ユーザー・アクセスの管理

IBM Cloud Hyper Protect Crypto Services では、IBM Cloud® Identity and Access Management によって制御される一元化されたアクセス制御システムを使用して、ユーザーおよび暗号鍵に対するアクセス権限を管理できます。

ロールと許可

以下の表は、Hyper Protect Crypto Services がサポートする役割を示しています。

表 1. ロールと許可
役割	許可
サービス管理者	プラットフォームのアクセス権限とサービスのアクセス権限の管理、鍵に対するアクセス権限の付与、サービス・インスタンスの作成/削除、鍵の管理を行います。 IBM Cloud アカウントの所有者には、このサービスの管理者権限が自動的に割り当てられます。
暗号化ユニットの管理者	署名鍵を提供し、別の暗号装置管理者を追加するなどの Trusted Key Entry (TKE) の管理コマンドに署名します。場合によっては、暗号装置管理者をマスター鍵の管理者にすることもできます。
マスター・キーのカストディアン	サービス・インスタンスを初期化するためのマスター鍵パーツを提供します。場合によっては、マスター鍵の管理者を暗号装置管理者にすることもできます。
証明書管理者	GREP11 または PKCS #11 API 接続での TLS 認証の第 2 層を有効にするために、管理者署名鍵およびクライアント証明書をセットアップおよび管理します。対応するアクションを実行するには、管理者に証明書マネージャーの IAM サービス・アクセス役割が割り当てられている必要があります。
サービス・ユーザー	ユーザー・インターフェースや API を使用してルート鍵と標準鍵を管理し、PKCS #11 の API または Enterprise PKCS #11 over gRPC (GREP11) の API を使用して暗号操作を実行します。サービスのユーザーは、プラットフォームのアクセス役割とサービスのアクセス役割に基づいて、さまざまな権限に応じて、さらに細かく分類することができます。

以下の図は役割と許可を示しています。

図 1. Hyper Protect Crypto Services の役割と責任

IAM プラットフォーム・アクセス役割

アカウント所有者またはサービス管理者は、Cloud Identity and Access Management (IAM) を使用して、IBM Cloud アカウント内のサービスのユーザーとリソースのアクセス権限を管理および定義できます。

アクセスを簡素化するために、Hyper Protect Crypto Services は IAM 役割と調整し、ユーザーが割り当てられている役割に応じて、各ユーザーが異なるビューのサービスを持つようにします。サービス管理者は、チームのメンバーに付与したい具体的な Hyper Protect Crypto Services 権限に対応する Cloud IAM の役割を割り当てることができます。

以下の表に、IBM Cloud のコンテキストにおける Hyper Protect Crypto Services IAM 役割をリストします。 IAM の詳しい説明およびアクセス権限の割り当て方法については、IBM Cloud のアクセス管理を参照してください。

IBM Cloud アカウント内のインスタンスの作成または削除の能力など、アカウント・レベルの許可を付与するには、IBM Cloud プラットフォーム・アクセス役割を使用します。

表 2. Hyper Protect Crypto Servicesに適用されるプラットフォーム管理の役割を一覧表示します
アクション	ビューアー	エディター	オペレーター	管理者
Hyper Protect Crypto Services インスタンスを表示します。
Hyper Protect Crypto Services インスタンスを作成します。
Hyper Protect Crypto Services インスタンスを削除します。
新規ユーザーを招待し、アクセス・ポリシーを管理します。

アカウント所有者には、Hyper Protect Crypto Services サービス・インスタンスに対する_管理者_プラットフォーム・アクセス権限が自動的に割り当てられるため、ロールをさらに割り当てたり、他のユーザーのアクセス・ポリシーをカスタマイズできます。

IAM サービス・アクセス権限ロール

サービス管理者は、サービスのアクセス役割を使用して、サービスのユーザーにサービス・レベルの権限 (Hyper Protect Crypto Services の鍵を表示、作成、削除できるなど) を付与します。

リーダーは、鍵の概略ビューを表示し、鍵を使用してラップおよびアンラップのアクションを実行できます。リーダーは、鍵を作成、変更、または削除することはできません。
リーダープラスは、リーダーと同じ権限を持つことに加えて、標準鍵の素材を取得することができます。
ライターは、鍵を作成、変更、ローテート、および使用できます。ライターは、鍵を削除したり、無効にしたりすることはできません。
管理者は、リーダー、リーダープラス、およびライターが実行できるすべてのアクションを実行でき、鍵の削除と、鍵のポリシーの設定を行うこともできます。マネージャーはキーをパージできません。
VMware KMIP の管理者は、Hyper Protect Crypto Services で KMIP for VMware を構成し、独自のルート鍵を使用して暗号化を有効にすることができます。
**「KMS キー・パージ」**ロールとして、削除されたキーをパージすると、インスタンスからキーを完全に削除できます。
証明書マネージャーの役割は、GREP11 または PKCS #11 API 接続での第 2 層の認証のために、管理者署名鍵およびクライアント証明書を管理できます。

サービス・アクセス役割と Hyper Protect Crypto Services 許可の対応関係を以下の表に示します。 IAM 役割は、提供されるデフォルトの役割です。カスタム役割は、ユーザーが定義できます。

Trusted Key Entry (TKE) は、IAM 認証のためにスマート・カードまたはソフトウェア CLI プラグインを使用します。スマート・カードまたは CLI でローカルに鍵の管理を行うコマンドは記載していません。そのようなコマンドは HSM ドメインと対話しません。
キー管理サービス API は、エンベロープ暗号化に使用され、IBM Cloud サービスによって保存データの暗号化に使用されるルート・キーを処理します。
HSM の API (PKCS #11 API、および GREP11 API) は、アプリケーション・レベルの暗号化に使用されます。
Key Management Interoperability Protocol (KMIP) アダプターは、Hyper Protect Crypto Services で KMIP for VMware サービスを構成して、独自のルート鍵を使用して vSphere 暗号化または vSAN 暗号化を有効にするために使用されます。
証明書マネージャー・サーバーは、GREP11 または PKCS #11 API 接続での認証の第 2 層を有効にするために、証明書の管理者署名鍵およびクライアント証明書をセットアップする要求を受け取って処理します。

表 3. Hyper Protect Crypto Services TKE コマンドに適用されるサービス・アクセス・ロールを一覧表示します
アクション	リーダー	ReaderPlus	ライター	マネージャー	暗号化ユニットの管理者
TKE 状態の表示: `ibmcloud tke cryptounit-admins`、`ibmcloud tke cryptounit-compare`、`ibmcloud tke cryptounit-thrhlds`、`ibmcloud tke cryptounit-mk`。
TKE コンテキストの設定: `ibmcloud tke-cryptounit-add`、`ibmcloud tke-cryptounit-rm`。
TKE 管理者の追加または削除: `ibmcloud tke cryptounit-admin-add`、`ibmcloud tke cryptounit-admin-rm`。
TKE 管理者クォーラムの最低必要数の設定: `ibmcloud tke -cryptounit-thrhld-set.`。
TKE マスター鍵の操作 (ロード、ローテート、クリア、ゼロ化、復旧): `ibmcloud tke cryptounit-mk-*`、`ibmcloud tke auto-init`、`ibmcloud tke auto-mk-rotate`、`ibmcloud tke auto-recover`。

表 4. Hyper Protect Crypto Services キー・リソースに適用されるサービス・アクセス・ロールを一覧表示します
アクション	リーダー	ReaderPlus	ライター	マネージャー	KMS キー・パージ
キーを作成します。
キーをインポートします。
鍵を取得します。
キー・メタデータをリトリーブします。
キー合計をリトリーブします。
キーをリストします。
キーをラップします。
キーをアンラップします。
キーを再ラップします。
キーにパッチを適用します。
キーをローテーションします。
鍵を無効にします。
鍵を有効にします。
鍵の削除をスケジュールします。
鍵の削除をキャンセルします。
キーを削除します。
キーをパージします。
キーをリストアします。
キー・ポリシーを設定します。
キー・ポリシーをリストします。
インスタンス・ポリシーを設定します。
インスタンス・ポリシーをリストします。
インポート・トークンを作成します。
インポート・トークンをリトリーブします。
登録 ^{1 を作成します。}
鍵の登録をリストします。
鍵の登録をリストします。
登録 ^{1 を更新します。}
登録 ^{1 を置き換えます。}
登録 ^{1 を削除します}
キー・リングを作成します。
鍵リングをリストします。
鍵リングを削除します。
キーのエイリアスを作成します。
キーのエイリアスを削除します。

1: このアクションは、キー登録のサポートを有効にする統合サービスによって自動的に実行されます。詳細はこちら。

表 5. HSM APIに適用されるサービス・アクセス・ロールのリスト
アクション	リーダー	ReaderPlus	ライター	マネージャー
メカニズムのリストと情報の取得
鍵ストアの作成または削除
鍵ストアのリスト
鍵の生成
キー・ペアの生成
鍵の保管
乱数の生成
鍵のリスト
鍵属性の取得または設定
キーのラップ
キーの再ラップ
キーのアンラップ
鍵の更新
暗号化
復号
署名
検証
ダイジェスト

表 6. Hyper Protect Crypto Services に接続された KMIP アダプタに適用されるサービス・アクセス・ロールを一覧表示します
アクション	リーダー	ReaderPlus	ライター	マネージャー	VMware KMIP の管理者
KMIP エンドポイントをアクティブ化します。
KMIP エンドポイントを非アクティブ化します。
KMIP エンドポイントの状況を取得します。
相互 TLS を使用するためのクライアント証明書を KMIP エンドポイントに追加します。
相互 TLS を使用するためのクライアント証明書を KMIP エンドポイントから削除します。

表 8. Certificate Managerに適用されるサービスアクセスの役割をリストします
アクション	リーダー	ReaderPlus	ライター	マネージャー	Certificate Manager
管理者署名鍵を作成します。
管理者署名鍵をリフレッシュおよび更新します。
証明書管理者の管理者署名鍵を取得します。
証明書管理者の管理者署名鍵を削除します。
クライアント証明書を作成または更新します。
証明書管理者が管理するすべてのクライアント証明書をリストします。
クライアント証明書を取得します。
クライアント証明書を削除します。

複数のインスタンスへのアクセスの管理

複数の異なるアカウントに複数の Hyper Protect Crypto Services インスタンスがある場合は、IBM Cloud エンタープライズを使用してアカウントやユーザー・アクセスを管理する必要がある場合があります。

エンタープライズ階層の作成

IBM Cloud エンタープライズを使用すると、複数のアカウントおよびリソースを一元管理できます。エンタープライズ・アカウント内でアカウント・グループやアカウントをネストすることにより、必要に応じてエンタープライズ階層を作成することができます。セキュリティーを高めるために、エンタープライズおよびその子アカウントへのアクセス管理は分離されます。エンタープライズを作成してエンタープライズにアカウントを追加する方法については、リソースを編成してアクセス権限を割り当てるためのベスト・プラクティスを参照してください。
リソース・グループ内でのアカウント・リソースの編成

Hyper Protect Crypto Services インスタンスは、エンタープライズの子アカウントに関連付けられます。各アカウント内で、サービス・インスタンスをリソース・グループに編成することができ、それにより各リソース・グループに異なるアクセス・ポリシーを割り当てて、独立したアクセス・コントロールを可能にすることができます。リソース・グループの作成およびリソースの編成の方法については、リソース編成のベスト・プラクティスを参照してください。
アクセス権限の割り当てによるエンタープライズおよびリソースの管理

リストされた Hyper Protect Crypto Services IAM のプラットフォーム役割およびサービス役割に基づいて、エンタープライズ階層の各層に対するそれぞれのアクセス権限をユーザーに割り当てることができます。また、アクセス・グループを定義してユーザーまたはサービス ID をグループ化すると、アクセス権の割り当てプロセスを簡素化できます。アクセス権限の割り当てについて詳しくは、クラウドでのアクセス管理を参照してください。
IBM Cloud API キーの使用

ユーザーまたはサービスに対する IBM Cloud API キーを作成して、API の使用を追跡および制御することができます。ユーザー API キーはユーザー ID に関連付けられ、そのユーザーに割り当てられているすべてのアクセス権限を継承します。サービス API キーには、特定のサービス ID に関連付けられたアクセス権限が付与されます。 API 呼び出し認証のための IAM トークン生成にも、API キーを使用することができます。 API キーを管理する方法については、ユーザー API キーの管理およびサービス ID API キーの管理を参照してください。

以下に、エンタープライズを使用して複数のインスタンスとユーザー・アクセスを管理する方法の例を示します。開発用と本番稼働用の 2 つの Hyper Protect Crypto Services インスタンスが組織にあって、2 つの別個のチームがこれらのインスタンスを管理および運用しているとします。以下のエンタープライズ階層を作成すると、アカウント、インスタンス、ユーザー・アクセス権限の管理を改善できます。

企業階層とユーザーアクセス管理の例 — 図2. エンタープライズ階層とユーザー・アクセス管理の例

インスタンスを開発用途と実動用途で管理するために、別々のアカウントおよび別個のリソース・グループを使用します。
ユーザーには該当するリソースに対する最小限のアクセス権限を割り当てます。例えば、エンタープライズ・マネージャーにはアカウントと請求書管理のための管理者役割を割り当てます。開発チームのメンバーには開発インスタンスに対して操作を実行するための編集者とマネージャーの役割を割り当てます。他のメンバーにはインスタンス・リソースの表示のみのビューアーとリーダーの役割を割り当てます。

次の作業

アカウントの所有者および管理者は、ユーザーを招待し、ユーザーが実行できる Hyper Protect Crypto Services アクションに対応するサービス・ポリシーを設定できます。ユーザー役割の割り当てについて詳しくは、リソースに対するアクセス権限の管理を参照してください。