「 IBM Cloud Cyber Vault」とは何ですか？

IBM Cloud Cyber Vaultは、 IBM （COS）および IBM Cloud のプリミティブを基盤として構築された、 S3 互換のマネージド・ストレージ・ソリューションです。仮想エアギャップ、Object Lockによる不変性、FIPS 140-2レベル3準拠のマネージド・キーによる暗号化、および組み込みの地理的冗長性を提供します。

Cyber Vault を作成すると、このサービスは、以下の保護機能が適用された、セキュリティ強化済みの COS バケットを自動的に設定します

• コンプライアンスモードのオブジェクトロックによる保存期間設定では、Vault に書き込まれたすべてのオブジェクトがロックされ、保存期間が満了するまで削除や上書きができないよう強制されます。 この保護機能は、rootユーザーを含め、いかなるユーザーや管理者によっても無効にすることはできません。
• 暗号化により、保存中のすべてのデータが保護されます。 IBM Vaultデータの暗号化に使用される鍵を管理し、ローテーションを行います。
• IAMの制限事項 ：「Cyber Vault」には、読み取りワークフローと書き込みワークフローごとに個別にスコープが設定された専用のHMAC認証情報がプロビジョニングされています。 各認証情報セットは、最小権限アクセスモデルに従い、そのワークフローに必要な最低限の権限セットを付与します。
• 時間枠指定の書き込みアクセスでは、必要に応じてVaultへの書き込みを定義された1日の時間枠に制限し、承認された時間帯にのみデータが書き込まれるようにします。
• コンテキストベースの制限（CBR）は、Vaultへのアクセスを特定のネットワークゾーン、VPC CRN、またはプライベートIP CIDR範囲に制限し、ネットワークレベルの分離を実現します。
• 読み取りアクセス制御は、読み取り操作を明示的に承認されたIDに限定し、データライフサイクル全体にわたって最小権限の原則をサポートします。

これらの制御策を組み合わせることで、検証済みのソフトウェア定義型エアギャップパターンが実現され、バックアップデータやアーカイブデータをランサムウェア、データ漏洩、および不正な改ざんから保護します。

主な機能と性能

コンプライアンスモードにおけるオブジェクトロックの保持

サイバー・ヴォルトに保存されるすべてのオブジェクトには、コンプライアンス・モードのWORM（Write Once, Read Many：書き込み1回、読み取り複数回）保存ロックが自動的に適用されます。 設定された保存期間が満了するまでは、オブジェクトを削除または変更することはできません。 これは、リクエスト元のIAMロールにかかわらず、すべての新しいオブジェクトに適用されます。 デフォルトの保存期間は、作成時に0日から3,650日の範囲で設定可能です。 これを「 0 」に設定すると、自動保存ロックは適用されず、バックアップソフトウェアが S3 のObject Lock APIを介して、オブジェクトごとの保存期間を直接管理できるようになります。

暗号化

すべてのVaultデータは、 AES-256 を使用して保存時に暗号化されます。 IBM は、FIPS 140-2 レベル3認定のHSMによって保護された暗号化キーを自動的に生成・ローテーションします。

スコープ付きHMAC認証情報ペア

ボールトが作成されると、2組のスコープ付きHMAC認証情報ペアが自動的にプロビジョニングされます。1つはバックアップエージェントが使用する書き込みキー、もう1つは復旧操作および監査検証に使用する読み取りキーです。 認証情報は、閲覧時に一定期間、安全に表示されます。

時間ウィンドウ指定による書き込みアクセス

enableTimeWindows が true`` に設定されている場合、Vault への書き込みアクセスは、 accessStartTime および accessEndTime で指定された 1 日の時間枠（ HH:MM の形式、24 時間制）に制限されます。 この時間枠外での書き込みは拒否されるため、組織は厳格なデータ取り込みスケジュールを導入することができます。

文脈に基づく制限（CBR）

cbrRestrictions の設定により、Vaultへのアクセスは指定されたネットワークゾーンに制限されます。 アカウント VPC（VPC CRNによる）またはプライベートIPのCIDR範囲（RFC 1918）からのアクセスを許可することができます。 プライベートエンドポイントのみへのアクセスを強制することで、パブリックエンドポイントを無効にすることができます。

変更不可能な設定

Vaultの設定は永続的であり、作成後は変更できません。 プロビジョニングを行う前に、すべての設定を慎重に確認してください。 ベータ版では、更新用APIは利用できません。

非同期プロビジョニング

Vaultの作成は非同期操作です。 このAPIは、初期ステータスが「 provisioning 」の HTTP 202 Accepted を返します。 Vaultステータスエンドポイントをポーリングすることで、Vaultが active の状態に移行するタイミングを確認できます。

地域別の可用性

IBM Cloud Cyber Vaultは現在、以下の地域でご利用いただけます：

今後のリリースでは、 IBM Cloud の追加リージョンへの対応が実装される予定です。 現時点では、Vault APIへのすべてのリクエストは us-south を宛先とする必要があります。 createリクエストにおいて、 region フィールドに他の値を指定しようとすると、 400 Bad Request というエラーが返されます。

すべてのVaultデータへのアクセスは、 プライベートかつダイレクトな S3 エンドポイントを通じてのみ可能です。 Cyber Vault バケットについては、公開エンドポイントは一切提供されていません。

前提条件

IBM Cloud のCyber Vaultを作成する前に、以下の要件が満たされていることを確認してください：

• 「 IBM Cloud 」リソースを作成できる、有効な IBM Cloud アカウント。
• us-south リージョンにある既存の IBM Cloud Object Storage インスタンス （Standardプラン）、または cosInstanceId が指定されていない場合に、Cyber Vaultサービスがユーザーに代わってインスタンスを作成するために必要なIAM権限。
• IAM 権限 ：
  • UIにすべてのサイバーボールトを表示するには、 アカウントレベルで「 サイバーボールトリーダー 」のロールを持っている必要があります。
  • HMAC認証情報の自動プロビジョニング機能を備えたCyber Vaultを作成するには、 アカウント 「 Cyber Vault Manager 」ロール、および対象の IBM Cloud Object Storage インスタンスで「 Editor 」または「 Administrator 」ロールを持っている必要があります。
• VPC またはネットワークゾーンの情報 ：Vault にアクセスする VPC の CRN、またはプライベート IP の CIDR 範囲。 すべてのVault作成リクエストには、ネットワークの隔離が必要です。

Vaultのステータス

次の表は、プロビジョニング中およびプロビジョニング完了後のVaultの状態について示したものです。

Cyber Vaultの仕組み

以下のエンドツーエンドのフローは、 IBM Cloud のCyber Vaultがデータをどのように保護するかを説明しています：

1. プロビジョニング ： IBM Cloud Object Storage インスタンス、リージョン、保存期間の設定、暗号化設定、およびアクセス制御を指定して、Cyber Vaultを作成します。 「 IBM Cloud Object Storage Solutions」サービスでは、すべての保護対策が自動的に適用された専用の IBM Cloud Object Storage バケットが提供されます。 この時点で、スコープ付きのHMAC認証情報ペア（書き込み用と読み取り用）が2組生成されます。

2. データ取り込み（書き込みウィンドウ） ：書き込み権限を持つID（プロビジョニングされた書き込み用HMACキーを使用するバックアップエージェント）は、許可された時間枠内にVaultへデータを書き込みます（ enableTimeWindows が有効になっている場合）。 各オブジェクトには、書き込みが行われると直ちに、コンプライアンスモードのObject Lock保持タグが付与されます。

3. 不変性の確保 ：一度書き込まれると、保持期間が満了するまでは、 アカウントやボールトの所有者を含め、いかなるユーザーもロックされたオブジェクトを削除または変更することはできません。 これは、基盤となる IBM Cloud Object Storage の「オブジェクトロック」準拠モードによって強制されるものであり、これを回避することはできません。

4. ネットワークの分離 ：CBRルールにより、Vaultのトラフィックが承認されたVPCまたはプライベートネットワークを経由してのみ流れることが保証されます。 利用可能なエンドポイントはプライベートおよびダイレクトのもののみであり、パブリックなエンドポイントは公開されていません。

5. 復旧 ：読み取り権限を持つIDは、プロビジョニングされた読み取り用HMACキーを使用して、ボールトのプライベートエンドポイントまたはダイレクトエンドポイントを通じてボールトのデータにアクセスします。 読み取りアクセスには時間制限は設けられておらず、 readIdentities の設定によってのみ制御されます。

6. ライフサイクル ：オブジェクトは、保持期間が満了すると自動的にロックが解除され、その時点で標準的なライフサイクル管理の一環として削除可能になります。 ロックされたオブジェクトがまだ含まれているボールトは削除できません。

次のステップ

• IBM Cloud Cyber Vault ベータプログラムへのアカウント登録 最初のVaultをプロビジョニングする前に、アクセス権をリクエストしてください。
• IBM Cloud コンソールまたはCOS Solutions APIを使用して、 IBM Cloud Cyber Vaultをプロビジョニングし、最初のVaultを作成します。
• Object Lock のドキュメント を確認し、コンプライアンスモードにおけるデータ保持の動作について理解してください。
• CBR ネットワークゾーンの設定方法を理解するには、「 コンテキストベースの制限」チュートリアルを 参照してください。
• お客様暗号化キーを使用する予定がある場合は、『 Key Protect 』のCOS暗号化に関する 記述を確認してください。