暗号化と鍵の管理

エンベロープ暗号化

ルート鍵でデータ暗号鍵を保護するために使用する。

AES- GCM 暗号化

どちらも、DEKの暗号化および復号に、ガロア・カウンターモード（AES GCM ）のAdvanced Encryption Standardアルゴリズムを使用しています。

256ビットの鍵素材

どちらも、作成されたルート鍵に256ビットの鍵素材をサポートしている。

キー・ライフサイクル管理

暗号化キーの作成、インポート、ローテーション、管理がサポートされています。

主要な操作

既存のすべてのキー操作（作成、回転、削除）は、両方のバージョンで利用可能です。

統合とアクセス

IAM 統合

どちらも IBM Cloud Identity and Access Management (IAM) と統合し、きめ細かなアクセス制御を実現する。

API互換性

どちらも同じキー・プロバイダAPIを使用しており、一貫した開発者体験を保証している。

サービス統合

どちらも、データベース、ストレージ、コンテナ、インジェスト・サービスなど、 IBM Cloud のサービスと統合している。

HTTPS コミュニケーション

どちらも、 HTTPS with Transport Layer Security ( TLS ) プロトコルを使用して、転送中のデータを暗号化する。

REST API

どちらも暗号化キーの作成と管理のためのREST APIを提供している。

管理機能

鍵リング

どちらもキーリングを使った鍵の整理に対応している。

主な別名

どちらもキーのエイリアスの作成をサポートしている。

ローテーション・ポリシー

どちらもキーのローテーション・スケジュールを設定できる。

二重許可

どちらも、鍵の削除に関する二重の認可ポリシーをサポートしている。

KMIP サポート

どちらもVMWareが認定するKMIP（Key Management Interoperability Protocol）をサポートしている。

スタンダードが提供するもの

暗号鍵をクラウドに導入

社内キー管理インフラから IBM Cloud へ対称鍵を安全にエクスポートすることで、キー管理の実践を完全に制御し、強化することができます。

堅固なセキュリティー

FIPS 140-2 レベル 3 準拠のハードウェアセキュリティモジュール（HSM）を使用して、鍵をプロビジョニングおよび保管する。 IBM Cloud の Identity and Access Management （IAM）ロールを 活用して、キーに対するきめ細かなアクセス制御を実現します。

制御と可視性

IBM Cloud Logs を使用して、ユーザーとアプリケーションが Key Protect とどのように相互作用するかを測定する。

請求処理の簡素化

すべてのアカウントのサブスクリプションとクレジット消費量を単一ビューから追跡します。 キー、キーのバージョン、価格についての詳細は、 価格を ご覧ください。

自己管理暗号化

データを保護するために、ルートキーおよび標準キーを作成またはインポートしてください。

柔軟性

IBM Cloudの上でも外でも、アプリは Key Protect APIと統合できる。 Key Protect さまざまな IBM データベース、ストレージ、コンテナ、取り込みサービスと簡単に統合できる。

標準装備の保護

削除された鍵とその暗号化されたデータをリカバリーすることはできません。 UI、CLI、またはAPIを使用して、ユーザーロールやキーの状態を管理し、ご利用のユースケースに適したローテーションスケジュールを設定してください。

アプリケーションに依存しない

アプリケーションロジックとは独立して、鍵を生成、保存、取得、および管理します。

Standard Key Protect は、共有インフラと IBM- 管理されたセキュリティ・オペレーションによる強固な暗号鍵管理を必要とする組織に最適です。

専用が提供するもの

完全なキーコントロール

KYOKの機能により、 IBM Cloud の管理者だけが鍵にアクセスできるようになります。

FIPS 140-3 レベル4 HSM（NIST 認証申請済み）

最新のハードウェア・セキュリティ・モジュール認証規格の認証をNISTに提出。

専用HSMパーティション

セキュリティとワークロードの分離を強化する専用暗号ユニット。

ユーザー管理マスターキー

暗号鍵の階層全体を暗号化するルート・オブ・トラストを完全に制御する。

カスタム管理者

RSA署名認証キーを使用して、独自のHSM管理者を割り当てます。

ワークロードの分離

専用インフラで他のテナントから完全に分離。

コンプライアンスの強化

データ主権とセキュリティに関する厳しい規制要件に適合。

ゼロトラストは

インフラストラクチャーは、インテルTDXセキュアエンクレーブで強化された Red Hat OpenShift Confidential Containers上で実行される。

既存のキー操作（キーの作成、回転、削除など）はすべてコンソールで利用できる。 しかし、サービスを初期化するには、 インスタンス、認証情報、マスター・キーを作成することで、専用 Key Protect の初期 化にあるCLIの指示に従う必要がある。

専用コンセプト

専用 Key Protect、いくつかのユニークなコンセプトを導入している：

暗号化ユニット

HSMとそれに対応する暗号専用のソフトウェア・スタックを表す単一ユニット。 運用暗号ユニットは、暗号鍵を管理し、暗号処理を実行する。

RSA署名認証キー

管理者は、RSAベースの署名キーを使用して、暗号化ユニットに発行されるコマンドに 署名する。 秘密鍵は署名を作成し、暗号化されたキーファイルにローカルに保存され、公開鍵は 管理者を定義するために暗号化ユニットにインストールされる。

マスターキー（HSMマスターバックアップキー）

キー・ストレージ用のサービス・インスタンスを暗号化する対称 256 ビット AES キー。 マスター・キーは、暗号化キーの階層全体を暗号化する信頼の根源を所有する。 マスター・キーを削除すると、暗号化されたすべてのデータが効果的に暗号化される。

マスター鍵パーツ

キー・パート・ファイルを使用して初期化する場合、マスター・キーは2つ以上のマスター・キー・パートで構成される。 各パーツは256ビットのAES対称鍵で、セキュリティ強化のために異なる人が所有することができる。

スタンダードの使用時期 Key Protect

標準的な Key Protect ：

• FIPS 140-2 レベル 3 暗号化を必要とする組織。
• 共有インフラを使用できるコスト重視の展開。
• 迅速な展開の要件。
• 標準的なコンプライアンスと規制要件
• BYOK 機能が必要なアプリケーション。
• 複数の IBM Cloud サービスとの統合。
• IBM- 管理された HSM インフラに慣れている組織。

専用を使用する場合 Key Protect

専用 Key Protect ：

• FIPS 140-3 レベル 4（認証申請済み）の暗号化を必要とする組織。
• データ主権を要求する厳しい規制コンプライアンス。
• 機密データや厳格なセキュリティ要件がある規制産業（金融、医療、政府）。
• 鍵および HSM のルート・オブ・トラストを完全に管理する必要がある組織。
• 完全なワークロード分離要件。
• 特権アクセスリスクを排除する必要がある組織。
• カスタムHSM管理者の割り当てが必要なシナリオ。
• 暗号化キーの階層を完全に管理する必要がある組織。

共通のアーキテクチャ・コンポーネント

Key Protect REST API

Key Protect REST API は、IBM Cloud サービス全体にわたって暗号鍵の作成と管理を実行します。

ハードウェア・セキュリティー・モジュール

IBM Cloud データ・センターは、鍵を保護するためのハードウェアを舞台裏で提供しています。 HSM は、改ざんに耐性のあるハードウェア・デバイスであり、暗号境界外部に鍵を公開することなく暗号鍵素材を保管および使用します。

カスタマー・マネージド型暗号キー

ルート鍵は、エンベロープ暗号化を使用してデータ暗号鍵を保護する対称鍵です。 ルート鍵が HSM の境界外部に出ることはありません。

専用の鍵ストレージ

鍵メタデータは、追加のアプリケーション層の暗号化を使用して暗号化される、耐久性の高い Key Protect 専用ストレージに保管されます。

微細化されたアクセス制御

Key Protect は IBM Cloud の IAM 役割を利用して、インスタンス、鍵、および鍵リングのレベルの適切なアクセス権限をユーザーに割り当てられるようにしています。

標準固有のアーキテクチャ

スタンダードでは Key Protect ：

• HSMは、マルチテナント・アーキテクチャでは複数のテナントで共有される。
• IBM HSMのマスターキーを管理・定期的にローテーションすることで、セキュリティをさらに強化します。
• IBM 管理者は、インフラを管理するための運用アクセス権を持っている。

専用アーキテクチャ

Key Protect 専用：

• お客様、ワークロードを完全に分離するために、専用のHSMパーティション（暗号ユニット）を受け取ります。
• 顧客はHSMのマスター・バックアップ・キーを自分で管理し、信頼の根を所有する。
• 顧客は、RSA署名認証キーを使用して独自の管理者を割り当てる。
• IBM 管理者がお客様暗号鍵や暗号操作にアクセスすることはない。