よくある質問 Key Protect
IBM® Key Protect については、以下の よくある質問参考にしてください。
Key Protect の料金の仕組みはどのようなものですか
Key Protect には、鍵が作成されたかインポートされたか、ルートか標準かにかかわらず、アカウント内の 鍵バージョン の総数をカウントする値ベースの価格設定モデルがあります。 このプランでは、最初の 5 つのキー・バージョンは無料です。その後の価格は、キー・バージョンごとに月額 $1 になります。 削除されていないキー (アクティブなキーと無効になっているキーをすべて含む) のみが、価格設定の目的でカウントされます。 この価格モデルは、 Key Protect が提供するすべてのバージョンの鍵を管理して、古い暗号文の暗号化解除に使用できるようにする値をカバーしています。
あるユーザーの情報を、他のユーザーのデータからどのようパーティション化するのですか
Key Protect では、自分だけがアクセスできるインスタンスを 1 つ以上持つことができます。 これらのインスタンス内 (またはアカウント・レベル) のアクセスは、そのアカウントのアカウント所有者または指定された管理者が制御でき、最小特権の原則を適用できます。 これを可能にする 1 つの方法は、鍵を「鍵リング」にグループ化して、アカウント所有者が特定のユーザー・グループに特定の鍵グループへのアクセス権限を割り当てることができるようにすることです。 詳しくは、鍵リングを使用した鍵のグループ化を確認してください。
インスタンス鍵のセキュリティーはどのように保護されますか
各 Key Protect スタンダード・インスタンスは、ランダムに生成された「インスタンス鍵暗号化鍵」（IKEK）を取得する。この鍵はHSMマスター鍵によってラップされ、ラップされたインスタンス鍵（WIKEK）を生成する。 ユーザーは WIKEK や IKEK にアクセスできず、IBM も IKEK にアクセスできません。 IBM による WIKEK への直接または明示的なアクセスはなく、マスター鍵によって暗号化されます。
アクティブな暗号鍵とは何ですか
暗号鍵を Key Protect にインポートする場合、または Key Protect を使用して HSM から鍵を生成する場合、それらの鍵は_アクティブ_鍵になります。 料金は、IBM Cloud アカウント内のすべてのアクティブな鍵に基づきます。
鍵をどのようにグループ化して管理すればよいでしょうか
IBM® Key Protect for IBM Cloud® を使用して、Key Protect サービス・インスタンス内の鍵を「鍵リング」と呼ばれるグループにバンドルすることにより、同じ IAM アクセス権限を必要とするユーザーのターゲット・グループの鍵のグループを作成できます。 1 つの鍵リングは、サービス・インスタンス内の鍵のうち、同じ IAM アクセス権限を必要とするものをすべてまとめたものです。 例えば、チーム・メンバーの特定のグループが、特定の鍵のグループに対して特定のタイプのアクセス権限を必要としている場合は、それらの鍵をまとめた鍵リングを作成し、ターゲットのユーザー・グループに適切な IAM アクセス・ポリシーを割り当てます。 鍵リングに対するアクセス権限を割り当てられたユーザーは、その鍵リング内に存在するリソースの管理と作成を行えます。
鍵のグループ化について詳しくは、鍵リングを使用した鍵のグループ化を参照してください。
インスタンスを削除しようとしているときに 409 エラーが発生しました。 インスタンスを削除する方法を教えてください
このエラーは、鍵がまだこのインスタンス内にあることを示しています。 インスタンスを削除する前に、そのインスタンス内のすべての鍵を削除する必要があります。
コンソールの 「鍵」 テーブルにはデフォルトで Enabled 鍵のみが表示されるため、フィルターを使用してすべての状態の鍵を表示します。 これにより、テーブルに表示されていないインスタンスを削除するために削除する必要がある鍵が明らかになる可能性があります。
すべての鍵が削除されたら、インスタンスの削除に進むことができます。
ルート鍵とは何ですか
ルート鍵は、Key Protect の 1 次リソースです。 ルート鍵は、データ・サービスに保管された他の鍵をエンベロープ暗号化を使用して保護するための信頼の根源として使用される、対称鍵ラップ鍵です。
Key Protect を使用して、ルート鍵の作成、保管、およびライフサイクルの管理を行うことができます。これにより、クラウド内に保管された他の鍵を完全に制御できるようになります。
ルート鍵が作成された後は、ユーザーも IBM もその鍵素材を見ることはできません。
データ暗号鍵 (DEK) とは何ですか
DEK とは、クラウド・オブジェクト・ストレージに保管されているデータの IBM 管理による AES256 暗号化を実行するために、IBM Cloud Object Storage サービスなどのサービスによって使用される鍵です。 DEK 鍵はランダムに生成され、暗号化するリソースの近くにあるクラウド・オブジェクト・ストレージ・サービスを使用して安全に保管されます。 DEK は、顧客が暗号鍵を管理するかどうかに関係なく、すべての場合でデフォルトの暗号化に使用されます。 ICOS DEK は、クライアントによって管理されず、ローテートする必要もありません。 クライアントが暗号化を管理したい場合は、Key Protect インスタンスに保管されている独自の「ルート鍵」で DEK をラップすることにより、間接的に DEK を制御できます。 ルート鍵は生成またはインポートし、Key Protect インスタンスで管理できます (鍵をローテートするなど)。
Key Protect は、HSM を介して DEK (プレーン・テキストを渡さずに鍵をラップする) を生成できます。
エンベロープ暗号化とは何ですか
エンベロープ暗号化は、_データ暗号鍵_を使用してデータを暗号化し、次に高度にセキュアな_鍵ラッピング鍵_を使用してデータ暗号鍵を暗号化する方法です。 保存データは複数レイヤーの暗号化を適用することによって保護されます。 エンベロープ暗号化について詳しくは、エンベロープ暗号化を使用したデータの保護を参照してください。
鍵の名前はどのくらいの長さにできますか。
最大 90 文字の長さの鍵の名前を使用できます。
鍵のメタデータとして個人情報を保管できますか
個人データの機密性を保護するため、鍵のメタデータとして個人情報 (PII) を保管しないでください。 個人情報には、自分の名前、住所、電話番号、E メール・アドレス、および自分自身や顧客、その他の人を特定したり、連絡を取ったり、居場所を見つけたりすることができるその他の情報が含まれます。
Key Protect リソースおよび暗号鍵のメタデータとして保管する情報のセキュリティーを確保する責任はお客様にあります。
個人データの例については、 NIST Special Publication 800-122 のセクション 2.2 を参照のこと。
ある地域で作成された暗号鍵を別の地域で使用できますか
暗号鍵を使用して、IBM Cloud 内の任意の場所にあるデータ・ストアを暗号化できます。
鍵へのアクセス権限を誰が持つのかをどのように制御するのですか
Key Protect は、IBM Cloud® Identity and Access Management によって管理される一元化されたアクセス制御システムをサポートし、ユーザーの管理と暗号鍵へのアクセスを支援し、最小特権の原則を許可します。 サービスのセキュリティー管理者である場合は、チームのメンバーに付与する特定の Key Protect 権限に対応する IBM Cloud IAM 役割を割り当てることができます。
これを可能にする 1 つの方法は、鍵を「鍵リング」にグループ化して、アカウント所有者が特定のユーザー・グループに特定の鍵グループへのアクセス権限を割り当てることができるようにすることです。 詳しくは、鍵リングを使用した鍵のグループ化を確認してください。
リーダー役割とリーダープラス役割の違いは何ですか
リーダー役割とリーダープラス役割の両方とも、Key Protect リソースへの読み取り専用アクセス権限を割り当てるのに役立ちます。
- リーダーは、鍵の概略ビューを表示し、ラップおよびアンラップのアクションを実行できます。 リーダーは、鍵の素材へのアクセスおよび変更はできません。
- リーダープラスは、鍵の概略ビューを表示し、標準鍵の鍵素材にアクセスし、ラップおよびアンラップのアクションを実行できます。 リーダープラス役割は鍵素材を変更することはできません。
Key Protect への API 呼び出しをどのようにモニターするのですか
IBM Cloud Logs サービスを使用して、 ユーザーおよびアプリケーションが Key Protect インスタンスとどのように対話するのかを 追跡できます。 例えば、Key Protect で鍵の作成、インポート、削除、または読み取りを行うと、IBM Cloud Logs イベントが生成されます。 これらのイベントは、IBM Cloud Logs サービスがプロビジョンされる地域と同じ地域の Key Protect サービスに自動的に転送されます。
もっと詳しく知りたい方は IBM Cloud Logs.
どのルート鍵でどのデータが暗号化されているのかを確認するにはどうすればいいですか
ルート鍵を使用してエンベロープ暗号化で保存中データを保護する場合、その鍵を使用するクラウド・サービスは、鍵とそれが保護するリソースとの間の登録を作成できます。 登録は、鍵とクラウド・リソースとの間の関連であり、どの暗号鍵が IBM Cloud 上のどのデータを保護しているのかをすべて把握するのに役立ちます。
Key Protect API を使用することによって、鍵およびクラウド・リソース間の登録を参照できます。
鍵を削除するとどうなりますか。
鍵が不要になった場合、または鍵を削除する必要がある場合、Key Protect では、鍵を削除して最終的にパージすることができます。パージとは、鍵素材を破棄して、鍵で暗号化されていたデータをアクセス不能にする操作です。
鍵を削除すると、その鍵は_破棄済み_状態に移行します。これは「ソフト」削除であり、鍵は 30 日間表示され、復元されます。 90 日を過ぎると、鍵は自動的にパージ (つまり「ハード削除」) され、関連データが完全に破棄されて Key Protect サービスから削除されます。 90 日より早く鍵をパージすることが望ましい場合は、_破棄済み_状態に移行してから 4 時間後に鍵を物理削除することもできます。
鍵を削除すると、その鍵で暗号化されていたデータはアクセス不能になりますが、30 日間の時間フレーム内に鍵を復元すれば、元に戻すことができます。 30 日を過ぎてから 90 日が経つまでは、鍵のメタデータ、登録、およびポリシーが存在します。90 日が経つと、鍵はパージ対象になります。 鍵が復元不能になってパージされたら、その関連データにはもうアクセスできないことに注意してください。 そのため、絶対に必要な場合を除き、実稼働環境でリソースの破棄を行うことはお勧めできません。
現在、データを暗号化している鍵を削除しようとするとどうなりますか
保護のために、Key Protect は、 クラウド内のデータを現在暗号化している鍵の削除を防止します。 クラウド・リソースと一緒に登録されている鍵を削除しようとすると、そのアクションは成功しません。
必要な場合、Key Protect API を使用することによって、鍵を強制的に削除できます。 どのリソースが鍵によって暗号化されているのかを確認し、リソースの所有者と共に、そのデータへのアクセスがもう必要ないことを検証してください。
関連付けられたリソースに対する保存ポリシーが存在するために鍵を削除できない場合、アカウント所有者に連絡して、そのリソースの保存ポリシーを削除してください。
鍵を無効にするとどうなりますか
鍵を無効にすると、鍵は_中断_状態に移行します。 鍵はこの状態になると暗号化操作にも復号操作にも使用できなくなり、その鍵に関連付けられているデータはアクセス不能になります。
鍵の無効化は、元に戻すことができるアクションです。 いつでも、無効になっている鍵を有効にして、その鍵で以前に暗号化されたデータへのアクセス権限を復元することができます。
二重許可ポリシーとは何ですか
二重許可は、鍵を削除するために 2 人の承認者からのアクションを必要とする、2 ステップのプロセスです。 鍵の削除を 2 人が許可することを強制することで、不注意による削除や悪意のあるアクションの可能性を最小化できます。
Key Protect では、インスタンス・レベルで、または個々の鍵に対して、二重許可ポリシーを設定できます。
二重許可ポリシーを有効にした後はどうなりますか
Key Protect インスタンスに対して二重許可ポリシーを有効にした後、 そのインスタンスに追加されるすべての鍵は鍵レベルで そのポリシーを継承します。 鍵の二重許可ポリシーを元に戻すことはできません。
Key Protect インスタンス内に既存の鍵がある場合、 それらの鍵の削除に必要なのは引き続き 単一許可のみです。 これらの鍵の二重許可を有効にする場合は、Key Protect API を使用して、これらの個々の鍵に対して二重許可ポリシーを設定できます 。
Key Protect インスタンスの二重許可設定を無効にできますか
はい。 二重許可を必要としない鍵を Key Protect インスタンスに追加する必要がある場合、 新しい鍵または将来の鍵が二重許可を必要としないように、 常に Key Protect インスタンスの二重許可を無効にする ことができます。
Key Protect インスタンスを削除またはプロビジョン解除するには、どうすればよいですか?
Key Protect の利用を止める場合には、 サービスを削除またはプロビジョン解除する前に、Key Protect インスタンスに残っている鍵を削除する必要があります。 Key Protect インスタンスを削除した後、Key Protect はエンベロープ暗号化を使用して、Key Protect インスタンスに関連付けられているすべてのデータを暗号化して細断処理します。
Terraform を使って Key Protect のセットアップを自動化できますか？
はい。 Terraform IBM Modules (TIM) は、 Key Protect のために、すぐに使えるTerraformの設定を提供します。
以下のモジュールを使用して、セットアップのさまざまな側面を自動化できます：
- インスタンスのプロビジョニング - Key Protect モジュール
- ルートキーと標準キーの管理 - Key Protect Key module
- キーをキーリングにまとめる - Key Protect キーリング・モジュール
- 完全なセットアップを1つのモジュールで処理 - Key Protect 全部入りモジュール
概要については Terraform IBM Modulesを 参照。