加密存储空间突然锁住打不开？两种保管库失联场景，靠 .rkey 恢复密钥手动解锁
痛点场景
做了存储空间加密的 NAS，重启后加密卷没有像往常一样自动挂载，存储管理器里那个卷处于锁定状态，业务数据一时读不到。更糟的是：当初创建加密存储空间时下载的那个恢复密钥文件，已经想不起存在哪台电脑上了。
机制：平时谁在自动解锁
在大多数情况下，系统可以使用加密密钥保管库自动解锁加密存储空间——这就是平时感觉不到"解锁"这个动作存在的原因。但当加密密钥保管库不可用时，就需要手动解锁。
保管库不可用，官方列出的情况有两种：
- 系统已被重置：重置会破坏保管库与加密存储空间之间的自动解锁关系；
- 与远程 KMIP 服务器的连接失败：密钥托管在外部 KMIP 服务器上时，网络、证书或服务器故障都会导致拿不到密钥。
先对照这两种情况定位自己属于哪一种，再动手解锁。
第一步：找到存储空间恢复密钥（.rkey 文件）
创建加密存储空间时，系统会提示您下载恢复密钥——那个文件就是解锁的钥匙。官方提示的找回位置：
- 浏览器的下载文件夹；
- 浏览器的下载历史记录（例如 Chrome 设置里的"下载内容"页、Edge 的"下载"页面，翻一翻创建加密存储空间当天的记录）。
文件扩展名为 .rkey。如果是别人交接的环境，先找前任要；如果当时是在办公电脑上创建的，优先翻那台机器。
第二步：用恢复密钥解锁加密存储空间
拿到 .rkey 文件后，在存储管理器中对锁定的加密存储空间执行解锁/挂载操作，按界面提示提供该恢复密钥文件完成解锁。解锁成功后存储空间恢复正常挂载，数据即可访问。
验证
解锁后核对两件事：加密存储空间状态恢复为已挂载、业务账号能正常读写数据。之后建议在存储管理器中确认加密密钥保管库的设置是否正常（尤其 KMIP 连接场景），排除下次重启再次锁定的隐患。
预防与注意
- .rkey 是唯一备胎，丢失没有补办通道：创建加密存储空间时的下载提示只出现一次，拿到文件立刻离线备份两份（如一份存密码管理器附件、一份存离线介质），与登录密码分开保管；
- 系统重置前，先确认所有加密存储空间的密钥与恢复密钥都已妥善保存——重置正是保管库失联的高发场景；
- 密钥托管在 KMIP 服务器上的环境，把 KMIP 连通性纳入日常巡检，连接失败的告警要在重启前发现；
- 官方进一步阅读方向还包括：在群晖 NAS 之间迁移加密存储空间有哪些方法、哪些机型支持存储空间加密——有迁移或扩容计划时提前查证。
密钥事故比硬盘故障更难收场——诚鑫致达科技给客户启用加密存储空间时定了一条制度：.rkey 恢复密钥离线存两份、与登录密码分开由两人保管，这比任何事后救援都可靠。