カスタマー・マネージド・キーについて

Secrets Manager はエンベロープ暗号化を使用して、カスタマー・マネージド・キーを運用します。 エンベロープ暗号化とは、ある暗号鍵を別の暗号鍵で暗号化することです。 実際のデータを暗号化するために使用される鍵は、 データ暗号化鍵（DEK）アプリケーションに保管されているデータを暗号化するために使用される暗号鍵。 と呼ばれます。 DEK そのものが保管されることはなく、DEK が鍵暗号鍵 (KEK) と呼ばれるもう 1 つの鍵によってラップされ、ラップされた DEK が作成されます。 データを復号するには、ラップされた DEK をアンラップして DEK を取得します。 このプロセスは KEK (この場合は、鍵管理サービスに保管されているお客様のルート鍵) にアクセスすることによってのみ実行できます。

Key Protect でサポートされているBYOK（Bring Your Own Key process）を使用することで、 Secrets Manager に保存するデータを暗号化することができます。 このサービスを利用すると、オンプレミスのハードウェアセキュリティモジュール（HSM）から暗号化キーをインポートし、そのキーを管理することができます。 マスターキーを含む鍵階層全体を排他的に管理したい場合は、 Key Protect で サポートされているKYOK（Keep Your Own Key）プロセスを利用することができる。 KYOKを使用すれば、BYOK機能に加えて、 IBM さえも鍵にアクセスできないという技術的な保証が得られます。 詳細はこちら。

Secrets Manager のカスタマー・マネージド・キーの有効化

ユーザーが管理するキーを使用して作業することを選択した場合は、使用している Secrets Manager のインスタンスに必ず有効な IAM 許可が割り当てられているようにします。 その許可を作成するには、以下の手順を使用します。

1. Key Protect のインスタンスを作成します。

2. ユーザーのキー管理サービス・インスタンスに、ルート・キーの生成またはインポートを行います。

   Key Protect を使用してルート鍵を作成すると、クラウド・ベースの HSM に基づく暗号鍵素材がサービスによって生成されます。 鍵の名前に、自分の名前やロケーションなどの個人情報が含まれていないことを確認してください。

3. Key Protect または Hyper Protect Crypto Services にサービス・アクセス権限を付与します。

   アカウント所有者か、使用している鍵管理サービスのインスタンスの管理者が、これを行う必要があります。 また、Secrets Manager サービスに対して最低でもビューアー・アクセス権限も持っている必要があります。

   1. **「管理」 > 「IAM へのアクセス」 > 「権限」**に移動します。
   2. [選択] ソースアカウント
      • このアカウントで Secrets Manager インスタンスをプロビジョニングする予定の場合は、[このアカウント] を選択します。
      • 特定のアカウントを選択し、 Secrets Manager インスタンスをプロビジョニングするソースアカウントのIDを入力してください。
   3. ターゲット・サービスとして、ルート・キーを含む Key Protect の特定のインスタンスを選択する。
   4. 権限をスコープする：
      • キーホルダー 内のすべてのキー： Add a conditionをクリックし、 Key ring IDを選択し、キーホルダーのIDを入力します。
      • 特定の暗号化キー： Add conditionをクリックし、 Resource Typeを選択し、value keyを指定する。 次に Add a conditionをクリックし、 Resource IDを選択して暗号化キーのIDを入力する。
   5. 「 Reader 」ロールを割り当てます。
   6. 「許可」 をクリックして、許可を確認します。

   後で Secrets Manager インスタンスの削除を選択すると、この許可も IAM によって削除されます。

4. 事前に承認したルートキーを使用して 、 Secrets Manager インスタンスを作成します。

Secrets Manager インスタンスの削除

Secrets Manager のインスタンスが不要になったら、サービス・インスタンスおよび保管されているデータを削除できます。 インスタンスは無効状態になり、7 日後にそのデータが永久に削除されます。 また、コンソールを使用してサービス・インスタンスを削除することもできます。

7 日間のレクラメーション期間中は、Secrets Manager とさまざまな統合サービス (Key Protectなど) 間の許可を削除しないでください。Secrets Manager は、当該サービスの関連リソースからインスタンスを登録抹消するための許可を使用します。 インスタンスが完全に削除されたら、IAM によって許可も削除されます。

1. サービスを削除して、7 日間の再利用期間を適用します。

   ibmcloud resource service-instance-delete "INSTANCE_NAME"
   

   INSTANCE_NAMEを、削除したいSecrets Managerインスタンスの名前に置換します。

2. オプション: インスタンスを永久に削除するために、再利用 ID を取得します。

   ibmcloud resource reclamations --resource-instance-id INSTANCE_ID
   

   INSTANCE_IDをSecrets ManagerインスタンスIDに置き換えます。

   再利用インスタンスを削除してインスタンスを永久に削除すると、データは復元できなくなります。

3. オプション: 再利用インスタンスを永久に削除します。

   ibmcloud resource reclamation-delete RECLAMATION_ID
   

   <reclamation_ID>を、前のステップで取得した値に置き換えます。

削除されたサービス・インスタンスのリストア

インスタンスを永久に削除していない場合は、7 日間の再利用期間内に復元することができます。

1. 復元可能なサービス・インスタンスを表示します。

   ibmcloud resource reclamations
   

   使用可能なインスタンスのリストから、リストアしたい Secrets Manager インスタンスのレクラメーション ID をコピーします。

2. 復元して再利用します。

   ibmcloud resource reclamation-restore RECLAMATION_ID
   

   <reclamation_ID>を、前のステップで取得した値に置き換えます。