务端加密方式。修改存储桶的服务端加密方式后，仅会修改之后上传对象的服务端加密方式，不会改变修改前已有对象的服务端加密方式。仅支持为存储桶设置 SSE-KMS 和 SSE-TOS 服务端加密。
SSE-KMS 加密	首次使用 SSE-KMS 进行服务端加密，您需要开通 KMS 服务。开通 KMS 服务免费，使用 KMS 服务会收费。使用 SSE-KMS 进行服务端加密会产生 API 调用费用，创建 KMS 密钥会产生密钥托管费用。API 调用费用和密钥托管费用由 KMS 收取，更多信息，请参见 KMS 计费说明。 SSE-KMS 仅加密对象数据而不加密对象元数据。使用 SSE-KMS 上传加密对象，您需要具备该密钥的 kms:GenerateDataKey 权限；若要下载 SSE-KMS 加密对象，您需要具备该密钥的 kms:Decrypt 权限。使用 SSE-KMS 加密的对象不支持匿名用户访问。您必须开通 KMS 服务，具备访问主密钥的权限，才能使用有效签名访问 SSE-KMS 加密的对象。 SSE-KMS 服务端加密的算法支持情况如下： AES256 算法：全部地域（详见地域和访问域名）支持。 SM4 算法：仅华北2（北京）、华南1（广州）、华东2（上海）支持。关于服务端加密的详细介绍，请参见服务端加密概述。
SSE-TOS 加密	SSE-TOS 服务端加密的算法支持情况如下： AES256 算法：全部地域（详见地域和访问域名）支持。 SM4 算法：仅华北2（北京）、华南1（广州）、华东2（上海）支持。关于服务端加密的详细介绍，请参见服务端加密概述。

创建桶时开启服务端加密

您可以在创建存储桶时开启服务端加密。具体操作，请参见创建存储桶。

创建桶后开启服务端加密

登录对象存储控制台。

在左侧导航栏，单击桶列表。

在顶部导航栏，选择存储桶所属项目。

在桶列表页面，单击目标桶名称。

在左侧导航栏，选择安全管理 > 服务端加密。

在服务端加密页面，单击编辑，选择服务端加密方式。

服务端加密方式	说明
无	表示不加密。
SSE-TOS	TOS 托管密钥方式，是指文件上传后 TOS 对文件自动加密落盘存储，下载时自动解密，密钥由 TOS 托管，更多信息，请参见服务端加密。选择 SSE-TOS 后，您还需要选择加密算法，可选 AES256 和 SM4 算法。
SSE-KMS	使用火山引擎 KMS 托管的密钥对文件进行加解密，更多信息，请参见服务端加密。选择 SSE-KMS 后，您还需要选择如下参数：加密算法：选择密钥的加密算法，可选 AES256 和 SM4 算法，详细介绍，请参见密钥种类。加密密钥类型：默认为自定义密钥。密钥项目：选择自定义密钥所属的项目。选择项目后，系统将展示该项目下可用的自定义密钥。如需使用新的项目，请单击新建项目创建。详细操作，请参见项目管理。自定义密钥：选择 KMS 密钥。如果您未创建密钥，您可以前往 KMS 服务创建密钥。具体操作，请参见 KMS 快速入门。

单击确定。

相关操作

在目标存储桶，您还可以对服务端加密执行以下操作：

操作	说明
查看存储桶的服务端加密方式	在左侧导航栏，单击概览，在基本信息区域，查看存储桶的服务端加密方式。具体操作，请参见存储桶概览。
修改存储桶的服务端加密	通过概览修改在左侧导航栏，单击概览。在基本信息区域，单击服务端加密右侧的设置。在服务端加密页面，单击编辑，修改存储桶的服务端加密方式。通过安全管理修改在左侧导航栏，选择安全管理 > 服务端加密。在服务端加密页面，单击编辑，修改存储桶的服务端加密方式。
上传文件时设置服务端加密方式	在上传文件时设置服务端加密方式。具体操作，请参见上传文件。

最近更新时间：2026.10.21 11:54:19

这个页面对您有帮助吗？

有用

有用

无用

无用