コンソールで顧客管理の暗号化を使用してデータボリュームを作成する

以下の手順は、スタンドアロンのブロック・ストレージ・ボリュームを作成するときにお客様管理の暗号化を指定する方法を示しています。

1. IBM Cloudコンソールにある、Navigation menu アイコン > Infrastructure > Storage > Block Storage ボリュームをクリックして、Block Storage ボリュームのリストを表示します。

2. 「作成」 をクリックします。

3. 位置情報を確認してください。 地理、地域、ゾーンはVPCから継承されます（例：北米、ダラス、Dallas-1 ）。 メニューからあなたの地域の別のゾーンを選択するには、編集アイコン。

4. の中に詳細ボリュームの名前と、ボリュームを追加するリソース グループを指定する必要があります。 必要に応じて、ユーザーおよびアクセス管理タグを追加できます。

   1. ボリュームに分かりやすい名前を指定します。 例えば、コンピュート機能やワークロード機能を説明する名前などを指定します。

      ボリューム名は小文字で始まる必要があります。 ボリューム名は、最大 63 文字の小文字の英数字で、ハイフン (-) を含めることができます。ボリューム名は、VPC インフラストラクチャ全体で一意である必要があります。 名前は後で編集できます。

   2. リソース・グループを指定します。

   3. 特定 ユーザータグ リソースを整理し、バックアップポリシー。

   4. 特定 アクセス管理タグ ボリュームへのアクセスを管理するために IAM で作成されました。

5. の中にオプション構成セクションでは、スナップショットのデータを使用してボリュームを作成するかどうかを指定できます。 また、バックアップ ポリシーを適用することもできます。

   • スナップショットからのインポート：既存のスナップショットをインポートを選択して利用可能なスナップショットのリストを表示するか、CRNでスナップショットをインポートを選択して使用したいスナップショットのCRNを指定します。 起動不可能なスナップショットを使用してデータ ボリュームを作成し、起動可能なスナップショットを使用してブート ボリュームを作成できます。 新しいブロックストレージボリュームは、スナップショットからストレージ世代値を継承し、同じ世代のボリュームプロファイルのみが適用できます。
   • バックアップポリシーを適用: クリック適用する利用可能なポリシーとプランを確認します。

6. の中にプロフィールセクションでは、ボリュームのパフォーマンス プロファイル、IOPS、容量を指定できます。

   • sdp プロファイルを 選択できます。 次に、ボリュームの容量と必要なIOPSを指定します。 ボリュームのサイズは1～32,000GB。 IOPSは100～64,000の範囲で指定できる。 また、独自のスループット制限を指定することもできます。
   • _階層化された_プロファイルの いずれかを選択できます。 _汎用を_選択した後 5iops-tier または 10iops-tier を選択したら、次はボリュームの容量を指定します。 ボリューム・サイズは 10 GB から 16,000 GB にすることができます。
   • アプリケーションのパフォーマンス要件がどのIOPS層にも当てはまらない場合は、 カスタム・ プロファイルを選択できます。 次に、ボリュームのサイズとIOPSをボリューム容量に適した範囲で指定します。 ボリューム・サイズは 10 GB から 16,000 GB にすることができます。 IOPS 値を入力すると、UI に受け入れ可能な範囲が表示されます。 また、 ストレージサイズのリンクをクリックすると、 カスタムボリュームプロファイルの サイズとIOPSの範囲を確認できます。

7. 「 保存時の暗号化 」セクションでは、すべてのボリュームでデフォルトで有効になっている、 IBM が管理する鍵による暗号化を維持するかどうかの選択が可能です。 あるいは、 独自の暗号化キー を使用することもできます。 キーまたはインスタンスを変更するには、 [編集]アイコン をクリックして、「 暗号化の設定 」サイドパネルを開きます。 暗号化キーを確認するには、以下のオプションから1つを選択してください：

   • インスタンスによる検索 ：このパネルには3つの手順があります：
     1. KMSインスタンスの選択 ：このリストには、利用可能な各 Key Protect インスタンスの名前、ID、タイプ（StandardまたはDedicated）、およびロケーションが表示されます。 インスタンスを選択し、「 選択 」をクリックします。 まだインスタンスをお持ちでない場合は、「 作成 」をクリックしてインスタンスをプロビジョニングしてください。
     2. 関連キー ：このリストには、利用可能な各ルートキーの名前、ID、最終更新日、エイリアス、およびキーリングが表示されています。 キーを選択し、「 選択 」をクリックしてください。 まだキーをお持ちでない場合は、「 新しいキーを作成 」をクリックしてください。
     3. 確認 ：キー管理サービス、インスタンスタイプ、インスタンス名、キー名など、選択内容を確認してください。 「 サービス認証 」セクションでは、 Block Storage for VPC と KMS インスタンス間の必要な認証がすでに設定されているかどうかが表示されます。 そうでない場合は、 Key Protect に認証情報を自動的に作成させるか、手動で作成することができます。 詳細については、「 Block Storage for VPC におけるサービス間認証の設定 」を参照してください。 [ 確認 ] をクリックして選択内容を適用し、ボリュームプロビジョニングページに戻ります。
   • Locate by CRN ：ボリュームの暗号化に使用するお客様 CRNを入力します。 別のアカウントの CRK を使用している場合は、このオプションを選択します。 「選択 」をクリックして、「 インスタンスによる検索 」オプションで説明されている「 確認 」ステップに進みます。

8. 変更が完了したら、「 ブロックストレージボリュームの作成 」をクリックします。

コンソールで「 Block Storage 」のボリューム一覧を更新すると、新しいボリュームが「 お客様管理型 」という暗号化タイプを持つボリューム一覧の先頭に表示されます。 ボリュームが作成されると、ステータスが「 利用可能 」と表示されます。 単体の巻については、「添付タイプ」列は空白（-）となっています。表の行末にある「 アクション 」メニュー には、 Block Storage ボリュームをインスタンスにアタッチする へのリンクが用意されています。

CLI からのお客様管理の暗号化を使用したデータ・ボリュームの作成

ibmcloud is volume-create my-customer-key-volume custom us-east-1 --capacity 300 --iops 1500 --encryption-key crn:v1:bluemix:public:kms:us-east:a/a1234567:3b05b403-8f51-4dac-9114-c777d0a760d4:key:7a8a2761-08e3-455f-a348-144ed604bba9

Creating volume my-customer-key-volume under account Test Account as user test.user@ibm.com...
ID                                     r014-3984600c-6f4d-4940-82de-519a867fa3c0
Name                                   my-customer-key-volume
CRN                                    crn:v1:bluemix:public:is:us-east-1:a/a1234567::volume:r014-3984600c-6f4d-4940-82de-519a867fa3c0
Status                                 pending
Attachment state                       unattached
Capacity                               300
IOPS                                   1500
Bandwidth(Mbps)                        3145
Profile                                custom
Encryption key                         crn:v1:bluemix:public:kms:us-east:a/a1234567:3b05b403-8f51-4dac-9114-c777d0a760d4:key:7a8a2761-08e3-455f-a348-144ed604bba9
Encryption                             user_managed
Resource group                         defaults
Created                                2024-09-24T20:10:52+00:00
Zone                                   us-east-1
Health State                           inapplicable
Volume Attachment Instance Reference   -
Active                                 false
Adjustable Capacity States             attached
Adjustable IOPS State                  attached
Busy                                   false
Tags                                   -
Storage Generation                     1

API を使用したお客様管理の暗号化によるデータ・ボリュームの作成

以下のサンプル要求に示すように、 VPC API で /volumes メソッドを呼び出すことにより、お客様管理の暗号化を使用してプログラマチックにデータ・ボリュームを作成できます。 encryption_key プロパティを使用して、 お客様ルートキー（CRK）を指定します。例では、 crn:[...key:...] と指定されています。

有効なボリューム名には、英小文字および数字 (a-z、0-9) とハイフン (-) を組み合わせて最大 63 文字まで含めることができます。 ボリューム名の先頭は小文字にする必要があります。 ボリューム名は、VPC インフラストラクチャー全体で固有でなければなりません。

以下の例では、お客様管理の暗号化を使用して汎用データ・ボリュームを作成します。

curl -X POST \
"$vpc_api_endpoint/v1/volumes?version=2025-02-18&generation=2" \
-H "Authorization: Bearer $iam_token" \
-d '{
      "name": "my-volume-1",
      "iops": 100,
      "capacity": 20,
      "zone": {"name": "us-south-3"},
      "profile": {"name": "general-purpose"},
      "encryption_key":{"crn":"crn:[...key:...]"},
      "resource_group": {"id": "a342dbfb-3ea7-48d1-96e8-2825ec5feab4"}
    }

正常な応答は、次の例のようになります。

{
    "id": "8948ad59-bc0f-7510-812f-5dc64f59fab8",
    "crn": "crn:[...]",
    "name": "my-volume-1",
    "href": "https://us-south.iaas.cloud.ibm.com/v1/volumes/8948ad59-bc0f-7510-812f-5dc64f59fab8",
    "capacity": 20,
    "iops": 100,
    "encryption_key": {"crn": "crn:[...key:...]"},
    "encryption": "user_managed",
    "status": "available",
    "zone": {
        "name": "us-south-3",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/regions/us-south/zones/
         us-south-3"
    },
    "profile": {
        "name": "general-purpose",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/volume/profiles/general-purpose"
    },
    "resource_group": {
        "id": "a342dbfb-3ea7-48d1-96e8-2825ec5feab4",
        "href": "https://resource-controller.cloud.ibm.com/v2/resource_groups/
         a342dbfb-3ea7-48d1-96e8-2825ec5feab4",
        "name": "Default"
    },
    "storage_generation": 1,
    "volume_attachments": [],
    "created_at": "2025-02-18T16:03:22.000Z"
}

コンソールで顧客管理キーで暗号化されたブートボリュームを使用してインスタンスをプロビジョニングする

仮想サーバーインスタンスをプロビジョニングする際、ブートボリュームおよび追加するデータボリュームに対して、 お客様暗号化を指定することができます。 必要に応じて、インスタンスに関連付けられているボリュームに対して、プロバイダー管理の暗号化とお客様が管理する暗号化を組み合わせて使用することができます。

新しいブロック・ストレージ・ボリュームを使用してインスタンスを作成するには、以下のステップに従います。

1. IBM Cloud コンソールで、ナビゲーションメニュー アイコン インフラストラクチャ コンピュート > 仮想サーバーインスタンス をクリックします。

2. **「新規インスタンス」**をクリックし、必要なフィールドに入力します 詳しくは、仮想サーバー・インスタンスの作成を参照してください。

3. 「 ブートボリューム 」セクションには、4つの容量タイルが表示されています。 ほとんどのコンピューティングプロファイルでは、100 GB が事前選択されています。 「 カスタム 」タイル上の「 編集」アイコン をクリックして、 「ブートボリュームの編集」 サイドパネルを開きます。

   ボリュームの作成に第2世代のスナップショットを選択した場合、ボリュームの暗号化タイプとスナップショットの暗号化タイプが一致している必要があります。 スナップショットにプロバイダが管理する鍵がある場合は、鍵管理サービスの鍵を指定しないでください。

   1. 「 ブートボリュームの編集 」サイドパネルでは、ボリューム名を更新したり、以下の設定を行ったりすることができます。 リソースグループとゾーンは参考として表示されているだけで、変更することはできません。
      • 自動削除 ：デフォルトで有効になっています。 インスタンスが削除された後も音量を維持したい場合は、このスイッチを切り替えて無効にしてください。
      • タグ ：必要に応じて、ボリュームにユーザータグを追加します。
   2. 「 暗号化 」カードでは、プロバイダー管理による暗号化がデフォルトで有効になっています。 独自の暗号化キーを使用するには、トグルをクリックして「 お客様暗号化」を有効にしてください。 すでにKMSインスタンスとルートキーをお持ちの場合は、システムが自動的にそれらを選択し、キー管理サービスのインスタンス名とキー名を表示します。 選択内容を変更するには、 「 をクリックして、「 暗号化の設定 」サイドパネルを開きます。 暗号化キーを確認するには、以下のオプションから1つを選択してください：
      • インスタンスによる検索 ：このパネルには3つの手順があります：
        1. KMSインスタンスの選択 ：このリストには、利用可能な各 Key Protect インスタンスの名前、ID、タイプ（StandardまたはDedicated）、およびロケーションが表示されます。 インスタンスを選択し、「 選択 」をクリックします。 まだインスタンスをお持ちでない場合は、「 作成 」をクリックしてインスタンスをプロビジョニングしてください。
        2. 関連キー ：このリストには、利用可能な各ルートキーの名前、ID、最終更新日、エイリアス、およびキーリングが表示されています。 キーを選択し、「 選択 」をクリックしてください。 まだキーをお持ちでない場合は、「 新しいキーを作成 」をクリックしてください。
        3. 確認 ：キー管理サービス、インスタンスタイプ、インスタンス名、キー名など、選択内容を確認してください。 「 サービス認証 」セクションでは、 Block Storage for VPC と KMS インスタンス間の必要な認証がすでに設定されているかどうかが表示されます。 そうでない場合は、 Key Protect に認証情報を自動的に作成させるか、手動で作成することができます。 詳細については、「 Block Storage for VPC におけるサービス間認証の設定 」を参照してください。 「 確認 」をクリックして選択内容を適用し、「 起動ボリュームの編集 」サイドパネルに戻ります。
      • Locate by CRN ：ボリュームの暗号化に使用するお客様 CRNを入力します。 別のアカウントの CRK を使用している場合は、このオプションを選択します。 「選択 」をクリックして、「 インスタンスによる検索 」オプションで説明されている「 確認 」ステップに進みます。
   3. 変更が完了したら、「 保存 」をクリックして、インスタンスのプロビジョニングページに戻ります。

4. [ データボリューム ] セクションで、 [作成 ] をクリックしてデータボリュームを追加し、 お客様暗号化を指定できます。 「 データボリュームの作成 」ページで、必要な項目を入力し、「 暗号化 」セクションのトグルをクリックします。 変更が完了したら、**「アタッチ (Attach)」**をクリックします。

CLI から顧客管理キーで暗号化されたブートボリュームを持つインスタンスをプロビジョニングする

ibmcloud is instance-create コマンドを使用して、ブート・ボリュームとデータ・ボリュームに対して、お客様管理の暗号化を使用するインスタンスを作成します。 次の構文は、--boot-volume そして --volume-attach ボリュームを定義する JSON ファイルを含めるプロパティ。

ibmcloud is instance-create INSTANCE_NAME VPC ZONE_NAME PROFILE_NAME SUBNET --image-id IMAGE_ID [--boot-volume @BOOT_VOLUME_JSON_FILE] [--volume-attach @VOLUME_ATTACH_JSON_FILE]...

以下の BOOT_VOLUME_JSON_FILE の例では、ブート・ボリュームのプロパティーを定義しています。 encryption key プロパティには、 お客様暗号化におけるルートキーのCRNが含まれています。

{
   "name":"volume-attachment-1",
   "volume":{
      "name":"boot-volume-1",
      "capacity":250,
      "profile":{"name":"general-purpose"},
      "encryption_key":{"crn":"crn:[...key:...]"}
   },
   "delete_volume_on_instance_delete":true
}

以下の VOLUME_ATTACH_JSON_FILE の例では、10iops-tierプロファイルと顧客管理暗号化でデータボリュームを定義しています。

   {
      "name":"volume-attachment-1",
      "volume":{
         "name":"data-volume-1",
         "capacity":2000,
         "profile":{"name":"10iops-tier"},
         "encryption_key":{"crn":"crn:[...key:...]"}
      },
      "delete_volume_on_instance_delete":true
   }

APIを使用して顧客管理キーで暗号化されたブートボリュームを持つインスタンスをプロビジョニングする

以下のサンプル要求に示すように、 VPC API で /instances メソッドを呼び出すことによって、お客様管理の暗号化をプログラマチックに使用するブート・ボリュームを持つ仮想サーバー・インスタンスを作成できます。 encryption_key プロパティを使用して、 お客様ルートキー（CRK）を指定します。例では、 crn:[...key:...] と指定されています。

以下の例では、お客様管理の暗号化を行うブート・ボリュームと、お客様管理の暗号化を行う 2 つの 2 次ボリュームを使用して、インスタンスを作成しています。

curl -X POST \
 "$vpc_api_endpoint/v1/instances?version=version=2020-03-10&generation=2" \
 -H "Authorization: Bearer $iam_token" \
 -d '{
     "boot_volume_attachment":{
           "volume": {
              "name":"boot-volume-1",
              "profile": {"name": "general-purpose"},
              "encryption_key": {"crn": "crn:[...key:...]"}}},
     "volume_attachments": [
            {"volume": {
              "name": "my-volume-1",
              "capacity": 1500,
              "profile": {"name": "general-purpose"},
              "encryption_key": {"crn": "crn:[...key:...]"}}},
            {"volume": {
              "name": "my-volume-2",
              "capacity": 2000,
              "profile": {"name": "general-purpose"},
              "encryption_key": {"crn": "crn:[...key:...]"}}}],
     "image": {"id": "9aaf3bcb-dcd7-4de7-bb60-24e39ff9d366"},
     "keys": [{"id": "cf7678a3-d4fa-458b-993d-015bd4aeac80"}],
     "name": "my-test-vm2",
     "virtual_network_interface": {"subnet": {"id": "bea6a632-5e13-42a4-b4b8-31dc877abfe4"}},
     "profile": {"name": "cx2-2x4"},
     "vpc": {"id": "f0aae929-7047-46d1-92e1-9102b07a7f6f"},
     "zone": {"name": "us-south-3"}
    }'

正常な応答は、次の例のようになります。 ブートボリュームは、「 boot_volume_attachment 」と「 volume_attachment 」の両方に表示されます。

{
    "id": "eb1b7391-2ca2-4ab5-84a8-b92157a633b0",
    "crn": "crn:[...]",
    "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/eb1b7391-2ca2-4ab5-84a8-
     b92157a633b0",
    "name": "my-test-vm2",
    "bandwidth": 4000,
    "resource_group": {
        "id": "08b7af6d-41d9-435a-8b22-fd8f640863a5",
        "href": "https://resource-controller.cloud.ibm.com/v2/resource_groups/
         08b7af6d-41d9-435a-8b22-fd8f640863a5",
        "name": "Default"
    },
    "boot_volume_attachment": {
        "id": "a8a15363-a6f7-4f01-af60-715e85b28141",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/eb1b7391-2ca2-4ab5-
         84a8-b92157a633b0/volume_attachments/7389-a8a15363-a6f7-4f01-af60-
         715e85b28141",
        "name": "volume-attachment",
        "volume": {
            "id": "49c5d61b-41e7-4c01-9b7a-1a97366c6916",
            "crn": "crn:[...]",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/volumes/49c5d61b-41e7-
             4c01-9b7a-1a97366c6916",
            "name": "boot-volume-1"
        }
    },
    "created_at": "2020-04-20T16:11:57Z",
    "image": {
        "id": "9aaf3bcb-dcd7-4de7-bb60-24e39ff9d366",
        "crn": "crn:[...]",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/images/
         9aaf3bcb-dcd7-4de7-bb60-24e39ff9d366",
        "name": "ubuntu-amd64-1"
    },
    "memory": 4,
    "network_interfaces": [
        {
            "id": "7ca88dfb-8962-469d-b1de-1dd56f4c3275",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/e402fa1b-96f6-
             4aa2-a8d7-703aac843651/network_interfaces/7ca88dfb-8962-469d-b1de-
             1dd56f4c3275",
            "name": "helpless-profanity-unmixable-fool-hazard-staging",
            "primary_ipv4_address": "",
            "subnet": {
                "id": "bea6a632-5e13-42a4-b4b8-31dc877abfe4",
                "crn": "crn:[...]",
                "href": "https://us-south.iaas.cloud.ibm.com/v1/subnets/7389-bea6a632-
                 5e13-42a4-b4b8-31dc877abfe4",
                "name": "my-byok-vpc-subnet"
            }
        }
    ],
    "primary_network_interface": {
        "id": "7ca88dfb-8962-469d-b1de-1dd56f4c3275",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/e402fa1b-96f6-4aa2-
         a8d7-703aac843651/network_interfaces/7ca88dfb-8962-469d-b1de-1dd56f4c3275",
        "name": "network-interface-1",
        "primary_ipv4_address": "10.0.0.32",
        "subnet": {
            "id": "bea6a632-5e13-42a4-b4b8-31dc877abfe4",
            "crn": "crn:[...]",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/subnets/bea6a632-5e13-
             42a4-b4b8-31dc877abfe4",
            "name": "my-byok-vpc-subnet"
        }
    },
    "profile": {
        "name": "cx2-2x4",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/instance/profiles/cx2-2x4"
    },
    "status": "running",
    "vcpu": {
        "architecture": "amd64",
        "count": 2
    },
    "volume_attachments": [
        {
            "id": "a8a15363-a6f7-4f01-af60-715e85b28141",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/e402fa1b-96f6-
             4aa2-a8d7-703aac843651/volume_attachments/7389-a8a15363-a6f7-4f01-af60-
             715e85b28141",
            "name": "volume-attachment",
            "volume": {
                "id": "49c5d61b-41e7-4c01-9b7a-1a97366c6916",
                "crn": "crn:[...]",
                "href": "https://us-south.iaas.cloud.ibm.com/v1/volumes/49c5d61b-41e7-
                 4c01-9b7a-1a97366c6916",
                "name": "boot-volume-1"
            }
        },
        {
            "id": "e77125cb-4df0-4988-a878-531ae0ae0b70",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/e402fa1b-96f6-
             4aa2-a8d7-703aac843651/volume_attachments/7389-e77125cb-4df0-4988-a878-
             531ae0ae0b70",
            "name": "volume-attachment",
            "volume": {
                "id": "2cc091f5-4d46-48f3-99b7-3527ae3f4392",
                "crn": "crn:[...]",
                "href": "https://us-south.iaas.cloud.ibm.com/v1/volumes/2cc091f5-4d46-
                 48f3-99b7-3527ae3f4392",
                "name": "my-volume-2"
            }
        },
        {
            "id": "a7641494-5724-46de-9c72-c6b16971ddf4",
            "href": "https://us-south.iaas.cloud.ibm.com/v1/instances/e402fa1b-96f6-
             4aa2-a8d7-703aac843651/volume_attachments/a7641494-5724-46de-9c72-
             c6b16971ddf4",
            "name": "volume-attachment",
            "volume": {
                "id": "ec419496-d79e-4fca-bce7-b4be72e77654",
                "crn": "crn:[...]",
                "href": "https://us-south.iaas.cloud.ibm.com/v1/volumes/ec419496-d79e-
                 4fca-bce7-b4be72e77654",
                "name": "my-volume-2"
            }
        }
    ],
    "vpc": {
        "id": "f0aae929-7047-46d1-92e1-9102b07a7f6f",
        "crn": "crn:[...]",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/vpcs/f0aae929-7047-46d1-92e1-
         9102b07a7f6f",
        "name": "my-byok-vpc"
    },
    "zone": {
        "name": "us-south-3",
        "href": "https://us-south.iaas.cloud.ibm.com/v1/regions/us-south/zones/
         us-south-3"
    }
}

Terraform を使用した顧客管理の暗号化によるデータ ボリュームの作成

provider "ibm" {
  region = "eu-de"
}

resource "ibm_is_volume" "example" {
  name           = "my-example-volume"
  profile        = "custom"
  zone           = "us-south-1"
  iops           = 1000
  capacity       = 200
  encryption_key = "crn:v1:bluemix:public:kms:us-south:a/a1234567:e4a29d1a-2ef0-42a6-8fd2-350deb1c647e:key:5437653b-c4b1-447f-9646-b2a2a4cd6179"
}