需要时，可以为 VMware Cloud on AWS 群集生成新的密钥加密密钥 (KEK)。

此过程称为执行浅层重新加密。 不支持更改 CMK 或 DEK。如果您必须更改 CMK 或 DEK，请创建新的群集并将虚拟机和数据迁移到其中

过程

  1. 登录到您的 SDDC 的 vSphere Client。
  2. 导航到 vSAN 群集。
  3. 单击配置选项卡。
  4. 在“vSAN”下，选择服务。
  5. 单击生成新的加密密钥。
  6. 单击应用以生成新的 KEK。
    磁盘加密密钥 (DEK) 使用新的 KEK 重新加密。

示例： 使用 Vmware PowerCLI 执行此任务

如果您知道 CloudAdmin 密码，则可以使用类似以下命令的 PowerCLI 命令为 vSAN 服务执行浅层重新加密。此示例（所基于的 Vsan-EncryptionRekey.psl 代码示例可从 https://code.vmware.com/samples/2200#code 下载）对在 SDDC vCenter vcenter.sddc-54-200-165-35.vmwarevmc.com 的 Cluster-1 上运行的 vSan 服务进行重新加密： 

PS > ./Vsan-EncryptionRekey.psl -vCenter vcenter.sddc-54-200-165-35.vmwarevmc.com -User
      cloudadmin@vmc.local -Password cloudadmin-password -ReKey shallow -ClusterName Cluster-1