お客様管理の暗号化を使用したファイル共有の作成

BYOKデータ保護のため、 Key Protect に保存されたルートキーを使用して、お客様暗号化を備えた File Storage for VPC 共有を作成します。

ファイル共有の作成後に暗号化タイプを変更することはできません。

デフォルトでは、 File Storage for VPC の共有は、 IBM による管理下での暗号化によって暗号化されています。エンベロープ暗号化の詳細については、「エンベロープ暗号化によるデータの保護」を参照してください。

開始前に

顧客管理暗号化でファイル共有を作成するには、独自の顧客ルート鍵が必要です。鍵管理サービス（KMS）をプロビジョニングし、カスタマ・ルート鍵（CRK）を作成またはインポートすることができます。以下のいずれかを選択できます。 Key Protect シングルテナントインスタンスまたはマルチテナントインスタンスのいずれかを選択できます。次に、 File Storage for VPC と、作成したKMSインスタンスとの間で、サービス間認証を設定します。

Hyper Protect Crypto Services は非推奨となっています。顧客は既存のインスタンスを2027年3月20日まで使用できる。詳細については、「 IBM Cloud Hyper Protect Crypto Services の非推奨化」を参照してください。継続的な保護のため、既存の暗号化キーを専用 Key Protect インスタンスに移行することをご検討ください。詳細については、「移行ガイド」をご覧ください。

また、他のアカウントのカスタマー・ルート・キーを使用することも可能です。 IBM Cloudでは、KMSは、暗号化キーを使用するサービスと同じ、または別のアカウントに配置することができます。この導入パターンにより、企業はすべての企業アカウントの暗号鍵を一元管理できる。詳細については、暗号鍵管理を参照のこと。

一般に、CRK を所有するアカウントアカウント管理者または他の特権ユーザが、第 2 のアカウントユーザを招待し、CRK を共有するための権限を作成する。詳細については、 Key Protect を使って鍵へのアクセスを許可するを参照のこと。次に、2つ目のアカウントユーザーは、CRKを使用して、 IBM Cloud のデータを暗号化することができる。

(ソースサービス) と、お客様ルートキーを保持する File Storage for VPC KMS インスタンス (ターゲットサービス) 間の必要なすべてのサービス間認証を設定します。他のアカウント CRKを使用してボリュームをプロビジョニングする場合は、そのアカウント管理者に、そのアカウント認証を設定し、ルートキーのCRNを共有するよう依頼してください。

コンソールで顧客管理暗号化ファイル共有を作成する

ファイル共有を作成する際に、お客様暗号化を指定するには、以下の手順に従ってください。

IBM Cloud コンソールで、 メニューアイコン > インフラストラクチャ > ストレージ > ファイルストレージ共有に進みます。
「作成」 をクリックします。
表1に記載されている情報を入力してください。

ファイル共有およびマウント先を作成するための設定値。
フィールド	値
アベイラビリティー	可用性の選択お客様新しい地域ファイル共有サービスをプレビューするための特別なアクセス権をお持ちの場合、地域またはシングルゾーンのデータ可用性を選択することができます。シェア作成後にこのプロパティを変更することはできません。アカウント許可リストに登録されていない場合、このフィールドは表示されません。ゾーンファイル共有の場所を選択します。
ロケーション	単一ゾーンの可用性を選択した場合は、新しいファイル共有の地理、地域、ゾーンを選択します（例：北米、ダラス（us-south）、 us-south-2 ）。地域限定を選択した場合は、地域を選択してください。例えば、ダラス（アメリカ南部）。
詳細
名前	ファイル共有には、意味のある名前を付けてください。共有名は、最大 63 文字までの小文字の英数字で指定し、ハイフン (-) を含めることができ、先頭を小文字にする必要があります。必要であれば、後で名前を変更することもできます。
リソース・グループ	リソース・グループを指定します。リソース・グループを使用すると、アクセス制御や請求処理のためにアカウント・リソースを編成するのに便利です。
タグ	タグは、ファイル共有リソースへのアクセスを編成、追跡、さらには管理するために使用されます。関連するリソースにタグを付けておくと、リソース・リストからタグでフィルター操作を行うことによって、アカウント全体でそれらのリソースを表示できます。ユーザー・タグはアカウント全体で表示されます。タグ名に機密データを含めないでください。詳しくは、『タグの処理』を参照してください。
アクセス管理タグ	アクセス管理タグを使用して、ファイル共有に柔軟なアクセス・ポリシーを適用できます。詳しくは、タグを使用したリソースに対するアクセス権限の制御を参照してください。
プロフィール	プロフィールは、データの有無の選択に基づいて自動入力されます。詳細については、ファイルストレージのプロファイルを参照してください。地域の可用性を選択した場合、ファイル共有は `rfs` プロファイルを使用します。ファイル共有のサイズと帯域幅を選択します。後で容量を増やすこともできますし、必要に応じて帯域幅を調整することもできます。シングルゾーンの可用性を選択した場合、ファイル共有は `dp2` プロファイルを使用します。ファイル共有のサイズとIOPSを選択してください。後で容量を増やすこともできるし、必要に応じてIOPSを調整することもできる。
許可されたトランジット暗号化モード	共有所有者は、アカウントおよび許可アカウント内のクライアントがファイル共有に接続する方法を指定できます。転送時に暗号化を使用したくない場合は、「なし」を選択できます。転送時に暗号化を使用したい場合は、ゾーンファイルには ipsecを、地域ファイルには stunnelを選択してください。

マウントターゲットの作成は任意。ここでマウント・ターゲットを作成しない場合は、このステップをスキップできます。しかし、ファイル共有をコンピュートホストにマウントするためには、ファイル共有が必要です。ファイル共有は複数のマウントターゲットを持つことができるので、複数のVPCからアクセスすることができます。マウント・ターゲットは、ファイル共有ごとに VPC 1 つにつき 1 つ作成できます。作成するには、「作成」をクリックします。以下の情報を提供してマウントターゲットを定義します：
1. マウント・ターゲット名を指定してください。名前は、小文字の英数字を最大63文字まで使用でき、ハイフン（-）を含めることができます。また、小文字のアルファベットで始まる必要があります。名前は必要に応じて後で編集できます。
2. 使用可能な VPC を選択します。このリストには、選択したリージョンにサブネットを持つVPCのみが含まれます。場所の選択はファイル共有から継承される（例えば、 us-south-2 ）。
3. デフォルトの仮想ネットワークインターフェースが生成される。アイコンをクリックしてカスタマイズすることができます。その場所に複数のサブネットがある場合は、名前またはサブネットを変更できます。マウント・ターゲットにアタッチする既存のVNIを選択することもできます。 VPC 内で利用可能な VNI のリストと場所が表示されます。 VNIのセカンダリIPアドレスはファイル共有のマウントターゲットとして受け付けられないため、リストから除外されます。
4. 次へをクリックします。
5. 転送中の暗号化は、ゾーン共有ではデフォルトで無効になっており、リージョナル共有ではデフォルトで有効になっています。トグルをクリックしてプリセット値を変更します。この機能の詳細については、転送時の暗号化 - ファイル共有とホスト間のマウント接続の保護を参照してください。
6. そして、「次へ」 をクリックします。
7. 選択内容を確認し、「戻る」をクリックして選択内容を更新するか、「作成」をクリックします。
Encryption at rest セクションのフィールドを更新する。
1. 暗号化タイプを選択します。デフォルトでは、すべてのファイル共有はIBM鍵によって暗号化される。また、独自の鍵を使用して共有のエンベロープ暗号化を作成することもできます。独自の鍵を使いたい場合は、いずれかの鍵管理サービスを選択する：Key ProtectまたはHyper Protect Crypto Services
2. インスタンスまたはCRNでキーを指定する。
  - インスタンス別に検索する場合は、暗号化サービスのインスタンス・メニューからインスタンスを選択する。次に、リストからキー名を選択する。
  - CRNによる検索を選択した場合は、CRNの値を入力してください。インスタンス・セレクタにそのキーが表示されないため、別のアカウントのキーのCRNを使用したい場合にこのオプションを使用します。
必要な情報をすべて入力したら、 「ファイル共有の作成」 をクリックします。 File Storage for VPC ページに戻ります。このページには、ファイル共有がプロビジョニング中であることを示すメッセージが表示されます。トランザクションが完了すると、共有状況が 「アクティブ」 に変わります。

プライベートエンドポイントを使用して Key Protect または Hyper Protect Crypto Services のインスタンスを作成した場合、そのインスタンスを使用して作成されたルートキーはコンソールに表示されません。これらのルートキーにアクセスして使用するには、CLI または API を使用する必要があります。

CLI からのお客様管理の暗号化を使用したファイル共有の作成

CLI を使用する前に、IBM Cloud CLI および VPC CLI プラグインをインストールする必要があります。詳しくは、CLI の前提条件を参照してください。

共有をプロビジョニングするために必要な情報 (ファイル共有に必要な固有の名前、場所、容量、パフォーマンス特性など) を収集します。仮想ネットワーク・インターフェースを使用してマウント・ターゲットを作成する場合は、適切な CLI コマンドを使用して、使用可能なサブネット、サブネット内の予約 IP アドレス、およびセキュリティー・グループをリストします。詳しくは、 CLI からの情報の収集を参照してください。

暗号化の場合は、鍵管理サービスの ID と、そのサービスのルート鍵の CRN を取得します。

ibmcloud resource service-instances コマンドを使用して、使用可能な KMS インスタンスをリストします。

   ibmcloud resource service-instances

Retrieving instances with type service_instance in all resource groups in all locations under account Test Account as test.user@ibm.com...
OK
Name             Location   State    Type               Resource Group ID
KeyProtect-ki    us-south   active   service_instance   db8e8d865a83e0aae03f25a492c5b39e
schematics       us-south   active   service_instance   db8e8d865a83e0aae03f25a492c5b39e

ibmcloud resource service-instance コマンドを使用して、インスタンス ID を取得します。 ID は、アカウント番号の後の CRN 内の最後のストリングです。

   ibmcloud resource service-instance KeyProtect-ki -location us-south --id

Retrieving service instance KeyProtect-ki in all resource groups under account Test Account as test.user@ibm.com...
crn:v1:bluemix:public:kms:us-south:a/a1234567:: 22e573bd-c02c-4d7f-81e2-2aa867da176d

ibmcloud kp keys コマンドで ID を使用して、鍵情報を取得します。

   ibmcloud kp keys -c --instance-id 22e573bd-c02c-4d7f-81e2-2aa867da176d

Targeting endpoint: https://qa.us-south.kms.cloud.ibm.com
Retrieving keys...
OK
Key ID                                 Key Name      CRN
2fb8d675-bde3-4780-b127-3d0b413631c1   my-file-key   crn:v1:bluemix:public:kms:us-south:a/a1234567:22e573bd-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1

別のアカウントの暗号化キーを使用する場合は、別のアカウントで前述の手順を実行する必要があります。他のアカウントのリソースをリストアップすることはできません。

地域のファイル共有プロファイルをプレビューできる特別なアクセス権を持つお客様であれば、 rfs プロファイルを使用してファイル共有を作成できます。 CLIから地域ファイル共有を作成・管理できるようにするには、以下のコマンドで適切な環境変数を設定する。
```
export IBMCLOUD_IS_FEATURE_SHARE_DENALI_REGIONAL_AVAILABILITY=true
```
CLIは、この環境変数が "true "に設定されている場合にのみ、"Allowed Access Protocols"、"Availability Mode"、"Bandwidth"、および "Storage Generation "のプロパティを返す。

お客様管理の暗号化を使用してファイル共有を作成するには、 --encryption-key オプションを指定して ibmcloud is share-create コマンドを指定します。 encryption_key オプションの後に、鍵管理サービスのルート鍵の有効な CRN を指定する必要があります。転送中の暗号化も有効にする場合は、マウント・ターゲット JSON で暗号化を指定します。マウントターゲットに関連付けるセキュリティグループは、共有をマウントするすべてのサーバから NFS ポートの TCP プロトコルの受信アクセスを許可する必要があります。

以下の例では、お客様管理の暗号化、セキュリティー・グループ・アクセス・モード、および仮想ネットワーク・インターフェースを使用するマウント・ターゲットを使用してファイル共有を作成します。転送中の暗号化は有効になっていません。

ibmcloud is share-create --name my-encrypted-file-share --zone us-south-2 --profile dp2 --size 500 --iops 2000  --user-tags env:dev --encryption-key crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1 --mount-targets '[{"name":"my-new-mount-target","virtual_network_interface": {"name":"my-vni-2","subnet": {"id":"r006-298acd6c-e71e-4204-a04f-fe4a4dd89805"},"security_groups":[{"id":"r006-7f369ca2-ca49-4053-b007-5cab79b9873b"}]}}]'

Creating file share my-encrypted-file-share under account Test Account as user test.user@ibm.com...
ID                           r006-d44298fe-aced-4f55-a690-8a3830e9fd90
Name                         my-encrypted-file-share
CRN                          crn:v1:bluemix:public:is:us-south-2:a/a1234567::share:r006-d44298fe-aced-4f55-a690-8a3830e9fd90
Lifecycle state              pending
Access control mode          security_group
Accessor binding role        none
Zone                         us-south-2
Profile                      dp2
Size(GB)                     500
IOPS                         2000
User Tags                    env:dev
Encryption                   user_managed
Mount Targets                ID                                          Name
                             r006-00432317-436e-4940-ab7d-8b26c186b00f   my-new-mount-target
Resource group               ID                                 Name
                             db8e8d865a83e0aae03f25a492c5b39e   Default
Created                      2023-10-19T21:16:27+00:00
Encryption key               crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1
Replication role             none
Replication status           none
Replication status reasons   Status code   Status message
                             -             -
Snapshot count               10
Snapshot size                10
Source snapshot              -

ibmcloud is share-mount-targets my-encrypted-file-share

Listing share mount target of my-encrypted-file-share in all resource groups and region us-south under account Test Account as user test.user@ibm.com...
ID                                          Name                  VPC      Lifecycle state   Transit Encryption
r006-00432317-436e-4940-ab7d-8b26c186b00f   my-new-mount-target   my-vpc   stable            none

以下の例では、お客様管理の暗号化、セキュリティー・グループ・アクセス・モード、仮想ネットワーク・インターフェースを使用するマウント・ターゲット、および転送中の暗号化を有効にしたファイル共有を作成します。

   ibmcloud is share-create --name my-encrypted-eit-file-share --zone us-south-2 --profile dp2 --size 500 --iops 2000  --user-tags env:dev --encryption_key crn:v1:bluemix:public::kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1 --mount-targets '[{"name":"my-new-mount-target","transit_encryption": "user_managed","virtual_network_interface": {"name":"my-vni-3","subnet": {"id":"r006-298acd6c-e71e-4204-a04f-fe4a4dd89805"},"security_groups":[{"id":"r006-7f369ca2-ca49-4053-b007-5cab79b9873b"}]}}]'

応答は、以下の例のようなものになります。

Creating file share my-encrypted-eit-file-share under account Test Account as user test.user@ibm.com...
ID                           r006-f6bf049e-f46c-4160-b548-4a36d27256ac
Name                         my-encrypted-eit-file-share
CRN                          crn:v1:bluemix:public::is:us-south-2:a/a1234567::share:r006-f6bf049e-f46c-4160-b548-4a36d27256ac
Lifecycle state              pending
Access control mode          security_group
Accessor binding role        none
Zone                         us-south-2
Profile                      dp2
Size(GB)                     500
IOPS                         2000
User Tags                    env:dev
Encryption                   user_managed
Mount Targets                ID                                          Name
                             r006-e6bd52b8-c656-4ba6-8749-1bb41bfa2c3c   my-new-mount-target
Resource group               ID                                 Name
                             db8e8d865a83e0aae03f25a492c5b39e   Default
Created                      2023-10-20T03:05:38+00:00
Encryption key               crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1
Replication role             none
Replication status           none
Replication status reasons   Status code   Status message
                             -             -
Snapshot count               0
Snapshot size                0
Source snapshot              -

ibmcloud is share-mount-targets my-encrypted-eit-file-share

応答は、以下の例のようなものになります。

Listing share mount target of my-encrypted-eit-file-share in all resource groups and region us-south under account Test Account as user test.user@ibm.com...
ID                                          Name                  VPC      Lifecycle state   Transit Encryption
r006-e6bd52b8-c656-4ba6-8749-1bb41bfa2c3c   my-new-mount-target   my-vpc   stable            user_managed

次の例では、顧客管理暗号化、セキュリティグループアクセスモード、および暗号化-in-transitを有効にして、地域ファイル共有を作成します。

   ibmcloud is share-create --name my-regional-file-share --profile rfs --size 40 --bandwidth 800 --atem stunnel,none --encryption-key crn:v1:bluemix:public::kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1

応答は、以下の例のようなものになります。

Creating file share my-file-share1 under account Test Account as user test.user@ibm.com...
ID                                 r006-9ae55188-610e-4cf9-9350-d0b675026ff8
Name                               my-regional-file-share
CRN                                crn:v1:bluemix:public:is:us-south:a/a1234567::share:r006-9ae55188-610e-4cf9-9350-d0b675026ff8
Lifecycle state                    pending
Access control mode                security_group
Accessor binding role              none
Allowed transit encryption modes   stunnel,none
Zone                               -
Profile                            rfs
Size(GB)                           40
IOPS                               35000
Encryption                         user_managed
Mount Targets                      ID                          Name
                                   No mounted targets found.
Resource group                     ID                                 Name
                                   11caaa983d9c4beb82690daab08717e9   Default
Created                            2025-09-22T21:17:23+05:30
Encryption key                     crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1
Replication role                   none
Replication status                 none
Replication status reasons         Status code   Status message
                                   -             -
Snapshot count                     0
Snapshot size                      0
Source snapshot                    -
Allowed Access Protocols           nsf4
Availability Mode                  regional
Bandwidth(Mbps)                    800
Storage Generation                 2

コマンド・オプションについて詳しくは、「 ibmcloud is share-create」を参照してください。

API を使用したお客様管理の暗号化によるファイル共有の作成

Virtual Private Cloud (VPC) の API を呼び出して、お客様管理の暗号化を使用するファイル共有を作成できます。

POST /shares 要求を行い、 encryption_key パラメーターを指定してカスタマー・ルート・キー (CRK) を識別します。これは、例では crn:[...key:...] と示されています。

generation パラメーターを指定し、 generation=2 を指定する必要があります。詳細については、『 Virtual Private Cloud API リファレンス』の 「Generation」 の項を参照してください。

次の例では、マウント先を持つゾーン型ファイル共有を作成し、お客様暗号化のルートキーのCRNを指定します。

curl -X POST \
"$vpc_api_endpoint/v1/shares?version=2024-11-05&generation=2" -H "Authorization: Bearer $iam_token" \
-d '{
     "name": "my-encrypted-share",
     "mount_targets": [
         {
           "name": "docs-mount-1",
           "virtual_network_interface": {
             "name": "my-virtual-network-interface-1",
             "allow_ip_spoofing": false,
             "auto_delete": true,
             "enable_infrastructure_nat": true,
             "primary_ip": {"auto_delete": true},
             "subnet": {"id": "0727-267015ac-7b12-4f62-bda9-52fcb9483fc4"},
             "ips": [],
             "security_groups": [{"id": "r006-bf9475c2-6846-4c39-b392-587643b2e2f8"}],
             "protocol_state_filtering_mode": "auto"
          },
          "transit_encryption": "none"
         }
       ],
     "profile": {"name": "dp2"},
     "size": 100,
     "zone": {"name": "us-south-2"},
     "iops": 3000,
     "allowed_transit_encryption_modes": ["none","user_managed"],
     "encryption_key": {"crn": "crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1"},
     "resource_group": {"id": "db00a952a88945a987b7be1980fdae8e"},
     "access_control_mode": "security_group"
   }'

次の例では、マウント先を指定しないリージョナル・ファイル共有を作成し、お客様暗号化のルートキーの CRN を指定します。

curl -X POST \
"$vpc_api_endpoint/v1/shares?version=2025-09-02&generation=2" -H "Authorization: Bearer $iam_token" \
-d '{
     "name": "my-encrypted-regional-share",
     "profile": {"name": "rfs"},
     "size": 1000,
     "bandwidth": 800,
     "allowed_transit_encryption_modes": ["none","stunnel"],
     "encryption_key": {"crn": "crn:v1:bluemix:public:kms:us-south:a/a1234567-c02c-4d7f-81e2-2aa867da176d:key:2fb8d675-bde3-4780-b127-3d0b413631c1"},
     "resource_group": {"id": "db00a952a88945a987b7be1980fdae8e"},
     "access_control_mode": "security_group"
   }'

POST /shares 呼び出しで、別のアカウントのルート鍵の CRN を指定することもできます。もしそうしたいのであれば、もう一方のアカウントの管理者に連絡して、サービス間の認証がきちんと行われていることを確認し、暗号化キーのCRNを入手してください。

Terraform を使用した、お客様暗号化を備えたファイル共有の作成

ファイル共有を作成するには、 ibm_is_share リソースを使用します。次の例では、容量800 GiB および dp2 パフォーマンスプロファイルでゾーンファイル共有を作成します。ファイル共有は、その CRN で識別される鍵を使用して暗号化されます。この例では、仮想ネットワーク・インターフェースを持つ新規マウント・ターゲットも指定しています。

resource "ibm_is_share" "share4" {
   zone                = "us-south-2"
   size                = "800"
   iops                = "3000"
   name                = "my-share4"
   profile             = "dp2"
   encryption_key      = "crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1"
   access_control_mode = "security_group"
   mount_target {
       name = "target"
       security_groups = [<security_group_ids>]
       virtual_network_interface {
         primary_ip {
           address     = "10.240.64.5"
           auto_delete = true
           name        = "my-example-pip"
         }
       }
   }
}

次の例では、1000 GiB の容量と rfs パフォーマンスプロファイルを持つ地域ファイル共有を作成します。ファイル共有は、その CRN で識別される鍵を使用して暗号化されます。

resource "ibm_is_share" "regional-share" {
   size                = "1000"
   name                = "my-regional-share"
   profile             = "rfs"
   bandwidth           = "800"
   encryption_key      = "crn:v1:bluemix:public:kms:us-south:a/a1234567:key:2fb8d675-bde3-4780-b127-3d0b413631c1"
   access_control_mode = "security_group"
   }

引数と属性について詳しくは、 ibm_is_shareを参照してください。

次のステップ

IBM Cloud ファイル共有マウント・ヘルパー・ユーティリティーを使用して、暗号化されたファイル共有を許可された Compute インスタンスにマウントします。
ローテート、無効化、または削除することによって、ファイル共有を保護しているルート鍵を管理します。
共有の複製をセットアップすることを検討してください。詳しくは、ファイル共有複製についてを参照してください。
別のアカウントからのファイル共有の共有とマウントについて説明します。

お客様管理の暗号化を使用したファイル共有の作成

お客様管理の暗号化を使用したファイル共有の作成

開始前に

コンソールで顧客管理暗号化ファイル共有を作成する

CLI からのお客様管理の暗号化を使用したファイル共有の作成

API を使用したお客様管理の暗号化によるファイル共有の作成

Terraform を使用した、 お客様暗号化を備えたファイル共有の作成

次のステップ

Terraform を使用した、お客様暗号化を備えたファイル共有の作成