サービス・アーキテクチャー-標準プラン
IBM Cloud® Hyper Protect Crypto Services のサービス・アーキテクチャー、ワークロードの分離の特性、およびサービスの依存関係について説明します。
Hyper Protect Crypto Services アーキテクチャー
次のアーキテクチャー図は、機密データと鍵を保護するために、ユーザーが Hyper Protect Crypto Services コンポーネントとどのように対話するかを示しています。
各コンポーネントの詳細について、次のリストに示します。
鍵管理 サービス API : 鍵管理サービス (KMS) のモジュールと対話してルート鍵と標準鍵を管理するために使用する API。
- PKCS #11 API
-
暗号操作を実行するための業界標準 API。Hyper Protect Crypto Services は、クラウド HSM の Enterprise PKCS #11 (EP11) モジュールと対話する PKCS #11 ライブラリーを使用して API 関数を実装します。
- GREP11 API
-
Enterprise PKCS #11 over gRPC API の省略形。 暗号操作用のステートレスなインターフェースであり、クラウド HSM の EP11 モジュールも利用します。
- 管理ユーティリティー
-
スマート・カード・ユーティリティー・プログラムと Trusted Key Entry (TKE) アプリケーションで構成された管理ユーティリティーは、サービス・インスタンスを初期設定するための GUI を提供します。 署名鍵とマスター鍵パーツがスマート・カードに保管されるので、管理ユーティリティーを使用すると、最高レベルのセキュリティーでサービス・インスタンスを初期設定できます。
- TKE CLI プラグイン
-
IBM Cloud CLI でサービス・インスタンスを初期設定できるようにする CLI プラグイン。 リカバリー用暗号装置がインスタンスに割り当てられているかどうかによって、このプラグインでインスタンスを初期設定する方法は 2 つあります。リカバリー用暗号装置を使用する方法と鍵パーツ・ファイルを使用する方法の 2 つです。
- 運用暗号装置
-
各サービス・インスタンスは、複数の運用暗号装置で構成されます。 高可用性を確保するために、同じリージョンの複数の異なるアベイラビリティー・ゾーンに、運用暗号装置が配置されます。 これらの暗号装置が、暗号鍵の管理と暗号操作の実行に使用されます。 インスタンスの作成時に指定する暗号装置の数は、運用暗号装置の数です。
- リカバリー用暗号装置
-
リカバリー用暗号装置の目的は、ランダムなマスター鍵の値を生成することと、そのマスター鍵の値のバックアップ・コピーを保存することです。 マスター鍵が破損または損失したときには、リカバリー用暗号装置を使用してマスター鍵をロードし、マスター鍵を復元することができます。
現在、マドリッド (
eu-es) リージョンのサービス・インスタンスは、リカバリー暗号装置をサポートしていません。eu-es以外の地域でインスタンスを作成する場合、追加コストなしで 2 つのリカバリー暗号装置がインスタンスに自動的に割り当てられます。スマート・カードを使用してマスター・キーをロードする場合は、リカバリー暗号化ユニットは適用されないため、無視できます。 マスター・キーのバックアップは、その場合のスマート・カードのバックアップに依存します。
- フェイルオーバー暗号化ユニット
-
フェイルオーバー用暗号装置とは、運用暗号装置のバックアップとして別のリージョンで待機するものであり、暗号鍵を保管する鍵ストアも備えています。 リージョン規模の災害が発生した場合には、フェイルオーバー用暗号装置を使用することで、実動ワークロードを確保してデータ損失を回避することができます。
フェイルオーバー暗号化ユニットは現在、ダラス・リージョン (
us-south) およびワシントン DC リージョン (us-east) でのみ使用可能です。2 つのリージョンのいずれかでインスタンスを作成すると、追加料金がかかりますが、フェイルオーバー暗号化ユニットを有効にするか選択できます。
Hyper Protect Crypto Services コンポーネントについて詳しくは、コンポーネントと概念を参照してください。
Hyper Protect Crypto Services ワークロードの分離
Hyper Protect Crypto Services は、リージョン別のシングル・テナントのサービスであり、テナント単位でワークロードを完全に分離しています。次のような特長があります。
- Hyper Protect Crypto Services には、データを分離してセキュリティーを確保するための専用鍵ストアが用意されています。
- ハードウェア・セキュリティー・モジュール (HSM) とマスター鍵をお客様が排他的に制御できます。 システム管理者の資格情報や root ユーザーの資格情報の悪用を防ぐために、特権ユーザーはロックアウトされます。
- Secure Service Container(SSC) は、企業のお客様が IBM LinuxONE テクノロジーから期待するエンタープライズ・レベルのセキュリティーと堅固さを提供します。
次の図は、Hyper Protect Crypto Services の各テナントのワークロードがどのように分離されているかを示しています。
サービスの依存関係
Hyper Protect Crypto Services は、次の IBM Cloud サービスに依存します。