鍵素材の作成のオプションを検討する

セキュリティーのニーズに基づいて、256 ビット対称暗号鍵の作成のオプションを検討します。

例えば、FIPS で認定されたオンプレミスのハードウェア・セキュリティー・モジュール (HSM) に裏付けられた社内鍵管理システムを使用して、クラウドに鍵を持ち込む前に鍵素材を生成することが可能です。

プルーフ・オブ・コンセプトを構築する場合は、暗号化ツールキット を使用することもできます。 OpenSSL にインポートできる鍵素材を生成することもできます。 テストのニーズに対応する Key Protect にインポートできる主要な資料を生成することもできます。

Key Protect への鍵素材のインポートのオプションを選択する

環境またはワークロードで必要なセキュリティー・レベルに基づいて、ルート鍵のインポートの 2 つのオプションから選択します。

デフォルトでは、Key Protect は、Transport Layer Security (TLS) 1.2 および 1.3 プロトコルのサポートされる暗号を使用して、転送中の鍵素材を暗号化します。 これらの暗号について詳しくは、データ暗号化を参照してください。

PoC (概念検証) を構築する場合、またはサービスを初めて試す場合は、ルート鍵素材を以下の場所にインポートできます。 Key Protect (このデフォルト・オプションを使用)。

TLS を超えるセキュリティー・メカニズムを必要とするワークロードの場合は、インポート・トークンを使用して、ルート鍵素材の暗号化とサービスへのインポートを行うことも可能です。

鍵素材の暗号化について事前に計画を立てる

インポート・トークンを使用して鍵素材を暗号化することを選択した場合、鍵素材に対して RSA 暗号化を実行する方法を決定します。 以下を使用する必要があります。 以下によって指定される RSAES_OAEP_SHA_256 暗号化スキーム PKCS #1 v2.1 RSA 暗号化の標準。

内部鍵管理システムまたはオンプレミス HSM の機能を検討してオプションを判別するか、または、例えば、セキュアなインポートについてのチュートリアルを参照してください。

nonce の暗号化について事前に計画を立てる

インポート・トークンを使用して鍵素材を暗号化することを選択した場合、Key Protect によって配布された nonce に対して AES-GCM 暗号化を実行する方法も決定する必要があります。

nonce は、悪意のある攻撃や不正な呼び出しから保護するために要求が元のものであることを検査するセッション・トークンとして機能します。

内部鍵管理システムまたはオンプレミス HSM の機能を検討してオプションを判別するか、または、例えば、セキュアなインポートについてのチュートリアルを参照してください。

インポートされた鍵素材のライフサイクルを管理する

鍵素材をサービスにインポートした後、鍵のライフサイクル全体を管理する責任があることに留意してください。 以下を使用します。 Key Protect API を使用すると、鍵をサービスにアップロードすることを決定したときに、鍵の有効期限を設定できます。

ただし、インポートされたルート鍵をローテートしたい場合は、既存の鍵を無効にして置き換えるために、新しい鍵素材を生成して提供する必要があります。

仕組みについて

Key Protect インスタンスの場合はインポート・トークンを作成するとき、 Key Protect は、その HSM から 4096 ビットの RSA 鍵ペアを生成します。

インポート・トークンを取得すると、鍵を暗号化して Key Protect にアップロードするために使用できる公開鍵がサービスから提供されます。

インポート・トークンのワークフローを以下のリストで示します。

1. インポート・トークンを作成する要求を送信します。

   1. Key Protect は、その HSM から RSA 鍵ペアを生成します。

   2. 公開鍵は、作成時に指定したポリシーに基づいて、取得できるようになります。

   3. 秘密鍵は、抽出不能になり、HSM から出ることはありません。

2. インポート・トークンを取得する要求を送信します。

   1. インポート・トークンの内容を受け取ります。以下が含まれます。

      • サービスにインポートする鍵素材を暗号化するための公開鍵。

      • 鍵インポート要求を検証するために使用される nonce 値。

3. サービスにインポートする鍵を準備します。

   1. オンプレミス鍵管理メカニズムを使用して鍵素材を生成します。

   2. 環境に対応している AES-GCM 暗号化方式を使用して、鍵素材で nonce 値を暗号化します。

   3. 環境に対応している RSA 暗号化方式を使用して、公開鍵で鍵素材を暗号化します。

4. 鍵をインポートする要求を送信します。

   1. 暗号化された鍵素材、暗号化された nonce、および、AES-GCM アルゴリズムによって生成された初期設定ベクトル (IV) を指定します。

   2. Key Protect は、要求を検証し、 暗号化されたパケットを復号し、鍵素材を Key Protect インスタンスにルート鍵として保管します。

1 つの Key Protect インスタンスで一度に作成できるインポート・トークンは 1 つのみです。 インポートトークンの検索制限の詳細については、Key Protectを参照してください。APIリファレンスドキュメントを参照してください。

インポート・トークン機能を試すには、チュートリアル: 暗号鍵の作成とインポートを参照してください。

API メソッド

これらの作業の裏では、Key Protect API がインポート・トークンの作成処理を駆動します。

次の表に、以下のインポート・トークンをセットアップする API メソッドをリストします。 Key Protect インスタンス。

以下で鍵をプログラムで管理する方法について詳しくは (Key Protect)、以下を参照してください。 Key Protect API リファレンス資料。