12.3. 自动删除卷镜像加密密钥

块存储服务(cinder)使用 Key Manager 服务(barbican)来管理加密密钥。当将加密卷上传到镜像服务(glance)时，它会创建一个加密密钥。

默认情况下，块存储服务会删除加密密钥，以防止对密钥管理服务的无限资源消耗。加密密钥由 OpenStack 服务管理，无需用户干预。

块存储服务在卷镜像中添加以下两个属性：

当您创建卷镜像时，块存储服务会将 cinder_encryption_key_deletion_policy 属性设置为 on_image_deletion。当您删除卷镜像时，如果 cinder_encryption_key_deletion_policy 等于 on_image_deletion，则镜像服务会删除对应的加密密钥。