IBM Cloud サービスと Hyper Protect Crypto Services の統合
IBM Cloud サービスを IBM Cloud® Hyper Protect Crypto Services と統合して、クラウドに独自の暗号化を取り込んで管理するためのソリューションを構築できます。
サービスのインスタンスを作成 し、 サービス・インスタンスを初期化 した後、 サービス間許可 を設定して、1 つのサービスが単一アカウント許可またはクロスアカウント許可のいずれかを使用して別のサービスにアクセスできるようにする必要があります。 許可を設定する方法について詳しくは、 UI での許可の作成 を参照してください。 プロセスに従っていることを確認し、ターゲット・サービスとして Hyper Protect Crypto Services を選択します。
Hyper Protect Crypto Services をサポートされる各サービスに統合するには、以下の統合手順を参照してください。
ストレージ・サービスの統合
IBM Cloud ストレージ・サービスに保管するデータは、デフォルトでは、ランダムに生成される鍵を使用して暗号化されます。 暗号鍵を制御して、独自の鍵を使用してストレージを暗号化する場合、Hyper Protect Crypto Services で管理するルート鍵をストレージ・サービスに関連付けて、エンベロープ暗号化を利用して、データの保護層を追加することができます。 ルート鍵は、ユーザーが所有するマスター鍵によって暗号化されるため、IBM Cloud 管理者を含め、誰もデータにアクセスできません。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud Object Storage | IBM Cloud Object Storage は、非構造化データを保管するための、可用性が高く、永続的でセキュアなプラットフォームです。 オブジェクト・ストレージは、PDF、メディア・ファイル、データベース・バックアップ、ディスク・イメージ、または大規模な構造化データ・セットを保管するための最も効率的な方法です。 | |
| IBM® Cloud Block Storage for Virtual Private Cloud | Block Storage for VPC は、VPC 内でプロビジョンできる仮想サーバー・インスタンス用に、ハイパーバイザーにマウントされたハイパフォーマンス・データ・ストレージを提供します。 | お客様管理の暗号化を使用したブロック・ストレージ・ボリュームの作成 |
| IBM Cloud® File Storage for VPC | IBM Cloud® File Storage for VPC は、 NFSベースのファイル・ストレージ・サービスを提供するゾーン・ファイル・ストレージ・オファリングです。 | お客様管理の暗号化を使用したファイル共有の作成 |
データベース・サービスの統合
IBM Cloud データベース・サービスに保管するデータは、デフォルトでは、ランダムに生成される鍵を使用して暗号化されます。 暗号鍵を制御し、独自の鍵を使用してデータベースを暗号化する場合は、 Hyper Protect Crypto Services で管理するルート鍵をデータベース・サービスに関連付け、 エンベロープ暗号化 を利用してデータに別の保護層を追加することができます。 ルート鍵は、ユーザーが所有するマスター鍵によって暗号化されるため、IBM Cloud 管理者を含め、誰もデータにアクセスできません。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud Databases for Elasticsearch | IBM Cloud Databases for Elasticsearch は、IBM Cloud へのネイティブ統合を使用して構築されたエンタープライズ対応のフルマネージド Elasticsearch サービスです。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Databases for EnterpriseDB | IBM Cloud Databases for EnterpriseDB は、PostgreSQL の組み込み機能を最適化するデータベース・エンジンです。 データベース管理者とデベロッパーの生産性を向上させる機能拡張により、スケーラビリティー、セキュリティー、信頼性を改善できます。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Databases for etcd | IBM Cloud Databases for etcd は、エンタープライズ対応のフルマネージド etcd サービスであり、IBM Cloud へのネイティブ統合を使用して構築されます。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Databases for MongoDB | IBM Cloud Databases for MongoDB は、エンタープライズ対応のフルマネージド MongoDB サービスであり、IBM Cloud へのネイティブ統合を使用して構築されます。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Databases for PostgreSQL | IBM Cloud Databases for PostgreSQL は、エンタープライズ対応のフルマネージド PostgreSQL サービスであり、IBM Cloud へのネイティブ統合を使用して構築されます。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Databases for Redis | IBM Cloud Databases for Redis は、最新のアプリケーション・スタック用に設計されたオープンソースのメモリー内のキー値ストアです。 Databases for Redis では、カウンター、キュー、リスト、および HyperLogLogs を使用して、複雑なデータの問題を簡単に処理できます。 | Hyper Protect Crypto Services の統合 |
| IBM Cloud Messages for RabbitMQ | IBM Cloud Messages for RabbitMQ は、エンタープライズ対応のフルマネージド RabbitMQ サービスであり、IBM Cloud へのネイティブ統合を備えています。 ブローカーとして複数のメッセージング・プロトコルをサポートします。 | Hyper Protect Crypto Services の統合 |
| IBM Db2 on Cloud | IBM Db2 on Cloud は、ユーザーのためにクラウド内にプロビジョンされている SQL データベースです。 Db2 on Cloud は、任意のデータベース・ソフトウェアを使用する場合と同様に使用できますが、ハードウェアのセットアップやソフトウェアのインストールおよび保守の時間や経費は必要ありません。 | Hyper Protect Crypto Services の統合 |
コンピュート・サービスの統合
Hyper Protect Crypto Services を使用して、サービスを計算するための独自の鍵を取り込みます。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud イメージ・テンプレート | IBM Cloud イメージ・テンプレートを使用すると、仮想サーバーのイメージを取り込み、注文プロセスでの変更を最小限にして、その構成を素早く複製できます。 エンドツーエンド (E2E) 暗号化機能を使用して、クラウド初期設定に対応するユーザー独自の暗号化されたオペレーティング・システム・イメージを取り込むことができます。 | エンドツーエンド暗号化を使用した暗号化インスタンスのプロビジョン |
| IBM Cloud Virtual Servers for Virtual Private Cloud(VPC) | Virtual Servers for VPC は、Infrastructure-as-a-Service (IaaS) オファリングであり、ネットワーク分離、セキュリティー、柔軟性など、IBM Cloud VPC が提供するすべての利点を活用することができます。 Hyper Protect Crypto Services と統合することにより、仮想サーバー・インスタンスの作成時に暗号化ブロック・ストレージ・ボリュームを作成し、独自のルート鍵を使用して、保存データを暗号化するデータ暗号鍵を保護できます。 | お客様管理の暗号化のボリュームを使用する仮想サーバー・インスタンスの作成 |
| IBM Cloud の Key Management Interoperability Protocol (KMIP) for VMware® | KMIP for VMware® は、VMware ネイティブ vSphere 暗号化および vSAN 暗号化と連携して、簡素化されたストレージ暗号化管理を提供します。 Hyper Protect Crypto Servicesと統合すると、Hyper Protect Crypto Services を使用して、IBM Cloudの VMware® ソリューションによって使用される暗号鍵を管理できます。 | |
| Entrust DataControl for IBM Cloud-旧称 HyTrust CloudControl | Entrust DataControl サービスは、 Hyper Protect Crypto Services と統合して、強力な暗号化とスケーラブルな鍵管理によってデータを保護します。 このサービスは、オペレーティング・システム・レベルとデータ・レベルの両方で暗号化を提供して、ワークロードをライフサイクルを通して保護します。 |
|
| Power Virtual Server | Power Virtual Server は Power Systems オファリングの 1 つです。 Power Virtual Server を使用して Hyper Protect Crypto Services と統合し、 AIX および Linuxの暗号鍵情報を安全に保管して保護することができます。 | Power Virtual Server と Hyper Protect Crypto Services |
コンテナー・サービスの統合
Hyper Protect Crypto Services と統合することにより、Hyper Protect Crypto Services で管理される独自のルート鍵を使用して Kubernetes シークレットと Kubernetes マスターの etcd コンポーネントを暗号化できます。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud Kubernetes Service | IBM Cloud Kubernetes Service は、 IBM Cloudでコンテナー化アプリケーションをデプロイおよび管理するために、計算ホストの Kubernetes クラスターを作成するために作成された管理対象オファリングです。 | KMS プロバイダーを使用した Kubernetes マスターのローカル・ディスクとシークレットの暗号化 |
| Red Hat OpenShift on IBM Cloud | Red Hat OpenShift on IBM Cloud はマネージド・オファリングであり、これを利用すると、Red Hat OpenShift on IBM Cloud でコンピュート・ホストの IBM Cloud クラスターを独自に作成し、コンテナー化アプリをデプロイして管理することができます。 Hyper Protect Crypto Services を使用して Kubernetes シークレットを保護することに加えて、GREP11 OpenSSL エンジンを使用して Hyper Protect Crypto Services インスタンスに保管されている秘密鍵にアクセスし、経路を暗号化する Hyper Protect Crypto Services ルーターをデプロイすることもできます。 |
取り込みサービスの統合
Hyper Protect Crypto Services を以下の取り込みサービスと統合できます。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud Monitoring | IBM Cloud Monitoring は、クラウドネイティブのコンテナー・インテリジェンス管理システムです。 これを使用して、Hyper Protect Crypto Services インスタンスのパフォーマンスと正常性を運用面で可視化できます。 | 入門チュートリアル |
| IBM Cloud Schematics | IBM Cloud Schematics には、クラウド・インフラストラクチャーのプロビジョニングと管理のプロセス、クラウド・リソースの構成と操作、およびアプリケーション・ワークロードのデプロイメントを自動化するための、強力なツールが用意されています。 すべてのデータ、ユーザー入力、および自動化コードの実行時に生成されるデータは、 IBM Cloud Object Storageに保管されます。 このデータは、Schematics の暗号鍵を使用して、デフォルトで暗号化されます。 この暗号鍵をユーザーが管理する必要がある場合は、Hyper Protect Crypto Services インスタンスと統合して独自のルート鍵を使用できます。 | Schematicsのお客様管理の鍵の有効化 |
| Event Streams | Event Streams サービスは、Apache Kafka で構築された高スループットのメッセージ・バスです。 これを、IBM Cloud へのイベント取り込みと、サービスとアプリケーションの間のイベント・ストリーム配布に使用できます。 デフォルトでは、Event Streams 内のメッセージ・ペイロード・データは、ランダムに生成された鍵を使用して、保存時に暗号化されます。 この暗号鍵をユーザーが管理する必要がある場合は、Hyper Protect Crypto Services インスタンスと統合して独自のルート鍵を使用できます。 | Event Streamsのユーザー管理キーの有効化 |
セキュリティー・サービスの統合
Hyper Protect Crypto Services を以下のセキュリティー関連サービスと統合できます。 デフォルトでは、これらのサービスに保管するデータは、保存時には IBM 管理対象鍵を使用して暗号化されます。 Hyper Protect Crypto Services との統合を有効にして独自のルート鍵を使用することで、保存されたデータに対する高レベルの暗号化制御を追加できます。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| App ID | App ID は、ユーザー・プロファイル属性を保管して暗号化します。 マルチテナント・サービスでは、すべてのテナントには指定された暗号鍵がありそれぞれのテナントのユーザー・データはそのテナントの鍵だけで暗号化されます。 | Hyper Protect Crypto Services を使用した App ID のお客様管理の鍵の有効化 |
| Secrets Manager | Secrets Manager を使用すると、単一テナントの専用インスタンスでシークレットを集中管理できます。 | Secrets Manager での機密データの保護 |
| Security and Compliance Center | Security and Compliance Center を使用すると、クラウド・リソース構成を管理し、組織ガイドラインおよび規制ガイドラインへのコンプライアンスを一元管理できます。 Security and Compliance Center を使用すると、やり取りを行うときにサービスによってデータが生成されます。 | Security and Compliance Center |
開発者ツール・サービスの統合
Hyper Protect Crypto Services を以下の開発者ツール・サービスと統合できます。
| サービス | 説明 | 統合の説明 |
|---|---|---|
| IBM Cloud® Continuous Delivery | Continuous Delivery サービスは、 DevOps のベスト・プラクティスをサポートする一連のツールを提供します。 このサービスを使用して、ツールチェーンの管理、デリバリー・パイプラインの操作、コード品質と脆弱性に関する洞察の取得、サード・パーティー・ツールの統合などを行うことができます。 |
統合について
サポートされているサービスを Hyper Protect Crypto Services と統合する際、そのサービスに対してエンベロープ暗号化を使用可能にします。 この統合によって、Hyper Protect Crypto Services で保管するルート鍵を使用して、保存中データを暗号化するデータ暗号鍵をラップすることができます。
例えば、ルート鍵を作成し、それを Hyper Protect Crypto Services で管理し、そのルート鍵を使用して、複数のクラウド・サービスで保管されているデータを保護することができます。
以下の図は、Hyper Protect Crypto Services を 2 つのサービスと統合する状況を示しています。
Hyper Protect Crypto Services キー管理サービス API が舞台裏でエンベロープ暗号化プロセスを駆動しています。
次の表に、リソースに対するエンベロープ暗号化の追加または削除を行う API メソッドをリストします。
| メソッド | 説明 |
|---|---|
POST /keys/{root_key_ID}?action=wrap |
データ暗号キーをラップ (暗号化) します。 |
POST /keys/{root_key_ID}?action=unwrap |
データ暗号キーをアンラップ (復号) します。 |
Hyper Protect Crypto Servicesでの鍵のプログラマチックな管理について詳しくは、 Hyper Protect Crypto Services 鍵管理サービスの API リファレンス資料を確認してください。
次の作業
Hyper Protect Crypto Services でルート鍵を作成することによって、拡張暗号化をクラウド・リソースに追加します。 サポートされるクラウド・データ・サービスにリソースを追加し、次に、拡張暗号化に使用するルート鍵を選択します。
- Hyper Protect Crypto Services サービスでのルート鍵の作成について詳しくは、ルート鍵の作成を参照してください。
- Hyper Protect Crypto Services サービスへの独自のルート鍵の取り込みについて詳しくは、ルート鍵のインポートを参照してください。