银河麒麟系统敏感数据透明加解密需三步：1.启用KYSEC内核fpro策略强制加密指定路径；2.配置文件保护箱实现容器级无感加解密；3.为达梦DM9数据库启用SM4-TDE加密表空间。
在银河麒麟操作系统中为敏感数据启用透明加解密保护，需结合系统级加密组件与数据库/文件层机制实现落盘即密、读取自解，避免业务改造且满足等保三级与商用密码测评要求。
启用KYSEC内核级fpro策略（推荐用于系统级强制防护）
该方法由银河麒麟V10 SP1原生集成，无需安装第三方软件，直接拦截文件系统I/O，对指定路径下所有新建/修改文件自动加密，非授权用户即使获得磁盘镜像也无法解密。
1、打开终端，以root身份执行：sudo kysecctl fpro enable
2、添加受保护路径，例如/home/user/confidential：sudo kysecctl fpro add -p /home/user/confidential -m deny -a sm4
3、确认策略已加载：sudo kysecctl fpro list，输出中应包含该路径及status: active
【必须重启目标用户会话或重新登录图形界面，否则当前shell进程不会受新策略约束】
配置文件保护箱实现容器级透明加密
适用于需要完整隔离、隐藏原始路径、且依赖图形化操作的办公场景。所有进出保护箱的文件自动加解密，用户无感知。
方法一：通过图形界面新建保护箱
1、点击「开始菜单」→搜索“文件保护箱”→输入当前用户密码完成认证
2、点击右上角「新建保护箱」→选择「文件夹保护」模式
3、浏览并选中目标文件夹，勾选「启用加密」，设置独立保护箱密码
4、务必勾选「生成密钥文件」，保存至U盘等离线介质——【密钥文件丢失且忘记密码，箱内数据将永久不可恢复】
5、确认后，原路径文件夹立即不可见，仅可通过文件保护箱界面访问内容
为达梦DM9数据库启用SM4-TDE透明加密
政务、金融类应用若使用达梦数据库，必须启用国密SM4算法的TDE，否则无法通过密评验收。此配置不改SQL、不改代码，仅修改数据库实例参数。
第一步：确认国密模块已启用
1、用dmdba用户登录disql：disql SYSDBA/SYSDBA@localhost:5236
2、执行查询：SELECT PARA_NAME,PARA_VALUE FROM V$DM_INI WHERE PARA_NAME='ENABLE_GM_ALGORITHM';
3、若返回PARA_VALUE=0，则需停库后编辑/dmdata/DAMENG/dm.ini，将ENABLE_GM_ALGORITHM=1写入并保存
第二步：创建加密表空间
1、重启数据库服务：sudo systemctl restart DmServiceDMSERVER
2、在disql中执行：CREATE TABLESPACE enc_ts DATAFILE '/dmdata/DAMENG/enc_ts.dbf' SIZE 1024 ENCRYPT WITH SM4;
3、建表时指定该表空间即可自动加密：CREATE TABLE t1(c1 INT) TABLESPACE enc_ts;
