等保改造要国密：openEuler上用SM4给数据盘整盘加密

本文整理自 openEuler 官方文档，按中小企业服务器场景做了场景化梳理。

合规要求推着国密走

做等保或者承接政务、国企业务的单位，这两年常被问到一句话：数据存储能不能用国密算法？以前答案是「要额外找商业组件」，现在主流国产服务器系统 openEuler 已经把这件事做进了系统底座：官方文档明确，其磁盘加密特性已支持商密算法——摘要算法 SM3、加密算法 sm4-xts-plain64、密钥长度 256 位，加密模式支持 luks2 和 plain 两种。

机制是什么

openEuler 的磁盘加密由用户态工具 cryptsetup 和内核态 dm-crypt 模块配合完成：磁盘按指定算法格式化成加密盘后映射到 /dev/mapper 下作为 dm 设备，后续读写都走这个 dm 设备，加解密由内核完成，用户态不感知。也就是说，上层应用完全不用改，数据库写进去的数据在盘上就是密文，拔了硬盘也读不出内容。

操作走一遍

官方文档给的前置条件有两个：内核版本大于或等于 5.10.0-106，cryptsetup 版本大于或等于 2.4.1-1，可分别用 uname -r 和 rpm -q cryptsetup 确认。

以 luks2 模式为例，把数据盘 /dev/sdd 格式化为 SM4 加密、SM3 摘要：

# cryptsetup luksFormat /dev/sdd -c sm4-xts-plain64 --key-size 256 --hash sm3
# cryptsetup luksOpen /dev/sdd crypt1

执行 luksFormat 时会要求设置解锁口令，这一口令就是后续每次挂载的钥匙，丢了无法找回，务必离线保管。plain 模式则用 plainOpen 一步完成映射：

# cryptsetup plainOpen /dev/sdd crypt1 -c sm4-xts-plain64 --key-size 256 --hash sm3

映射成功后用 lsblk 查看设备信息，确认 crypt1 已出现在 /dev/mapper 下；用完后执行 cryptsetup close crypt1 关闭映射。

落地提醒

一是新盘直接格式化无风险，已有数据的盘必须先完成备份再 luksFormat，该操作会清空数据；二是业务系统把数据路径改指到 /dev/mapper/crypt1，并在启动流程里安排好解锁环节，服务器重启后的自动解锁方案要单独设计；三是国密改造是系统工程，磁盘加密之外 openEuler 还支持 SM3 口令加密、SM2 证书验签、TLCP 协议栈等能力，可按合规要求逐项启用。

国产化服务器迁移、国密改造与数据安全建设，贵州诚鑫致达科技提供 openEuler 部署与上门实施服务，欢迎留言或私信咨询。

（来源：openEuler 26.09 官方文档「国密 · 磁盘加密」，命令与前置条件以官方文档为准）

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。