本页面介绍如何解决磁盘加密问题。
密钥轮替错误
本部分列出了您在轮换客户管理的加密密钥 (CMEK) 时可能会遇到的错误，并提供了有关如何解决这些错误的建议。
对于不受 CMEK 保护的磁盘，不支持 CMEK 轮换
当您尝试在不受支持的资源上轮换 CMEK 时，会发生以下错误：
CMEK rotation is not supported for non-CMEK protected disks
如需解决此问题，请确认您的资源是否受到 Cloud Key Management Service 的保护。
某些 Google Cloud Hyperdisk 配置不支持 CMEK 轮替
当您尝试为在线机密 Hyperdisk 卷或未挂接到支持的机器类型之一的在线 Hyperdisk 卷轮换或更改 CMEK 时，会显示以下错误消息：
CMEK Rotation is not supported for (confidential) Hyperdisk attached to machine type TYPE_X
如需解决此问题，请完成以下步骤：
- 分离磁盘
- 使用
compute.disks.updateKmsKey方法轮替或更改 CMEK - 重新挂接磁盘
磁盘已在使用主密钥版本
如果磁盘或标准快照已使用主密钥版本，则会显示以下警告消息：
WARNING: Some requests generated warnings: - Disk DISK_NAME is already using the primary kms key version KEY_VERSION.
在这种情况下，API 调用会成功，但密钥版本不会更新。
此问题可能是由于 KMS 的版本控制更新延迟所致。如需解决此问题，请稍后重试轮替密钥。
如果任务失败，但您没有看到上述错误消息，可以按照以下步骤手动轮换 Cloud KMS：
- 轮替 Cloud KMS 密钥。
- 创建加密磁盘的快照。
- 使用新快照来创建新的磁盘，其中的密钥是在上一步中轮替的密钥。
- 替换挂接到虚拟机并使用旧加密密钥的磁盘。
在您创建新的磁盘时，该磁盘会使用新的密钥版本进行加密。您根据该磁盘创建的任何快照都会使用最新的主密钥版本。
使用 Cloud Key Management Service 轮替密钥时，使用先前的密钥版本加密的数据不会自动重新加密。如需了解详情，请参阅重新加密数据。轮替密钥不会自动停用或销毁现有密钥版本。