需在安装时启用全盘加密机制：一、图形界面勾选“全盘加密”并设密码；二、手动配置LUKS+LVM；三、结合“出厂备份”同步加密；四、系统安装后用“文件保护箱”补充加密；五、部署VeraCrypt加密容器。
如果您在安装麒麟操作系统时希望确保硬盘上所有数据均处于强加密保护之下，则需在安装过程中启用全盘加密机制。以下是实现该目标的具体操作路径：
一、安装界面中启用“全盘加密”选项
该方式依托麒麟OS安装程序内置的图形化加密引导模块，自动配置LUKS封装与LVM逻辑卷结构，在不依赖命令行的前提下完成系统级全盘加密。
1、启动安装介质后，进入磁盘分区步骤，选择“全盘安装”模式。
2、在目标磁盘选择界面，勾选“全盘加密”复选框。
3、输入并二次确认高强度加密密码，该密码将在每次开机时由initramfs调用cryptsetup提示输入。
4、确认“格式化整个磁盘”选项已启用，点击“开始安装”。
5、安装程序将自动创建/boot独立未加密分区，并对root、swap、home等逻辑卷应用LUKS加密，同时写入crypttab与fstab配置项。
二、手动预配置LUKS+LVM加密结构
适用于需要精确控制加密参数、密钥派生函数或分区布局的高级用户，通过终端在安装前构建加密底层环境。
1、使用fdisk或parted在目标磁盘创建单一分区（如/dev/sda1），类型设为Linux LVM（代码8e）。
2、执行命令：cryptsetup luksFormat --cipher aes-xts-plain64 --key-size 512 --hash sha256 /dev/sda1，按提示输入并验证密码。
3、运行cryptsetup open /dev/sda1 cryptvg解封设备，生成映射路径/dev/mapper/cryptvg。
4、依次执行pvcreate /dev/mapper/cryptvg、vgcreate vg0 /dev/mapper/cryptvg、lvcreate -L 20G -n root vg0等命令划分逻辑卷。
5、对各逻辑卷格式化：mkfs.ext4 /dev/vg0/root、mkswap /dev/vg0/swap、mkfs.ext4 /dev/vg0/home。
三、启用出厂备份并同步加密
该方式结合麒麟OS特有的“出厂备份”功能，在加密全盘的同时保留可回滚的原始系统镜像，增强灾难恢复能力。
1、在全盘安装界面，勾选“出厂备份”选项。
2、系统将自动创建名为backup的独立分区，并在其中保存压缩镜像。
3、勾选“全盘加密”后，backup分区同样被纳入LUKS加密范围，访问需输入相同主密码。
4、确认目标盘符无误，点击“下一步”进入自动分区预览界面。
5、检查分区列表中是否显示/boot为独立未加密ext4分区，其余挂载点（/、/home）对应设备路径含luks-标识。
四、使用文件保护箱实施应用层补充加密
该方式不替代系统级全盘加密，而是在已安装系统中对敏感文档目录进行二次加密，形成纵深防御结构。
1、安装完成后，从“开始菜单”启动“文件保护箱”工具。
2、首次运行需输入当前系统用户密码完成授权。
3、点击“新建保护箱”，选择目标文件夹路径，启用“加密”开关并设置独立密码。
4、系统自动生成密钥文件，提示必须另存至外部安全介质，不可仅保留在加密盘内。
5、后续访问该文件夹时，需先在文件保护箱中输入密码解锁，所有读写操作实时加解密。
五、部署第三方VeraCrypt加密容器
该方式提供跨平台兼容性与可移植加密卷，适用于需在麒麟OS与其他系统间交换高敏数据的场景。
1、从官网下载VeraCrypt安装包，使用dpkg -i命令完成安装。
2、启动VeraCrypt，点击“创建卷”，选择“加密非系统分区/存储设备”。
3、指定目标设备（如/dev/sdb1），选择AES-Twofish-Serpent级联加密及SHA-512哈希。
4、设置卷密码并执行格式化，完成后点击“选择文件”加载该卷。
5、输入密码挂载成功后，系统将分配一个虚拟驱动器号（如/mnt/veracrypt1），所有写入数据自动加密。
