暗号化
販売終了 ：2025年10月31日をもって、新規のお客様による「 VMware Solutions 」サービスの新規導入は利用できなくなります。 既存のお客様は、引き続き IBM Cloud® 上で、稼働中の VMware® ワークロードを利用・拡張することができます。 詳細は VMware 、マーケティング終了 IBM Cloud を参照。
販売終了 ：2025年7月17日をもって、新規のお客様による VMware Regulated Workloads インスタンスの新規導入は利用できなくなります。 既存のお客様であっても、クラスタの追加や削除、 VMware ESXi™サーバや NFS ストレージの追加や削除、既存の Regulated Workloads インスタンスのサービスの追加や削除は可能です。 既存のお客様、 Regulated Workloads インスタンスを表示または削除することもできます。
IBM Cloud® for VMware®Regulated Workloads は、保存時または転送中の管理および生産用仮想マシン（VM）を保護するために vSphere®VMware 暗号化に依存しています。 vSphere 暗号化は、ストレージ vSAN を含むあらゆる種類の VMware ストレージに適用されます。 暗号化 vSphere ソリューションでは、 vCenter VMware Server® および ESXi™ VMware vSphere ホストは、必要な暗号化キーを取得するためにキー管理サーバーに接続します。 それらの鍵を使用して、個々の仮想マシン (VM) ディスクを VM ストレージ・ポリシーに従って保護します。
vSphere 暗号化は VM ディスクのレベルで行われるため、物理ディスク・ドライブと VM ディスクのどちらが失われた場合でも規制対象データの漏えいを防ぐことができます。 バックアップ/レプリケーションのテクノロジーの多くは、VM が暗号化されていると、バックアップとレプリケーションが有効に機能しません。 また、 vSphere 暗号化は HCX™ または cross-vCentervMotion,VMware HPE Zerto Software. と互換性がありません。 しかし、Veeam Backup and Replication は、適切に構成されていれば、vSphere 暗号化と一緒に使用できます。
Hyper Protect Crypto Services
IBM Cloud Hyper Protect Crypto Services (HPCS) は、Keep Your Own Key (KYOK) をサポートする鍵管理サービス (KMS) です。 HPCS はEnterprise PKCS#11(EP11) 経由でアクセス可能ですが、 vSphere 暗号化はKMIP標準を使用するキー管理システム（KMS）のみをサポートします。 そのため、vCenter Server アプライアンスと HPCS の間のアダプターとして機能する KMIP アダプターが必要になります。
IBM Cloud HPCS は、FIPS 140-2 レベル 4 認定ハードウェア・セキュリティー・モジュール (HSM) によって支えられています。 大まかには、IBM HPCS は以下のコンポーネントで構成されます。
- 暗号装置 - ハードウェア 1 台 (HSM) および対応するソフトウェア・スタックを表す単一の装置であり、どちらも単一のテナントに専用です。
- サービス・インスタンス - 暗号装置のクラスター。単一の論理エンティティーとして動作して冗長性とスケーラビリティーを提供します。 HPCSの各インスタンスに対して、高可用性（HA）を確保するため、少なくとも2つの暗号化ユニットを用意することを推奨します。
HPCSは、マルチゾーンリージョン（MZR）アーキテクチャ向けのハイアベイラビリティソリューションです。 クロスリージョナルHAは、一部地域で利用可能であり、提供地域を拡大中です。
VMware インスタンス用の KMIPは、インスタンスへのアクセス権限を持つ IBM Cloud ID およびアクセス管理 (IAM) サービス ID を使用して、Hyper Protect Crypto Services インスタンスに対して許可されます。 このサービス ID には、少なくとも、鍵マネージャー・インスタンスに対するプラットフォームの Viewer アクセス権限とサービスの Manager アクセス権限が必要です。 KMIP for VMware は、鍵マネージャー・インスタンス内のカスタマー・ルート鍵 (CRK) を使用し、VMware のために生成されたすべての KEK を鍵マネージャー・インスタンスにラップ形式で保管します。
プライベート・ネットワーク経由で KMIP for VMware にアクセスするには、クラウドのサービス・エンドポイントを使用します。 セットアップ中に、VMware vCenter と ESXi は、デプロイされている KMIP インスタンスとの信頼関係を確立します。 VMware vCenter と ESXi は、鍵管理サーバー (KMS) への接続の作成時に、VMware vCenter 内の証明書を使用して KMIP アダプター・インスタンスで認証を受けます。 接続を許可された vCenter クライアントを識別するために、KMIP にパブリック証明書をインストールします。 各クライアントに、その KMIP for VMware インスタンス内に保管されているすべての鍵へのアクセスが許可されます。
vSphere 暗号化のための Hyper Protect Crypto Services - サード・パーティーなし
次の図は、HPCS/KMIP 統合を使用した標準的な vSphere 暗号化セットアップを示しています。
vSphere 暗号化のための Hyper Protect Crypto Services - SaaS プロバイダーのユース・ケース
HPCSを利用することで、 SaaS プロバイダーと SaaS コンシューマーは、規制対象データへの不正アクセスを防止するため、最高レベルのセキュリティ IBM Cloud で重要なワークロードを移行できます。 SaaS プロバイダーも SaaS 利用者も、クラウド内の自分の鍵と規制対象データを完全に自分自身で管理します。IBM を含め、規制対象データには誰もアクセスできません。 また、完全な鍵にも誰もアクセスできません。必要に応じて、複数人の暗号装置管理者を配置できます。
プロバイダー SaaS は、自身の Regulated Workloads インスタンス VMware に対して、デプロイおよび管理の両方について Hyper Protect Crypto Services、およびKMIPの責任を負います。 仮想化管理者が、vCenter に KMS クラスター構成を作成します。 SaaS 利用者と SaaS プロバイダーの規制対象データを保護するために、それぞれに独自の HPCS インスタンスとルート鍵を使用することをお勧めします。 2 つの鍵を使用する方式により、関係者の権利と責任のバランスを取ることができます。
HPCS - 独立系ソフトウェア・ベンダー (ISV) ビュー
プロバイダー SaaS は、 Regulated Workloads デプロイメントの一部としてプロビジョニングされたHPCSに、自身のルート鍵素材を初期化する。 この鍵が管理プラットフォームに組み込まれて、vSphere 暗号化や vSAN 暗号化など、プラットフォーム・コンポーネントの暗号化用のツールで使用されます。
HPCS - 金融機関の視点
SaaS 利用者が、独自の HPCS インスタンスを管理し、独自のルート鍵素材を導入します。 この鍵が、SaaS 利用者の規制対象データのセキュリティーにとって重要な鍵になります。利用者は、関与する個々の SaaS プロバイダーのために「子孫」の鍵を生成することができます。
SaaS 利用者の規制対象データの保護には、SaaS 利用者から提供された鍵が使用されます。
HPCS のフロー
KMIP を注文して初期設定するためのステップバイステップのプロセスを以下の資料で確認してください。