ルート鍵の無効化

ルート鍵を無効にすることは、その鍵の暗号化操作と復号操作を一時停止することになります。 暗号化されたリソースは、通常のオペレーションでは使用できなくなる。 セキュリティ上の脆弱性、侵害、またはデータ漏洩の可能性があると思われる場合は、ルートキーを一時的に無効にしておくことが推奨されます。 セキュリティ上の脅威が解消されたら、無効にされていたルートキーを有効にすることができます。

ルートキーを無効にしても、ワークロードは仮想サーバーインスタンス上で引き続き実行され、ブートボリュームは暗号化されたままとなります。 データ・ボリュームの接続は引き続き維持されます。 ファイル共有データは暗号化されます。 ただし、仮想サーバー・インスタンスを停止した場合、再始動することはできません。 また、無効化されたキーを使用してリソースをプロビジョニングすることもできません。 鍵を無効にする前に、その鍵によって保護されているリソースを確認することをお勧めします。

CRKが一時停止されると、新しいリソースを暗号化したり、既存のリソースを保護しているパスフレーズをアンラップ（復号）したりすることができなくなる。

どのルートキーが無効化されているかを確認するには、リソースのコンソール一覧を確認してください。 ボリュームおよびスナップショットリソースの状態は「 使用不可 」となっています。 安定 状態のファイル共有はそのまま残ります。 UI ツールチップに、リソースの「key suspended」が表示されます。 API 応答で、 encryption_key_disabled 理由コードを確認できます。

ルートキーの無効化に関する詳細については、「 ルートキーの無効化 」を参照してください。

ルートキーの有効化

_一時停止_状態にあるルートキーを有効にすると、そのキーは_アクティブな_状態に戻ります。

以下の表は、ルート鍵がアクティブな場合の暗号化リソースのステータスを示している。 CRKは、既存のリソースを保護するパスフレーズを解除したり、新しいリソースを暗号化したりするのに利用できる。

無効になっているルートキーを有効にする方法の詳細については、「 無効になっているルートキーの有効化」を 参照してください。

ルート鍵の削除

ルートキーを削除すると、そのキーを使用してリソースを保護するために設定されたパスフレーズを復号することはできなくなります。 削除されたルート・キーによって保護されているボリューム、スナップショット、およびイメージ・リソースは、 _使用不可能な_ステータスになり、通常の操作に使用できません。 File Storage for VPC 共有は_一時停止_ステータスを表示します。 ストレージシステムがオフラインになっており、データにアクセスできません。 データはまだ存在します。

ルートキーは、「 アクティブ 」、「 一時停止中 」、または「 無効」 の3つの状態から削除できます。 キーの有効期限が到来すると、自動的に_無効_状態になります。 削除前の状態にかかわらず、キーは復元可能です。

30 日間の猶予期間中は、削除した鍵を復元できます。 復元しない場合、暗号化されたリソースはアクセス不能になります。 30日が経過すると、ルートキーは復元できなくなり、リソースも復元不可能となります。

デフォルトで KMS では、リソースをアクティブに保護しているルート鍵がユーザーによって削除されないようになっています。 Key Protect、 Hyper Protect Crypto Services、APIを使ってルート・キーを強制削除できる。 ルート鍵を強制的に削除するときには、以下のアクションが自動的に実行されます。

• 削除されたルートキーがボリュームを保護している場合、関連する仮想サーバーインスタンスは停止されます。
• 削除されたルート鍵がファイル共有を保護している場合、ファイル共有は中断されます。
• ルート鍵を削除すると、VPC 内のすべてのリソースでのその鍵の使用が消去されます。

ルート鍵を削除すると、以下の条件が発生します。

• ブートボリュームが使用できないインスタンスは、すべて再起動しません。
• 使用不可のデータ・ボリュームは、インスタンスに接続できません。
• スナップショットからボリュームをリストアすることはできません。
• ファイル共有にアクセスできません。
• 使用できないイメージからはインスタンスをプロビジョニングすることはできません。
• 使用不可のリソースは、削除されるまで引き続き課金されます。

ルート鍵を強制的に削除する前に、そのルート鍵に関連付けられているすべてのリソースを確認することをお勧めします。 ルート鍵の使用を中断するために鍵を削除するのではなく、 鍵を一時的に無効にする ことを検討してください。 ルートキーは30日以内に復元できますが、これはインポートされたルートキーに限られ、KMSで生成されたものは対象外です。

ルートキーの削除に関する詳細については、「 キーの削除 」を参照してください。

削除されたルート鍵の復元

インポートされたルート鍵を復元すると、その鍵は アクティブ 状態に戻り、その鍵へのアクセスが再確立されます。 以前はルートキーによって保護されていたすべてのリソースへのアクセス権を復元することができます。 インスタンスの再起動やデータボリュームの再接続など、通常の操作を再開できます。 ボリューム・アタッチメントIDは、元のカスタマー・ルート・キーを削除する前とは異なります。

KMSによって生成されたルート鍵は復元できない。

ルートキーの復元に関する詳細については、「 キーの復元 」を参照してください。

顧客ルートキーのローテーション

セキュリティ強化のため、ルートキーをローテーションすることができます。 鍵を交換しても、暗号化されたリソースの状態は変わらない。 以前の鍵は有効なままで、既存のリソースの復号化に使用され、新しいリソースは新しい鍵バージョンで暗号化される。

ローテーション・ポリシー、手動ローテーション手順、メリットなど、キー・ローテーションの詳細については、 VPCリソースのキー・ローテーションを 参照してください。