コンプライアンスのためのメッセージレベルの暗号化

PCI DSS などの一部の規制基準では、機密性の高いメッセージデータ（カード会員情報など）は、静止時、移動時、使用時など、そのライフサイクル全体を通じて暗号化することが義務付けられています。

Event Streams、メッセージデータの保存に使用されるファイルシステムは暗号化されており、不正アクセスから保護されている。 しかし、メッセージがトランスポート・レイヤーを通過する際、 Event Streams、メッセージを処理するためにこれらのファイルシステムを復号化しなければならない。 これは、メッセージのペイロードがエンド・ツー・エンドで暗号化されないことを意味するが、トランジットとレストでの暗号化は、業界のベスト・プラクティスに沿って、メッセージのライフサイクル全体を通して強力な保護を保証する。

機密データを意図した受信者以外には読めないようにするため、クライアントは Event Streams に送信する前に、アプリケーション・レベルでメッセージ自体を暗号化しなければならない。これはメッセージ・レベル暗号化と呼ばれる手法である。

お客様管理の暗号化でカバーされないもの

お客様暗号化機能が選択されている場合、この暗号化の対象となるのはメッセージのペイロード・ データのみであることに注意してください。 Event Streams、サービスの使用に関連するその他のデータは静止状態で暗号化されます。 しかし、暗号化されてはいるが、 非メッセージペイロードデータは お客様暗号化では暗号化されない。 たとえば、トピック名などのクライアントのメタデータ、トピック構成データ、スキーマレジストリに保存されたスキーマ、Enterpriseインスタンスの構成に関連して保存されたメタデータなどがあります。

そのため、そのようなクライアント・メタデータでは機密情報を使用しないでください。

ユーザー管理の暗号化の仕組み

Event Streams は、エンベロープ暗号化と呼ばれる概念を使って、 お客様鍵を実装している。

エンベロープ暗号化は、1 つの暗号鍵を別の暗号鍵で暗号化する手法です。 実際のデータの暗号化に使用される鍵は、データ暗号鍵 (DEK) と呼ばれます。 DEK自体は決して保存されないが、その代わりに鍵暗号化鍵（KEK）として知られる第2の鍵によってラップされ、ラップされたDEKが作成される。

データを暗号化解除するには、まずラップされた DEK をアンラップして DEK を取得する必要があります。 このプロセスは、KEK (この場合は Key Protect または Hyper Protect Crypto Servicesに保管されているルート鍵) にアクセスすることによってのみ可能です。

KEK は、Hyper Protect Crypto Services または Key Protect サービスでルート鍵として作成して所有します。 Event Streams サービスは、ルート (KEK) 鍵を認識しません。 その鍵を保管したり、管理したり、DEK のラップとアンラップのためにその鍵を使用したりする処理はすべて、鍵管理サービス内で実行されます。 その鍵を無効化したり削除したりすると、データの復号ができなくなります。

Event Streams でのユーザー管理の鍵の使用可能化

ユーザー管理の鍵を使用するように Event Streams インスタンスをプロビジョンするには、以下のステップを実行します。

1. Key Protect または Hyper Protect Crypto Servicesのインスタンスをプロビジョンします。
2. Event Streams サービスがリーダーとして鍵管理サービス・インスタンスにアクセスできるようにする許可ポリシーを作成します。 詳細については、「 認可を使用してサービス間のアクセスを許可する 」を参照してください。
3. ルート鍵を作成するか、鍵管理サービス・インスタンスにインポートします。
4. 鍵管理サービス・インスタンスGUIの View CRN オプションを使用して、鍵のクラウド・リソース名（CRN）を取得する。
5. Event Streams のインスタンスをプロビジョンします。 この機能は、エンタープライズ・プランでのみサポートされています。

IBM Cloud® コンソールからプロビジョンする場合は、鍵管理サービス・インスタンスを選択してから、インスタンスからルート鍵を選択します。

CLI を使用してプロビジョニングする場合は、以下のコマンドを使用します。

ibmcloud resource service-instance-create EVENT-STREAMS-INSTANCE-NAME messagehub ibm.message.hub.enterprise.3nodes.2tb REGION -p '{"kms_key_crn":"KMS_KEY_CRN"}'

顧客管理キーのない既存のクラスタは、更新できません。これは、すべてのメッセージとトピック定義が失われる破壊的な操作であるためです。 暗号化キーを使用してインスタンスを削除し、再作成する必要があります。

ユーザー管理の鍵の使用

Event Streams のインスタンスに顧客管理キーをプロビジョニングすると、以下の追加機能が利用可能になります。

ユーザー管理の暗号化の使用不可化

お客様暗号化を有効にした後、無効にすることはできません。 代わりに、サービス・インスタンスを削除して新規インスタンスを作成する必要があります。

Hyper Protect Crypto Services (HPCS) から Key Protect 専用 (KP-ST) への移行

Hyper Protect Crypto Services (HPCS) から Key Protect Dedicated (KP-ST) への移行中、以下のことが発生する：

• 各KMSインスタンスは、それぞれ固有のルート・キーを保持する。 移行には、新しい IBM® Key Protect 専用ルート・キーでサービスを再関連化することが含まれる。
• 既存のデータ暗号化キー（DEK）は安全に再ラッピングされる。
• 移行期間中も、 Hyper Protect Crypto Services to Serviceおよび Key Protect to Serviceの両アクセスポリシーは維持されなければならない。
• 暗号化されたデータが再度暗号化されたり、移動されたりすることはない。
• サービスの可用性は維持される。