カスタマー・マネージド・キーについて

Secrets Manager はエンベロープ暗号化を使用して、カスタマー・マネージド・キーを運用します。 エンベロープ暗号化とは、ある暗号鍵を別の暗号鍵で暗号化することです。 実際のデータを暗号化するために使用される鍵は 、データ暗号鍵（DEK）アプリケーションに保管されているデータを暗号化するために使用される暗号鍵。 と呼ばれます。 DEK そのものが保管されることはなく、DEK が鍵暗号鍵 (KEK) と呼ばれるもう 1 つの鍵によってラップされ、ラップされた DEK が作成されます。 データを復号するには、ラップされた DEK をアンラップして DEK を取得します。 このプロセスは KEK (この場合は、鍵管理サービスに保管されているお客様のルート鍵) にアクセスすることによってのみ実行できます。

Key Protectでサポートされている Bring Your Own Key プロセス (BYOK) を使用して、 Secrets Manager に保管するデータを暗号化できます。 このマルチテナントサービスでは、オンプレミスのハードウェアセキュリティモジュール（HSM）から暗号化キーをインポートし、そのキーを管理することができます。 マスター鍵を含む鍵階層全体を排他的に制御したい場合は、 Hyper Protect Crypto Servicesでサポートされている Keep Your Own Key (KYOK) プロセスを使用できます。 KYOK では、BYOK 機能に加えて、 IBM でも鍵にアクセスできないという技術的な保証があります。 詳細はこちらをご覧ください。

組織のニーズに最も適した鍵管理サービスは、ユース・ケースやセキュリティー要件に応じて異なります。 キー管理ソリューションについて詳しくは、Hyper Protect Crypto Services と Key Protect の違いを参照してください。

Secrets Manager のカスタマー・マネージド・キーの有効化

ユーザーが管理するキーを使用して作業することを選択した場合は、使用している Secrets Manager のインスタンスに必ず有効な IAM 許可が割り当てられているようにします。 その許可を作成するには、以下の手順を使用します。

1. Key Protect または Hyper Protect Crypto Services のインスタンスを作成します。

2. ユーザーのキー管理サービス・インスタンスに、ルート・キーの生成またはインポートを行います。

   Key Protect または Hyper Protect Crypto Services を使用してルート・キーを作成すると、サービスがクラウド・ベースの HSM にルート設定された暗号キー・マテリアルを生成します。 鍵の名前に、自分の名前やロケーションなどの個人情報が含まれていないことを確認してください。

3. Key Protect または Hyper Protect Crypto Services にサービス・アクセス権限を付与します。

   アカウント所有者か、使用している鍵管理サービスのインスタンスの管理者が、これを行う必要があります。 また、Secrets Manager サービスに対して最低でもビューアー・アクセス権限も持っている必要があります。

   1. **「管理」 > 「IAM へのアクセス」 > 「権限」**に移動します。
   2. ソースアカウントを選択します
      • このアカウントで Secrets Manager インスタンスをプロビジョニングする予定の場合は、[このアカウント] を選択します。
      • 特定のアカウントを選択し、 Secrets Manager インスタンスをプロビジョニングするソースアカウントのIDを入力してください。
   3. Key Protect または Hyper Protect Crypto Services の特定のインスタンスで、お客様のルートキーが含まれているものを対象サービスとして選択します。
   4. 権限をスコープする：
      • キーホルダー 内のすべてのキー - 「条件を追加」 をクリックし 、「キーホルダーID」 を選択して、キーホルダーのIDを入力します。
      • 特定の暗号化キー - 「条件を追加」 をクリックし 、「リソースタイプ」 を選択し、値のキー を入力します。 次に 、「条件を追加」 をクリックし 、「リソースID」 を選択して、暗号化キーのIDを入力します。
   5. リーダーの役割を割り当てます。
   6. 「許可」 をクリックして、許可を確認します。

   Hyper Protect Crypto Services を使用している場合は、 Hyper Protect Crypto Services インスタンスに Viewer プラットフォームのアクセスポリシーを割り当てる 2 つ目の IAM 認証を追加します。

   1. **「管理」 > 「IAM へのアクセス」 > 「権限」**に移動します。
   2. ソース・サービスに、Secrets Manager サービスを選択します。
   3. 特定のインスタンス Hyper Protect Crypto Services をターゲットサービスとして選択し、その中にルートキーを含めます。
   4. ビューアーの役割を割り当てます。
   5. 「許可」 をクリックして、許可を確認します。

   後で Secrets Manager インスタンスの削除を選択すると、この許可も IAM によって削除されます。

4. 事前に承認したルートキーを使用して 、 Secrets Manager インスタンスを作成します。

Secrets Manager インスタンスの削除

Secrets Manager のインスタンスが不要になったら、サービス・インスタンスおよび保管されているデータを削除できます。 インスタンスは無効状態になり、7 日後にそのデータが永久に削除されます。 また、コンソールを使用してサービス・インスタンスを削除することもできます。

7 日間のレクラメーション期間中は、Secrets Manager とさまざまな統合サービス (Key Protectなど) 間の許可を削除しないでください。Secrets Manager は、当該サービスの関連リソースからインスタンスを登録抹消するための許可を使用します。 インスタンスが完全に削除されたら、IAM によって許可も削除されます。

1. サービスを削除して、7 日間の再利用期間を適用します。

   ibmcloud resource service-instance-delete "<instance_name>"
   

   <instance_name>を、削除したいSecrets Managerインスタンスの名前に置換します。

2. オプション: インスタンスを永久に削除するために、再利用 ID を取得します。

   ibmcloud resource reclamations --resource-instance-id <instance_ID>
   

   <instance_ID>をSecrets ManagerインスタンスIDに置き換えます。

   再利用インスタンスを削除してインスタンスを永久に削除すると、データは復元できなくなります。

3. オプション: 再利用インスタンスを永久に削除します。

   ibmcloud resource reclamation-delete <reclamation_ID>
   

   <reclamation_ID>を、前のステップで取得した値に置き換えます。

削除されたサービス・インスタンスのリストア

インスタンスを永久に削除していない場合は、7 日間の再利用期間内に復元することができます。

1. 復元可能なサービス・インスタンスを表示します。

   ibmcloud resource reclamations
   

   使用可能なインスタンスのリストから、リストアしたい Secrets Manager インスタンスのレクラメーション ID をコピーします。

2. 復元して再利用します。

   ibmcloud resource reclamation-restore <reclamation_ID>
   

   <reclamation_ID>を、前のステップで取得した値に置き換えます。