IBM Cloud アカウントにログインします。

**「リソースの作成」**をクリックして、IBM Cloud 上で使用可能なサービスのリストを表示します。

カテゴリの下で、セキュリティを選択します。

表示されたサービスのリストで、**「Hyper Protect Crypto Services」**タイルをクリックします。

サービス・ページで、標準料金プランを選択します。

必要な詳細をフォームに入力します。

• **「リージョン」**で、Hyper Protect Crypto Services リソースを作成するリージョンを選択します。

  現在、マドリッド (eu-es) 以外のサポートされているリージョンでは、デフォルトでリカバリー暗号装置が有効になっています。つまり、サポートされているいずれかのリージョンでサービス・インスタンスがプロビジョンされると、デフォルトでは、災害復旧リージョンにあるリカバリー暗号装置のマスター鍵をバックアップするオプションが有効になります。 詳しくは、 サービス・インスタンス初期化モードの概要 を参照してください。

• **「サービス名」**で、サービス・インスタンスの名前を入力します。

• **「リソース・グループの選択」**の直下で、サービス・インスタンスを編成、管理するリソース・グループを選択します。 Default という名前の初期リソース・グループ、または作成した他のグループを選択できます。 詳しくは、リソース・グループの作成および管理を参照してください。

• (オプション) 「タグ」 の下に、リソースを編成するためのタグを追加します。 タグが請求に関連している場合は、 costctr:124 などのグループ化に役立つように、タグを key: value のペアとして記述することを検討してください。 タグについて詳しくは、『タグの処理』を参照してください。

• 「アクセス管理タグ」 (オプション) の直下で、タグをリソースに追加して、アクセス制御関係を project:analysis フォーマットで編成できるようにします。 詳しくは、タグを使用したリソースに対するアクセス権限の制御を参照してください。

• 「暗号装置の数 (Number of crypto units)」 の下で、パフォーマンス・ニーズを満たす 暗号装置A single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. の数を選択します。 高可用性を得るために、暗号装置が 2 台以上有効になります。 これらの暗号装置は、選択したリージョンでサポートされる複数の異なるアベイラビリティー・ゾーン間で分散されます。

• **「リージョン間フェイルオーバー用暗号装置の数」**で、リージョン規模の災害時の自動的な回復に使用されるフェイルオーバー用暗号装置を有効にするかどうかを選択します。

  フェイルオーバー用暗号装置を有効にする場合、フェイルオーバー用暗号装置の数は運用暗号装置の数以下に設定します。 ただし、高可用性を実現するには、少なくとも 2 つのフェイルオーバー用暗号装置を指定する必要があります。 それぞれのフェイルオーバー用暗号装置も課金されます。 現在、フェイルオーバー用暗号装置は、ダラス (us-south) とワシントン DC (us-east) で利用可能であるため、フランクフルト (eu-de) などの他のリージョンでインスタンスを作成すると、このオプションは自動的に無効になります。

  サービス・インスタンスをプロビジョニングして以降も、フェイルオーバー暗号化ユニットを有効化または追加できます。

• **「フェイルオーバー・リージョン」**には、フェイルオーバー用暗号装置が配置されるリージョンが示されます。

  使用可能なフェイルオーバー・リージョンは、ダラス (us-south) とワシントン DC (us-east) です。 2 つのリージョンのいずれかでインスタンスを作成すると、フェイルオーバー・リージョンは自動的にもう一方のリージョンにも設定されます。

• **「許可されたネットワーク」**の下で、サービス・インスタンスへのネットワーク・アクセスを選択します。

  • パブリックとプライベート: UI、CLI、または API を使用して、パブリック・ネットワークとプライベート・ネットワークの両方でインスタンスを管理します。 これはデフォルト・オプションです。
  • 「プライベートのみ」: CLI または API を使用して、プライベート・ネットワークのみでサービス・インスタンスにアクセスします。 UI は、プライベート専用ネットワーク・アクセスには使用できません。

  プライベート・インスタンスは、プライベート・エンドポイントからの API 要求のみを受け入れます。 プライベート・エンドポイントにアクセスできるのは、IBM Cloud アカウント、および関連付けられたすべてのリソースが、仮想ルーティングおよび転送 (VRF) およびサービス・エンドポイントを使用できるようになっている場合のみです。 ご使用のサーバーまたはマシンが IBM Cloud ネットワークの外部にある場合は、CLI または API を介してプライベートのみのインスタンスにアクセスすることはできません。

サービス・インスタンスをプロビジョンした後でも、ネットワーク・アクセス・ポリシーを更新することができます。

• 「HSM 接続」 で、 IBM提供のクラウド HSM を使用するか、独自のオンプレミス HSM を使用するかを選択します。

  • 標準クラウド HSM: 鍵の生成と管理のために IBM Cloud が提供する FIPS 140-2 レベル 4 認定 HSM を使用します。 プロビジョン後に サービス・インスタンスを初期化 することで、HSM の完全な所有権を取得します。

  • Bring Your Own HSM: 独自のオンプレミス HSM を使用して、暗号鍵の物理制御を維持し、データ主権の規制に対応します。 この機能を有効にする前に、オンプレミス HSM を準備してセットアップする必要があります。 詳しくは、 Bring Your Own HSM の導入 および BYOHSM のセットアップ を参照してください。

    このオプションを選択すると、 「HSM コネクター ID」 フィールドが表示されます。 IBMから取得した HSM コネクター ID を指定する必要があります。 詳しくは、 必要な情報を入手するには、 IBM にお問い合わせください。

**「作成」**をクリックして、ログインしているアカウント、地域、およびリソース・グループ内の Hyper Protect Crypto Services のインスタンスをプロビジョンします。

IBM Cloud CLIをダウンロードしてインストールします。

IBM Cloud CLI で次のコマンドを使用して、IBM Cloud にログインします。

ibmcloud login

ログインに失敗した場合は、ibmcloud login --ssoコマンドを実行して再試行してください。 フェデレーテッドIDを使用してログインする場合は、--ssoパラメーターが必要です。 このオプションを使用する場合、CLI 出力にリストされているリンクに移動して、ワンタイム・パスコードを生成します。

Hyper Protect Crypto Services サービス・インスタンスを作成する地域およびリソース・グループを選択します。 次のコマンドを使用して、ターゲットのリージョンおよびリソース・グループを設定できます。

ibmcloud target -r <region_name> -g <resource_group_name>

次の表に従って、サンプル・コマンド内の変数を置き換えてください。

次のコマンドを実行して、Hyper Protect Crypto Services インスタンスを作成します。

ibmcloud resource service-instance-create <instance_name> hs-crypto standard <region_name> [-p '{"units": <number_of_operational_crypto_units>, "allowed_network": "<network_access>", "failover_units": <number_of_failover_crypto_units>}']

次の表に従って、コマンド例内の変数を置き換えてください。

プライベート・インスタンスは、プライベート・エンドポイントからの API 要求のみを受け入れます。 プライベート・エンドポイントにアクセスできるのは、IBM Cloud アカウント、および関連付けられたすべてのリソースが、仮想ルーティングおよび転送 (VRF) およびサービス・エンドポイントを使用できるようになっている場合のみです。 ご使用のサーバーまたはマシンが IBM Cloud ネットワークの外部にある場合は、CLI または API を介してプライベートのみのインスタンスにアクセスすることはできません。

このサービス・インスタンスが正常に作成されたことを確認します。 次のコマンドを実行して、作成したすべてのサービス・インスタンスを表示します。 作成した Hyper Protect Crypto Services サービス・インスタンスがリスト中にあることを確認します。

ibmcloud resource service-instances

IBM Cloud アカウントにログインします。

**「リソースの作成」**をクリックして、IBM Cloud 上で使用可能なサービスのリストを表示します。

カテゴリの下で、セキュリティを選択します。

表示されたサービスのリストで、**「Hyper Protect Crypto Services」**タイルをクリックします。

サービス・ページで、**「Unified Key Orchestrator 使用」**の料金プランを選択します。

必要な詳細をフォームに入力します。

• **「リージョン」**で、Hyper Protect Crypto Services リソースを作成するリージョンを選択します。

  現在、 eu-es 地域のサービス・インスタンスは、リカバリー暗号装置をサポートしていません。 サポートされている他の地域でサービス・インスタンスがプロビジョンされると、デフォルトでは、災害復旧地域に配置されているリカバリー暗号装置でマスター鍵をバックアップするオプションが有効になります。 詳しくは、サービス・インスタンスの初期設定モードの概要を参照してください。

• **「サービス名」**で、サービス・インスタンスの名前を入力します。

• **「リソース・グループの選択」**の直下で、サービス・インスタンスを編成、管理するリソース・グループを選択します。 Default という名前の初期リソース・グループ、または作成した他のグループを選択できます。 詳しくは、リソース・グループの作成および管理を参照してください。

• 「タグ」(オプション) で、リソースを編成するためのタグを追加します。 タグが課金に関係する場合は、関係するタグをグループ化できるように、key: value ペアのタグ (costctr:124 など) を作成することを検討してください。 タグについて詳しくは、『タグの処理』を参照してください。

• 「アクセス管理タグ」 (オプション) の直下で、タグをリソースに追加して、アクセス制御関係を project:analysis フォーマットで編成できるようにします。 詳しくは、タグを使用したリソースに対するアクセス権限の制御を参照してください。

• 「暗号装置の数 (Number of crypto units)」 の下で、パフォーマンス・ニーズを満たす 暗号装置A single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. の数を選択します。 高可用性を得るために、暗号装置が 2 台以上有効になります。 これらの暗号装置は、選択したリージョンでサポートされる複数の異なるアベイラビリティー・ゾーン間で分散されます。

• **「リージョン間フェイルオーバー用暗号装置の数」**で、リージョン規模の災害時の自動的な回復に使用されるフェイルオーバー用暗号装置を有効にするかどうかを選択します。

  フェイルオーバー用暗号装置を有効にする場合、フェイルオーバー用暗号装置の数は運用暗号装置の数以下に設定します。 ただし、高可用性を実現するには、少なくとも 2 つのフェイルオーバー用暗号装置を指定する必要があります。 それぞれのフェイルオーバー用暗号装置も課金されます。 現在、フェイルオーバー用暗号装置は、ダラス (us-south) とワシントン DC (us-east) で利用可能であるため、フランクフルト (eu-de) などの他のリージョンでインスタンスを作成すると、このオプションは自動的に無効になります。

  サービス・インスタンスをプロビジョニングして以降も、フェイルオーバー暗号化ユニットを有効化または追加できます。

• **「フェイルオーバー・リージョン」**には、フェイルオーバー用暗号装置が配置されるリージョンが示されます。

  使用可能なフェイルオーバー・リージョンは、ダラス (us-south) とワシントン DC (us-east) です。 2 つのリージョンのいずれかでインスタンスを作成すると、フェイルオーバー・リージョンは自動的にもう一方のリージョンにも設定されます。

**「作成」**をクリックして、ログインしているアカウント、地域、およびリソース・グループ内の Hyper Protect Crypto Services のインスタンスをプロビジョンします。

IBM Cloud CLIをダウンロードしてインストールします。

IBM Cloud CLI で次のコマンドを使用して、IBM Cloud にログインします。

ibmcloud login

ログインに失敗した場合は、ibmcloud login --ssoコマンドを実行して再試行してください。 フェデレーテッドIDを使用してログインする場合は、--ssoパラメーターが必要です。 このオプションを使用する場合、CLI 出力にリストされているリンクに移動して、ワンタイム・パスコードを生成します。

Hyper Protect Crypto Services サービス・インスタンスを作成する地域およびリソース・グループを選択します。 次のコマンドを使用して、ターゲットのリージョンおよびリソース・グループを設定できます。

ibmcloud target -r <region_name> -g <resource_group_name>

次の表に従って、サンプル・コマンド内の変数を置き換えてください。

次のコマンドを実行して、Hyper Protect Crypto Services インスタンスを作成します。

ibmcloud resource service-instance-create <instance_name> hs-crypto hpcs-hourly-uko <region_name> [-p '{"units": <number_of_operational_crypto_units>']

次の表に従って、コマンド例内の変数を置き換えてください。

このサービス・インスタンスが正常に作成されたことを確認します。 次のコマンドを実行して、作成したすべてのサービス・インスタンスを表示します。 作成した Hyper Protect Crypto Services サービス・インスタンスがリスト中にあることを確認します。

ibmcloud resource service-instances