Key Protect を使用したバケットの暗号化

Cloud Object Storage に保存されたデータはすべて、ランダムに生成されたキーを使って自動的に暗号化されるが、ワークロードによっては、 Key Protect のような鍵管理システム（KMS）によって、キーのローテーション、削除、その他の制御が可能であることが求められる。

開始前に

Cloud Object Storage のバケツで Key Protect を使う前に、必要なものがある：

2025年1月1日より、アカウントごとに5つの主要バージョンは無料ではなくなります。作成された最初のキーから、キーのバージョンごとに課金されます。

また、 IBM Cloud カタログを使用してサービス・インスタンスが作成され、適切な許可が付与されていることを確認する必要があります。このチュートリアルでは、入門用のステップバイステップの説明は行いません。この情報は、 IBM Key Protect(SSE-KP)によるサーバー・サイド暗号化のセクションにあります。

Key Protect は、さまざまなセキュリティ要件やコンプライアンス要件に対応するため、2つの導入オプションを提供している：

スタンダード（マルチテナント）：FIPS 140-2 Level 3に準拠し、HSMインフラを共有する費用対効果の高いソリューション。 IBM は、HSM マスター・キーを管理する。
専用（シングルテナント）：FIPS 140-3 Level 4準拠（認証申請済み）、専用HSMパーティション、完全なワークロード分離によりセキュリティを強化。 IBM、管理者がアクセスすることなく、お客様自身がマスターキーを所有し、管理することができます。

StandardとDedicatedの選択についての詳細は、 StandardとDedicatedについて Key Protect をご覧ください。

新しい暗号化キーを作成する

ナビゲーション・メニューを使って、リソース・リストに進み、セキュリティを展開します。
インスタンスをクリックする。 Key Protect インスタンスをクリックします。
**「追加」**ボタンをクリックします。
ルートキータブをクリックします。
キー名を入力する。
Advanced Option をクリックし、Key descriptionを入力します。
Add key ボタンをクリックします。新しい暗号化キーはキーテーブルにリストされます。

新しいバケツを作成し、そのバケツにキーを関連付ける

ナビゲーションメニューを使って、リソースリストに進み、ストレージを展開します。
ストレージインスタンスをクリックします。
「バケットの作成」 をクリックします。
カスタムバケツの作成ペインの作成をクリックします。
ユニークなバケツ名を入力します。
Resiliency>Regional を選択する。
ロケーション を選択します。
ストレージクラスを選択する。
サービス統合>暗号化>キー管理を有効にします。
Key Protect>既存のインスタンスを使用をクリックします。
Key Protect 統合サイドパネルのインスタンスで検索タブを選択する。
メニューからKey Protectインスタンスを選択します。
先ほど作成したキー名を選択する。
Associate key ボタンをクリックする。
バケツの作成ボタンをクリックします。バケツが正常に作成されたことを示すポップアップメッセージが表示されます。
設定タブをクリックして確認します。
Jump to>Key management をクリックします（またはページを下にスクロールします）。
関連する鍵管理サービスのボックスに、サービスインスタンスと、バケツに関連付けられた鍵を表示します。