場所、テナント、可用性

Hyper Protect Crypto Services リソースは、サポートされているいずれかの IBM Cloud 地域に作成できます。これらの地域は、Hyper Protect Crypto Services の要求が扱われて処理される地理上のエリアを表します。 IBM Cloud の各地域には、その地域のローカル・アクセス権限、低遅延、セキュリティーに関する要件を満たすために 複数のアベイラビリティー・ゾーンが用意されています。

IBM Cloud を使用した保存データの暗号化戦略を計画する際、最寄りの地域で Hyper Protect Crypto Services をプロビジョニングすれば、Hyper Protect Crypto Services API と対話作業をするときに接続の速度と信頼性が向上する可能性が高くなります。 Hyper Protect Crypto Services リソースに依存するユーザー、アプリ、またはサービスが地理的に集中している場合は、特定の地域を選択します。 そのリージョンから遠いユーザーとサービスは待ち時間が長くなる可能性があります。

暗号キーは作成されたリージョンに限定されます。Hyper Protect Crypto Services は、暗号キーを他のリージョンにコピーもエクスポートもしません。

リージョン内でのデータの冗長性およびフェイルオーバー

サービス・インスタンス内の複数の 暗号装置A single unit that represents a hardware security module and the corresponding software stack that is dedicated to the hardware security module for cryptography. は、自動的に同期され、複数のアベイラビリティー・ゾーン間でロード・バランシングされます。 サービス・インスタンスがプロビジョンされている使用可能なゾーンの 1 つにアクセスできない場合、Hyper Protect Crypto Services はリージョン内でのデータ・フェイルオーバーを自動的に実施します。 このサービスは、災害時の計画と復旧に関して IBM Cloud の要件に従います。 詳しくは、災害復旧を参照してください。

リージョンをまたぐ災害復旧

また、重要なリソースについては、IBM がリージョンをまたぐバックアップも実行します。 サポートされる別のリージョンにデータが自動的に毎日バックアップされます。 インスタンスの作成場所とリカバリー時間の要件に応じて、以下のオプションを使用して、リージョン災害の場合にデータをリストアできます。

• インスタンスをダラス (us-south) またはワシントン DC (us-east) に作成して、フェイルオーバー用暗号装置を有効にした場合は、フェイルオーバー用暗号装置は運用暗号装置と鍵ストアを別のリージョンにバックアップします。 リージョン規模の災害が発生した場合は、フェイルオーバー用暗号装置によってデータが自動的に復元されて、ダウン時間とデータ損失が低減されます。 フェイルオーバー用暗号装置を使用してデータを復元する方法について詳しくは、 フェイルオーバー用暗号装置を使用したデータの復元を参照してください。
• フェイルオーバー用暗号装置を有効にしない場合は、デフォルトの日次バックアップを使用してデータを復元できます。 この場合は、お客様はサポート・チケットを開く必要があります。そうすることで、IBM は別のサポート対象リージョン内に新規サービス・インスタンスを作成して、お客様のデータをバックアップから復元できるようになります。 その後、マスター鍵を新規インスタンスに手動で再ロードすることで、そのインスタンスを機能させる必要があります。 このプロセスで、マスター鍵を所有するのはお客様だけです。 IBM 管理者もサード・パーティーのユーザーも、バックアップまたはリストアされたサービス・インスタンスのデータや鍵にアクセスすることはできません。 リカバリー・プロセスについて詳しくは、IBM サポート・チケットを開くことによるデータの復元を参照してください。