定義されたパフォーマンス・ボリューム・ファミリーはどこでプロビジョニングできますか？

利用可能なリージョンを選択してください 「 sdp 」プロファイルを使用したストレージのプロビジョニングは、ダラス、フランクフルト、ロンドン、マドリード、大阪、サンパウロ、シドニー、東京、トロント、およびワシントンD.C.の各リージョンで可能です。 詳細については、 「Block Storage for VPC について 」をご覧ください。

このリリースの sdp プロファイルでは、どのような機能がサポートされていますか？

このリリースでは、以下の操作を行うことができます：

• Block Storage ボリュームを作成し、容量とIOPSに加えてカスタムスループット制限を指定する。
• データボリュームに顧客管理による暗号化を追加。
• Block Storage ボリュームが仮想サーバーインスタンスにアタッチされている場合、またはアタッチされていない場合、作成後にそのボリュームの容量を拡張します。
• 仮想サーバーインスタンスにアタッチされている場合、またはアタッチされていない場合に、 Block Storage ボリューム作成後に IOPS を調整します。
• ボリュームが仮想サーバーインスタンスにアタッチされている場合、またはアタッチされていない場合の最大スループット制限を変更します。
• Block Storage ボリュームを仮想サービスインスタンスにアタッチする。
• プロバイダが管理する暗号化でカスタムイメージを作成。
• Block Storage のボリューム一覧を表示します。
• Block Storage のボリュームを削除します。

セキュアブートを使用したい場合、ブートボリュームに sdp プロファイルを使用できますか？

いいえ sdp プロファイルの第2世代ブートボリュームを使用する場合、セキュアブートはサポートされません。

Block Storage for VPC の現在のリリースでは、階層ボリュームプロファイルファミリおよびカスタムボリュームプロファイルファミリの第一世代ボリュームのみが、以下のインスタンスプロファイルファミリのいずれかのプロファイルを使用する仮想サーバーインスタンスのブートボリュームとして使用できます：

• Accelerated Gen 3- Gaudi, MI-300x, H100/H200 プロフィール。
• セキュアブートオプションが必要な場合は、 汎用 Gen 3 プロファイル。
• Confidential Computing - セキュア ブート オプションが必要な場合の Gen 3 プロファイル。

Intel Gen 3 または Confidential Computing の インスタンスプロファイルと sdp ブートボリュームを使用して仮想サーバーインスタンスをプロビジョニングする場合は、セキュアブートを有効にしないことを確認してください。

sdp プロファイルベースのストレージ・ボリューム内のデータはどのように保護されますか？

お客様のデータは、 IBM- 管理された暗号化またはお客様が管理する暗号化のいずれかを使用することにより、静止状態で保護されます。 転送中のデータも暗号化される。

Block Storage ボリュームを別のゾーンにコピーできますか？

いいえ ストレージボリュームを別のゾーンにコピーすることはできません。

定義されたパフォーマンス・ボリュームのデータ保持のためにスナップショットを作成できますか？

はい、個々のボリュームや一貫性グループのスナップショットを作成できます。

Block Storage for VPC はどのようにして Single Point of Failure を回避しますか? データの耐久性はどのようなメカニズムで確保していますか?

Block Storage for VPC のボリューム・データは、単一コンポーネントの障害によるデータ損失を防ぐために、アベイラビリティー・ゾーン内の複数の物理ディスクに冗長化して保管されます。

ボリュームはどのように作成され、インスタンスに接続されますか?

仮想サーバーインスタンスを作成する際、そのインスタンスにアタッチされる Block Storage for VPC ボリュームを作成 することができます。 また、スタンドアロン・ボリュームを作成して、後でそれらをインスタンスに接続することもできます。

プロビジョニング済みの Block Storage for VPC ボリュームを、最大でいくつのインスタンスが共有できますか？

Block Storage for VPC ボリュームは、一度に1つのインスタンスにのみアタッチできます。 複数のインスタンスで 1 つのボリュームを共有することはできません。

1つのインスタンスには、いくつのデータボリュームを接続できますか？

12個添付できますBlock Storage for VPCインスタンスごとのデータ ボリュームとブート ボリューム。

使用料金はどのように課金されますか?

Block Storage for VPC の料金は、 GiB の月間保存容量に基づいて計算されます。ただし、利用期間が1か月未満の場合はこの限りではありません。 ボリュームがアカウントに存在するのは、ボリュームを削除するか、請求サイクルの終わりに達するか、そのいずれかが先に発生するまでです。

異なるボリューム プロファイルを指定して、ボリューム容量を拡大 した場合や、IOPSを調整 した場合にも、価格は影響を受けます。 たとえば、ボリュームの容量を拡大するとコストが増加しますが、ボリュームのプロファイルを「5 IOPS/GB」のティアから「3 IOPS/GB」のティアに変更すると、月額料金および時間単位の料金が安くなります。 更新されたボリュームの請求方法が自動的に更新され、新しい価格の日割り額が現在の請求サイクルに加算されます。 その後、次の請求サイクルでは新しい金額全体が請求されます。

IBM Cloud コンソールの「コスト見積もりツール」 を使用して、容量と IOPS の変化がコストにどのように影響するかを確認できます。 詳しくは、コストの見積もりを参照してください。

価格情報はどこで確認できますか？

コンソールで、VPCプロビジョニング用ブロック・ストレージ・ボリューム ページに移動し、価格設定タブをクリックします。 価格設定タブでは、選択した地理、地域、および通貨に基づいて、各ボリュームプロファイルの価格プランの詳細を表示できます。 また、時間単位と月単位の料金を切り替えることもできます。

グローバルカタログAPIを 呼び出すことで、価格情報をプログラムで取得することができます。 詳しくは、ダイナミック・プライシングの取得 をご覧ください。

ストレージ容量はGBで測定されますか？ GiB?

ストレージの混乱を招く 1 つの側面として、ストレージ容量と使用量が報告される単位があります。 場合によっては、GB は実際にはギガバイト (base-10) であり、GB はギビバイト (base-2) を表すことがあります。これは、 GiBと省略する必要があります。

人間は通常、10 進数 (base-10) システムで数値を計算します。 当社の文書では、業界標準の用語に合わせるため、GB（ギガバイト）という単位を使ってストレージ容量を表記しています。 コンソール、CLI、API、Terraformでは、キャパシティを問い合わせると、使用されたGB単位が表示されます。 4 TB のボリュームを注文する場合は、プロビジョニング要求に 4,000 GB を入力します。

ただし、コンピューターはバイナリーで作動するため、 base-2のメモリー・アドレス・スペースなどの一部のリソースを表す方がより意味があります。 1984 年以降、コンピューター・ファイル・システムでは、メモリーに合わせてサイズが base-2 で示されています。 当時、使用可能なストレージ・デバイスは小さく、2 進単位と 10 進単位のサイズの差はごくわずかでした。 使用可能なストレージ・システムがかなり大きくなると、このユニットの差が原因で混乱が生じています。

GB と GiB の違いは、以下のように数値表現にあります。

• GB (ギガバイト) は 10 進数の単位で、1 GB は 1,000,000,000 バイトです。 GB を TB に変換する場合は、乗数として 1000 を使用します。
• GiB (Gibibyte) はバイナリー単位で、1 GiB は 1,073,741,824 バイトです。 変換するとGiBにTiB,乗数として 1024 を使用します。

以下の表は、10 進単位と 2 進単位で表された同じバイト数を示しています。

ストレージ・システムは、ボリューム割り振りに base-2 単位を使用します。 そのため、ボリュームが 4,000 GB としてプロビジョンされている場合、実際には 4,000 GiB (4,294,967,296,000 バイトのストレージ・スペース) になります。 プロビジョンされたボリュームのサイズが 4 TB を超えています。 ただし、オペレーティングシステムによっては、ストレージサイズが次のように表示されることがあります。 3.9 Tは使用するためbase-2変換とTはTiB,結核ではありません。

OS に表示される利用可能容量が、プロビジョンした容量と一致しないのはなぜですか?

理由の 1 つとして、オペレーティング・システムが base-2 変換を使用していることが考えられます。 例えば、UI で 4000 GB のボリュームをプロビジョンすると、ストレージ・システムは 4,000 GiB ボリュームまたは 4,294,967,296,000 バイトのストレージ・スペースを予約します。 プロビジョンされたボリュームのサイズが 4 TB を超えています。 ただし、オペレーティングシステムによっては、ストレージサイズが次のように表示されることがあります。 3.9 Tは使用するためbase-2変換とTはTiB,結核ではありません。

次に、 Block Storage をパーティション化してファイル・システムを作成すると、使用可能なストレージ・スペースが削減されます。 フォーマットによって容量が減る量は、フォーマットの種類やシステム上のさまざまなファイルの量やサイズによって異なる。

例えば、ボリューム docs-block-test3 を例として考えてみます。 プロビジョニング時に 1200 GB を指定しました。CLI で詳細をリストすると、1200 の容量があることが分かります。

ibmcloud is volume r006-6afe1361-b592-45ab-b23b-6cca9982e371

Getting volume r006-6afe1361-b592-45ab-b23b-6cca9982e371 under account Test Account as user test.user@ibm.com...
ID                                     r006-6afe1361-b592-45ab-b23b-6cca9982e371
Name                                   docs-block-test3
CRN                                    crn:v1:bluemix:public:is:us-south-2:a/1234567::volume:r006-6afe1361-b592-45ab-b23b-6cca9982e371
Status                                 available
Attachment state                       attached
Capacity                               1200
IOPS                                   3600
Bandwidth(Mbps)                        471
Profile                                general-purpose
Encryption key                         -
Encryption                             provider_managed
Resource group                         defaults
Created                                2023-08-24T02:32:40+00:00
Zone                                   us-south-2
Health State                           ok
Volume Attachment Instance Reference   Attachment type   Instance ID                                 Instance name        Auto delete   Attachment ID                               Attachment name
                                       data              0727_e99798c7-9783-4f92-8207-96af48561454   docs-demo-instance   false         0727-bc38ec2b-a566-412f-8f76-8eefe5fc9f2c   untaken-senior-coronary-accurate
Active                                 true
Adjustable IOPS                        false
Busy                                   false
Tags                                   dev:test

サーバーのコマンド・ラインからストレージ・デバイスをリストすると、サイズが 1.2Tの vdc と同じボリュームが表示されます。 T はテビバイト (2 ^ 40 ^ に等しい base-2 単位) を表します。

[root@docs-demo-instance ~]# lsblk
NAME   MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
vda    253:0    0  100G  0 disk
├─vda1 253:1    0  200M  0 part /boot/efi
└─vda2 253:2    0 99.8G  0 part /
vdb    253:16   0 69.9G  0 disk
vdc    253:32   0  1.2T  0 disk /myvolumedir
vdd    253:48   0  370K  0 disk
vde    253:64   0   44K  0 disk

同じ vdc ドライブが ext4 ファイル・システムでフォーマットされている場合、1181679068 K の使用可能容量が表示されます。 それは正常であり、期待されています。

[root@docs-demo-instance ~]# df -hk
Filesystem      1K-blocks    Used  Available Use% Mounted on
devtmpfs          3993976       0    3993976   0% /dev
tmpfs             4004356       0    4004356   0% /dev/shm
tmpfs             4004356   33316    3971040   1% /run
tmpfs             4004356       0    4004356   0% /sys/fs/cgroup
/dev/vda2       102877120 1182048   96446100   2% /
/dev/vda1          204580   11468     193112   6% /boot/efi
/dev/vdc       1238411052   72148 1181679068   1% /myvolumedir
tmpfs              800872       0     800872   0% /run/user/0

作成できるボリュームの数に制限はありますか?

1つのリージョン内の アカウントにつき、 Block Storage for VPC ボリューム（データ用およびブート用）を合計で最大300個作成できます。 この 割り当て量 を増やすには、 サポート Case を開き、追加のボリュームが必要なゾーンを指定します。

特定の容量でデータボリュームを作成した後、後で容量を増やすことはできますか?

仮想サーバーインスタンスにアタッチされているデータボリュームの容量を増やすことができます。 ボリュームのプロファイルに応じて、1 GB 単位で容量を指定できます (最大 16,000 GB まで)。 詳しくは、 Block Storage for VPC ボリューム容量の増加 を参照してください。

ブートボリュームの容量を増やすことはできますか？

ブート・ボリューム容量は、インスタンスのプロビジョニング中に増やすことも、後でブート・ボリュームを直接変更することによって増やすこともできます。 general-purpose や custom などの第一世代ボリューム・プロファイルを使用するブート・ボリュームの最大容量は 250 GB です。 第2世代の sdp プロファイルを使用する場合、ブートボリュームサイズは最大32,000GBまで可能です。 この機能は、ストックイメージまたはカスタムイメージから作成されたインスタンスに適用されます。 インスタンステンプレートを作成する際、ブートボリュームの容量をより大きく指定することもできます。 詳細については、 ブートボリュームの容量を増やすを 参照してください。

既存のインスタンスのブート・ボリューム容量を変更できますか?

はい。既存のインスタンスのブート・ボリューム容量を増やすことができます。 たとえば、コンソールで「 Block Storage for VPC 」ボリュームのリストからブートボリュームを選択し、ボリュームの詳細ページからそのボリュームのサイズを変更します。 詳細については、 コンソールの Block Storage for VPC ボリュームリストからブートボリュームの容量を増やすを 参照してください。 CLI または API を使用することもできます。

アカウントでプロビジョンできるボリュームはいくつですか?

1つのリージョンにつき、 アカウントあたり最大300個の Block Storage for VPC ボリュームをプロビジョニングできます。 サポートケースを開き、容量の増量が必要なリージョンを指定することで、クォータの増量をリクエストできます。 Block Storage for VPC のボリュームを注文する場合、またはボリュームや容量の上限の引き上げをリクエストする場合のサポートケースの作成方法の詳細については、 ボリューム数と容量制限の管理 を参照してください。

マルチゾーン・クラスターで共有ストレージをセットアップできますか?

IBM Cloud® では、ストレージの選択肢はアベイラビリティゾーン内に限定されます。 複数のゾーンにまたがる共有ストレージの管理は行わないでください。

その代わり、複数のゾーンやリージョンでデータを共有する必要がある場合は、地域ストレージリポジトリや IBM® Cloudant® for IBM Cloud® など、VPC外の IBM Cloud® クラシックサービスオプションを使用してください。

クラシック・インフラストラクチャーにボリュームがあります。 それらを VPC に移植できますか?

いいえ VPC は、マルチゾーン・リージョン内の新規のアベイラビリティー・ゾーンへのアクセスを提供します。 コンピュート・リソース、ネットワーク・リソース、およびストレージ・リソースは、VPC で機能するように設計されています。

既存のブートボリュームからカスタムイメージを作成できますか?

はい、カスタムイメージを直接作成できます。 Block Storage for VPCブートボリューム。 その後、そのカスタムイメージを使用して、他の仮想サーバーインスタンスをプロビジョニングすることができます。 詳しくは、ボリュームからのイメージの作成についてを参照してください。

インスタンスのブート・ディスクはどのように作成されますか? 仮想マシン・イメージとどのように関係しますか?

ブート・ボリュームは、仮想サーバー・インスタンスをプロビジョンするときに作成されます。 インスタンスのブートディスクは、選択された仮想マシンイメージの完全なコピー（クローン）です。 ブートディスクには、オペレーティングシステムと、インスタンスの起動に必要な追加ソフトウェアが含まれています。 仮想マシンイメージは、複数のインスタンスを作成するために使用できるテンプレートである。 ほとんどのストックイメージの場合、ブートボリュームの容量は100 GBです。 CLI、API、または Terraform を使用してカスタムイメージをインポートする場合、ブートボリュームの容量は、ボリュームプロファイルとイメージが必要とするものに応じて、10～250 GB または 10～32,000 GB になります。 10 GB より小さいイメージは 10 GB に切り上げられます。

Block Storage for VPC ボリュームはいつ削除できますか？

Block Storage for VPC のボリュームは、仮想サーバーインスタンスにアタッチされていない場合にのみ削除できます。

データ ボリュームを削除する前にデタッチする 必要があります。 また、コンソール、CLI、またはAPIから「 自動削除 」機能を有効にすることもできます。 「自動削除」が有効になっている場合、インスタンスとともにデータボリュームも削除されます。

デフォルトでは、インスタンスが削除されると、ブートボリュームは切り離され、削除されます。 ブートボリュームを残しておきたい場合は、「 自動削除 」機能を無効にしてください。 詳細については、「 Block Storage for VPC ボリュームの管理 」を参照してください。

Block Storage for VPC のデータボリュームを削除すると、データはどうなりますか？

Block Storage for VPC のボリュームを削除すると、データには直ちにアクセスできなくなります。 そのボリューム上のデータを指すポインターはすべて削除されます。 新しいデータがデータ・ブロックに書き込まれていくと、アクセス不能なデータはやがて上書きされます。 IBM は、削除されたデータがアクセス不能になることと、削除されたデータが最終的に上書きされることを保証します。 詳しくは、 Block Storage for VPC データの除去 を参照してください。

データ削除のコンプライアンス要件があります。 自分のデータにアクセスされないようにするには、どうすればよいでしょうか？

IBM これにより、お客様のデータが物理ディスク上でアクセス不能となり、最終的に 完全に消去 されることが保証されます。 NIST 800-88 Guidelines for Media Sanitization などの追加のコンプライアンス要件がある場合は、ボリュームを削除する前にお客様がデータ・サニタイズ手順を実行する必要があります。 詳細については、 NIST 800-88「メディアの消去に関するガイドライン 」を参照してください。

ボリューム名にはどのようなルールが適用されますか? 後でボリュームの名前を変更できますか?

有効なボリューム名には、英小文字および数字 (a-z、0-9) とハイフン (-) を組み合わせて最大 63 文字まで含めることができます。 ボリューム名は小文字で始まる必要があり、VPC インフラストラクチャー全体で固有でなければなりません。

コンソールでは、既存のボリュームの名前を変更することができます。 詳しくは、 Block Storage for VPC を参照してください。

期待される処理能力を達成するには、容器を予熱する必要がありますか？

ボリュームをプリウォームする必要はありません。 イメージからボリュームを作成するときに、ボリュームをプロビジョニングするとすぐに、指定されたスループットを確認できます。

Gen 1スナップショットからリストアしてボリュームをプロビジョニングすると、パフォーマンスが低下することがあります。 高速リストアスナップショットクローンからリストアされたGen 1ボリュームは、すぐに操作可能です。

Block Storage for VPC のスナップショットとは何ですか？

スナップショットとは、 Block Storage for VPC のブートボリュームまたはデータボリュームの特定の時点におけるコピーであり、手動で作成するものです。 最初のスナップショットは、ボリュームのフルバックアップです。 同じボリュームのその後のスナップショットでは、前回のスナップショット以降の変更部分のみがキャプチャされます。 詳しくは、 Block Storage for VPC Snapshots for VPC について を参照してください。

バックアップ・スナップショットとは何ですか?

バックアップ・スナップショット (単に「バックアップ」と呼ばれる) は、Backup for VPC サービスによって自動的に作成されるスナップショットです。 詳しくは、Backup for VPC についてを参照してください。

災害復旧のためのデータのバックアップについては、どうすればよいのでしょうか?

Block Storage for VPC は、リージョン内の複数の冗長障害ゾーンにわたってデータを保護します。 バックアップ・サービス を使用することにより、セットアップしたスケジュールに基づいてボリューム・データを定期的にバックアップすることができます。 バックアップ・スナップショットは、1 時間程度の頻度で作成できます。 ただし、バックアップ・サービスでは、自動フェイルオーバーを使用した継続的なバックアップは提供されません。バックアップまたはスナップショットからのボリュームのリストアは、時間がかかる手動操作です。 自動災害復旧のためにより高いレベルのサービスが必要な場合は、 IBMの クラウド災害復旧ソリューション を参照してください。

スナップショットからボリュームを復元することはできますか？

スナップショットからの復元を行うと、完全にプロビジョニング済みの新しいブートボリュームまたはデータボリュームが作成されます。 ストレージ・ボリュームは、インスタンスの作成時、インスタンスの変更時、または新規スタンドアロン・ボリュームのプロビジョン時にリストアできます。 データ・ボリュームの場合、 volumes API を使用してスナップショットからデータ・ボリュームを作成することもできます。 詳しくは、スナップショットからのボリュームのリストアを参照してください。

最良のパフォーマンスを得るために、スナップショットを高速リストア用に使用可能にすることができます。 高速リストア機能を使用すると、ボリュームの作成時に完全にプロビジョンされたスナップショットからボリュームを作成できます。 詳しくは、 スナップショットの高速リストア を参照してください。

ボリュームにタグを追加できますか?

はい、ボリュームにユーザー・タグとアクセス管理タグを追加できます。 ユーザー・タグは、ボリュームのバックアップ・スナップショットを自動的に作成するために、バックアップ・サービスによって使用されます。 アクセス管理タグは、 Block Storage for VPC ボリュームへのアクセスを編成するのに役立ちます。 詳しくは、 Block Storage for VPC ボリュームのタグ を参照してください。

IOPS とは何ですか? また、IOPS は Block Storage for VPC ボリューム・パフォーマンスとどのように関連していますか?

1秒あたりの入出力操作数（IOPS）は、 Block Storage for VPC ボリュームのパフォーマンスを測定するために使用されます。 IOPS の値は、読み取り/書き込み操作のバランス、キューの深さ、データ・ブロックのサイズなどのいくつかの変数の影響を受けます。 一般的に、 Block Storage for VPC ボリュームのIOPSが高いほど、パフォーマンスは向上します。 Block Storage for VPC プロファイルで予期される IOPS について詳しくは、 プロファイル を参照してください。 ブロックサイズがパフォーマンスに与える影響に関する詳細については、「 Block Storage の容量とパフォーマンス 」を参照してください。

割り振られた IOPS はインスタンス単位で適用されるのですか、ボリューム単位で適用されるのですか?

IOPS は、ボリューム・レベルで適用されます。

ボリュームプロファイルとは何ですか？また、それはボリュームパフォーマンスにどのような影響を与えるのでしょうか？

ボリュームプロファイルは、さまざまな容量のボリュームにおけるIOPS/GBのパフォーマンスを定義します。 この sdp プロファイルは、容量、カスタムIOPS、および帯域幅の値に最も柔軟性を提供します。 お客様のワークロード要件に対して信頼性の高いIOPSパフォーマンスを提供する3つの定義済み IOPSティアから 選択できます。 カスタム プロファイルを選択し、IOPSと容量を指定することもできます。 カスタム IOPS は、事前定義された IOPS ティアの範囲に収まらない、明確に定義されたパフォーマンス要件がある場合に適しています。

データ・ボリュームの最大 IOPS は、ボリューム・サイズおよび選択するプロファイルのタイプによって異なります。

IOPSは、16 KBのブロックを用いた負荷プロファイルに基づき、ランダムに50％が読み取り、50％が書き込みとなる条件下で測定されます。 このプロファイルと異なるワークロードでは、パフォーマンスが低下する場合があります。 ブロックサイズを小さくすると、最大IOPSは得られるものの、スループットは低下します。 詳しくは、 ブロック・サイズがパフォーマンスに与える影響を参照してください。

ボリュームの正常性が低下状態になるとどうなりますか?

ボリュームの健全性状態は、そのステータスに基づいて、ボリュームが期待通りに動作しているかどうかを定義します。 ボリュームの正常性は、何が起こっているかに応じて、OK、機能低下、適用不能、または障害が発生している可能性があります。 例えば、ボリュームがスナップショットからリストアされていて、ボリュームがまだ完全にリストアされていない場合は、劣化状況が表示されます。 ボリュームの正常性の状態について詳しくは、 Block Storage for VPC ボリュームの正常性の状態 を参照してください。

Block Storage for VPC ボリューム内のデータはどれくらいセキュアですか?

Block Storage for VPC のすべてのボリュームは、 IBM による管理型暗号化により、保存時に暗号化されます。 IBM-管理対象のキーは、Consulを基盤とし、 IBM Cloud® の運用チームによって管理されている Block Storage for VPC のVault内で生成され、安全に保管されます。 暗号化に IBM が準拠して IBM Cloud® 業界標準プロトコルの詳細については、 IBM 管理の暗号化を 参照してください。

セキュリティーを強化するために、お客様自身のカスタマー・ルート鍵 (CRK) を使用してデータを保護することができます。 サポートされているキー管理サービス（KMS）にルートキーをインポートするか、またはそのサービス内でルートキーを作成することができます。 お客様のルートキーは、サポート対象のKMSによって安全に管理されています。 鍵素材は、転送中も保存中も保護されます。

詳しくは、お客様が管理する暗号化に対応する鍵管理サービスを参照してください。 お客様管理の暗号化を構成する方法については、以下を参照してください。 お客様管理の暗号化を使用した Block Storage for VPC ボリュームの作成。

IBM Cloud® 内のKMSインスタンスに保存されているルートキーへのアクセスは、 IBM （IAM） Cloud Identity and Access Management を使用して管理します。 IBM （ Block Storage for VPC ）サービスに対し、お客様のキーを使用するためのアクセス権を付与します。 この API を使用して、ルート鍵を保持する 1 次アカウントを 2 次アカウントにリンクし、その鍵を使用して 2 次アカウント内の新規ボリュームを暗号化することができます。 詳しくは、 マルチテナント・ストレージ・リソースのアカウント間の暗号化 を参照してください。

また、例えば鍵が漏洩した可能性があると感じた場合など、いつでもアクセス権を取り消すことができます。 ルート鍵を無効にしたり削除したりすることもできます。鍵に関連付けられているクラウド上のデータへのアクセスを一時的に取り消すこともできます。 詳細については、 データ暗号化の 管理を参照してください。

お客様管理の暗号化を使用するほうが IBM 管理の暗号化に勝る利点としては何がありますか?

お客様暗号化では、お客様自身のルートキーを使用して、 Block Storage for VPC のボリュームに対してエンベロープ暗号化が適用されます。 データのセキュリティを完全に制御し、キーへのアクセスを管理し、必要に応じてキーをローテーションおよび取り消すことができます。 詳しくは、お客様管理の暗号化の利点を参照してください。

お客様管理の暗号化で使用される暗号化テクノロジーは何ですか?

VPC の仮想ディスク・イメージでは、QEMU Copy On Write バージョン 2 (QCOW2) ファイル形式が使用されます。 この QCOW2 形式のファイルは、LUKS 暗号化形式で保護されます。 IBM は現在、LUKS で AES-256 暗号スイートおよび XTS 暗号モード・オプションを使用しています。 この組み合わせによって、AES-CBC よりもはるかに高いレベルのセキュリティーが実現され、鍵のローテーションのためのパスフレーズの管理性が向上し、鍵が漏洩した場合に鍵を置換するオプションも利用可能になっています。

マスター暗号化キーとは何ですか？また、それらは Block Storage for VPC のボリュームにどのように割り当てられるのですか？

一意のマスター暗号化キーが各ボリュームに割り当てられ、データ暗号化キーまたはDEKと呼ばれ、インスタンスのホストハイパーバイザによって生成される。 Block Storage for VPC の各ボリュームのマスターキーは、KMSによって生成された一意のLUKSパスフレーズで暗号化され、その後、 お客様ルートキー（CRK）によって暗号化されてKMSに保存されます。 パスフレーズは AES-256 の暗号鍵であり、つまり長さは32バイトで、表示可能な文字に限定されない。 ボリュームの暗号化に使用されている CRK のクラウドリソース名 (CRN) を確認できます。 一方、CRK、LUKS パスフレーズ、およびボリュームのマスター暗号鍵が公開されることは決してありません。 IBM の VPC でデータの保護に使用されるすべての鍵について詳しくは、IBM 暗号化テクノロジー - データの保護方法を参照してください。

ボリュームにお客様管理の暗号化を使用しています。 ルート鍵を使用不可にしたり削除したりするとどうなりますか?

それらのアクションは、2 つの異なる別々のアクションになります。 KMS でルート鍵を使用不可にすると、その暗号化と復号の操作が一時停止され、鍵は一時停止された状態になります。 ワークロードは引き続き仮想サーバーインスタンス上で実行され、ブートボリュームは暗号化されたままです。 データ・ボリュームの接続は引き続き維持されます。 ただし、VM の電源を切って再びオンにする場合には、ブート・ボリュームが暗号化されているインスタンスは起動しません。 一時停止状態のルート鍵を使用可能化すると、通常の操作を再開できます。 詳しくは、ルート鍵の無効化を参照してください。

ルート鍵を削除すると、重大な影響があります。 ルート鍵を削除すると、VPC 内のすべてのリソースでのその鍵の使用が消去されます。 デフォルトで KMS では、リソースをアクティブに保護しているルート鍵がユーザーによって削除されないようになっています。 それでも、ルート鍵を強制的に削除することは可能です。 KMS にインポートした削除済みルート鍵を復元できる時間は限られています。 詳しくは、ルート鍵の削除を参照してください。

Cloud Block Storage for VPC からKMSへのIAM認証を削除しても、 お客様暗号化が適用された Block Storage for VPC ボリュームを削除することはできますか？

BYOK ボリューム (またはイメージ) を削除する前に IAM 許可を削除すると、KMS インスタンスでルート・キーを登録抹消せずに削除操作が完了します。 つまり、存在しないリソースに対してルートキーが登録されたままになってしまうのです。 必ず、BYOK リソースを削除してから、IAM 許可を削除するようにしてください。 サービス許可の安全な削除について詳しくは、ルート鍵のサービス許可の削除を参照してください。

ルートキーが漏洩してしまった場合、どうすればよいですか？

データをお客様自身でバックアップしてください。 次に、侵害されたルートキーを削除し、そのキーで暗号化されているボリュームを持つインスタンスの電源を切ります。

また、スケジュールに従って鍵を自動的にローテートする鍵ローテーション・ポリシーを設定することも検討してください。 詳しくは、VPC リソースの鍵のローテーションを参照してください。

鍵のローテーションとは何ですか？

「 IBM Cloud VPC 」のリソース（ Block Storage for VPC のボリュームなど）で、 お客様ルートキー（CRK）によって保護されているものについては、セキュリティをさらに強化するためにルートキーをローテーションすることができます。 定期的に、またはオンデマンドでルート鍵をローテートすると、元の鍵素材が置き換えられます。 古い鍵は、既存のボリュームの復号にはまだ有効なままですが、新しいボリュームの暗号化には使用できません。 詳しくは、VPC リソースの鍵のローテーションを参照してください。

鍵のローテーションの仕組みを教えてください。

Block Storage for VPC ボリュームなどのお客様暗号化リソースでは、ルートキー（CRK）が「信頼の根源」となるキーとして使用され、このキーによってLUKSパスフレーズが暗号化され、さらにそのLUKSパスフレーズによって、ボリュームを保護するマスターキーが暗号化されます。 お客様所有の CRK を鍵管理サービス (KMS) のインスタンスにインポートすることも、KMS で CRK を自動生成することもできます。 ルート鍵は、KMS インスタンス内でローテートされます。

ルート鍵をローテートするときには、新しい暗号鍵素材を生成またはインポートして、新しいバージョンの鍵を作成します。 古いルート鍵はリタイアされます。リタイアとは、古い鍵の鍵素材が、既存のボリュームの復号にはまだ使用できるが、新しいボリュームの暗号化には使用できなくなることを意味します。 新しいリソースは、最新の鍵で保護されます。 詳しくは、鍵のローテーションの仕組みを参照してください。

お客様管理の暗号化を使用するには料金がかかりますか?

お客様管理の暗号化を使用したボリュームの作成に、追加料金はかかりません。 ただし、 Key Protect インスタンスをセットアップして、ルートキーをインポート、作成、管理するには、一定のコストがかかります。 詳細については、IBM お客様サービス担当員にお問い合わせください。

プロバイダー管理の暗号化のボリュームをお客様管理の暗号化に変換することはできますか ?

いいえ。ボリュームをプロビジョンして暗号化タイプを指定した後に変更することはできません。