VPC でのデータの保護

IBM Cloud® Virtual Private Cloud でデータを安全に管理するには、どのようなデータが保存され、暗号化されているかを理解する必要があります。また、保存されている個人データを削除する方法も知っておかなければなりません。サポートされているキー管理サービス（KMS）を利用することで、独自のルートキーによるデータ暗号化が可能になります。

Hyper Protect Crypto Services は非推奨となっています。顧客は既存のインスタンスを2027年3月20日まで使用できる。詳細については、「 IBM Cloud Hyper Protect Crypto Services の非推奨化」を参照してください。継続的な保護のため、既存の暗号化キーを専用 Key Protect インスタンスに移行することをご検討ください。詳細については、「移行ガイド」をご覧ください。

VPN for VPC は、VPN ゲートウェイ、接続、ポリシーの構成に必要なもの以外の顧客データを保管しません。 VPNゲートウェイを経由して送信されるデータは、 IBM によって暗号化されません。特定の VPN とポリシーの構成に関するデータは、転送中も保存中も暗号化されます。 VPN設定データは、APIまたはコンソールからのリクエストに応じて削除されます。

VPC でデータがどのように保管され暗号化されているか

デフォルトでは、すべてのブロック・ストレージ・ボリュームは IBM 管理の暗号化を使用して暗号化されます。IBM® 管理の鍵は、生成された後、Consul を基盤とするブロック・ストレージ・ボールトに安全に保管され、IBM Cloud® の運用によって保守されます。

セキュリティと管理性をさらに高めるために、独自のルートキー（お客様、CRKとも呼ばれます）を使用してデータを保護することができます。この機能は通常、Bring Your Own Key または BYOK と呼ばれます。ルート鍵は、データを保護する鍵を暗号化します。ルートキーを Key Protect にインポートするか、キー管理サービスに作成してもらうことができます。

Key Protect は、さまざまなセキュリティ要件やコンプライアンス要件に対応するため、2つの導入オプションを提供している：

スタンダード （マルチテナント）：FIPS 140-2 Level 3に準拠し、HSMインフラを共有する費用対効果の高いソリューション。 IBM は、HSM マスター・キーを管理する。
専用（シングルテナント）：FIPS 140-3 Level 4準拠（認証申請済み）、専用HSMパーティション、完全なワークロード分離によりセキュリティを強化。 IBM、管理者がアクセスすることなく、お客様自身がマスターキーを所有し、管理することができます。

StandardとDedicatedの選択についての詳細は、 StandardとDedicatedについて Key Protect をご覧ください。

KMS は、鍵を保管し、ボリュームおよびカスタム・イメージの暗号化中にその鍵を使用できるようにします。 Key Protect は、FIPS 140-2 レベル 3 準拠を提供します。鍵素材は、転送中 (移送されているとき) も保存中 (格納されているとき) も保護されます。

お客様管理の暗号化は、カスタム・イメージ、ブート・ボリューム、およびデータ・ボリュームに使用できます。暗号化されたカスタム・イメージからインスタンスがプロビジョンされると、このイメージのルート鍵を使用してそのブート・ボリュームが暗号化されます。別のルート鍵を選択することもできます。データ・ボリュームは、仮想サーバー・インスタンスをプロビジョンするとき、またはスタンドアロン・ボリュームを作成するときに、ルート鍵を使用して暗号化されます。

画像とボリュームはエンベロープ暗号化によってデータ暗号鍵を使用してデータを暗号化し、完全に管理可能なルート・キーを使用して鍵を暗号化するプロセス。暗号化され、データは複数の暗号化キーによって保護されます。暗号化技術とキーの階層構造の詳細については、 VPCのデータ暗号化についてを参照してください。

VPN for VPC とのすべての対話が暗号化されます。たとえば、API を使用したり、コンソールを通じてサービスとやり取りして VPN ゲートウェイや VPN 接続を設定したりする場合、そうしたすべてのやり取りはエンドツーエンドで暗号化されます。同様に、お客様の構成に関連するデータ要素は、転送中および保存中に暗号化されます。個人データや機密データは、保管、処理、送信されません。保存データは暗号化されたデータベースに保管されます。

VPN for VPC がプロビジョンされてネットワーク接続が作成された後、ネットワークを介して送信することを選択したデータの暗号化はユーザーの責任で行われます。

インスタンス・ストレージ・データの分離と暗号化

仮想サーバー・インスタンスに接続されているインスタンス・ストレージ・ディスクは、他の仮想サーバーと共有することはできません。インスタンス・ストレージのディスクは、今後他の仮想サーバーからはアクセスできない。これらのディスクは、インスタンスストレージを要求した仮想サーバー向けに、1回限りの使用で、1回のみ接続可能なものです。

インスタンス・ストレージのデータは、オンディスク暗号化を使用して保護されます。インスタンスのストレージに使用される物理ディスクは、強力な AES-256 暗号化規格による自己暗号化機能を備えています。インスタンスがデータにアクセスすると、データは自動的に復号されます。インスタンスがシャットダウンまたは削除されると、基盤のストレージ・スペースが消去され、復旧不能になります。この時点で、データは復旧不能になります。

データは、ドライブのレベルで物理メディア上で自動的に暗号化されます。ただし、お客様管理の鍵は、インスタンス・ストレージではサポートされません。機密データについては、 Linux® では LUKS、Windows® では BitLocker などのソフトウェアベースのファイルシステム暗号化を使用することを強く推奨します。この技術により、インスタンス内で完全に暗号化を行うことが可能となり、インスタンスと物理ドライブメディアの間で転送される機密データをさらに保護することができます。一部のオペレーティングシステムでは、FIPS認証を取得した暗号化アルゴリズムも提供されており、これらも利用可能です。 Red Hat Enterprise Linux® での暗号化方法の例については、 LUKSを使用したブロックデバイスの暗号化を参照のこと。各デバイスの暗号化方法については、オペレーティング・システムのマニュアルを参照してください。

VPC での機密データの保護

Key Protect 「エンベロープ暗号化」と呼ばれる、より高度な保護機能を提供します。これは、ある暗号鍵を別の暗号鍵で暗号化するものです。この多層的なアプローチは、お客様のデータが複数の鍵によって保護され、お客様だけがルート鍵へのアクセスを制御できるようにするのに役立ちます。

IBM Cloud® 内のKMSインスタンスに保存されているルートキーへのアクセスは、 IBM Cloud® Identity and Access Management （IAM）を使用して管理します。鍵を使用するためのアクセス権限をサービスに付与します。また、例えば鍵が漏洩した可能性があると感じた場合など、いつでもアクセス権を取り消すことができます。暗号化キーの管理の詳細については、データ暗号化の管理を参照してください。

VPN for VPC: お客様共有鍵は、データベースに保存される前に暗号化される。 VPN ゲートウェイと VPN ポリシー構成のその他のデータはすべて、保存中にデータベース・レベルで暗号化されます。

カスタマー・マネージド・キーについて

Key Protect を使用すると、ルートキーの作成、インポート、管理を行うことができます。 Key Protect には、以下の 2 つの導入オプションがあります：

標準：FIPS 140-2 Level 3準拠のマルチテナント・サービスで、お客様暗号化を必要とするほとんどのワークロードに適しています。
専用：FIPS 140-3 Level 4準拠（認証申請済み）のシングルテナント・サービスで、 IBM 管理者アクセスなしで暗号鍵を完全に管理できます。

アクセス・ポリシーを鍵に割り当てたり、ユーザーまたはサービス ID を鍵に割り当てたり、鍵へのアクセスを特定のサービスに対してのみ付与したりできます。価格については、 Key Protect の価格をご覧ください。

セキュリティ強化のため、ルートキーをローテーションすることができます。詳しくは、VPC リソースの鍵のローテーションを参照してください。

お客様管理の暗号化を使用することを選択する場合は、地域および地域間の影響を考慮してください。詳しくは、「地域および地域間の考慮事項」を参照のこと。

お客様管理の暗号化ボリュームとイメージについて

お客様管理の暗号化では、ルート鍵をプロビジョンしてクラウド内の暗号化リソースを保護します。ルート鍵は、データを保護する暗号鍵を暗号化する鍵ラッピング鍵として機能します。既存のルート鍵をインポートするか、サポートされている KMS でルート鍵を作成するかを判断します。

インスタンスのホスト・ハイパーバイザによって生成される一意のデータ暗号化キーが、 Block Storage ボリュームに割り当てられる。各ボリュームのデータ暗号鍵は、KMS が生成した固有の LUKS パスフレーズで暗号化されます。そして、そのパスフレーズがルート鍵によって暗号化され、KMS に保管されます。

カスタムイメージは、QEMU を使用して作成した独自の LUKS パスフレーズによって暗号化されます。イメージを暗号化したら、KMS に保管されている CRK でパスフレーズをラップします。詳しくは、暗号化カスタム・イメージを参照してください。

VPC でのお客様管理の鍵の有効化

お客様管理の暗号化を使用して Block Storage ブート・ボリュームおよびデータ・ボリュームを作成するには、以下の手順を参照してください。

Key Protect Dedicatedを選択した場合、VPCリソースの暗号化に使用する前に、まずCLIを使用してインスタンスを初期化する必要があります。詳細は専用機の初期化 Key Protect を参照。

VPC でのお客様管理の鍵の操作

データ暗号化の管理に関する詳細については、「データ暗号化の管理」および、ルートキーへのサービス認証を削除してアクセスを一時的に取り消す方法に関するセクションを参照してください。

IBM Cloud 外のお客様のワークロードと IBM Cloud 内のワークロードとの間のリンクの暗号化は、お客様の責任です。『セキュリティーおよび規制コンプライアンス』の_『暗号化』_を参照してください。

VPC でのデータの削除

ルート鍵の削除

ルート・キーを削除すると、そのキーで保護されているすべてのリソースが使用できなくなる。インポートしたルート鍵を復元するには、30日間の猶予期間がある。詳細については、データ暗号化の管理を参照してください。

Block Storage のボリュームの削除

Block Storage ボリュームの削除に関する詳細は、 Block Storage for VPC の FAQ をご覧ください。

カスタム画像の削除

IBM Cloud VPCからカスタム・イメージを削除する方法について詳しくは、カスタム・イメージの管理を参照してください。カスタム・イメージを使用してプロビジョンした仮想サーバー・インスタンスに注意してください。特定のカスタム・イメージに関連付けられたすべてのデータを削除するには、カスタム・イメージからプロビジョンされたすべてのインスタンスおよび関連するブート・ボリュームも、必ず削除するようにしてください。

プライベートカタログ提供の一部であるカスタム IBM Cloud VPC 画像を削除したい場合、まずその画像を関連するプライベートカタログ提供のバージョンから削除する必要があります。その後、カスタム画像をから削除できます IBM Cloud VPC。プライベート・カタログからカスタム・イメージを削除するには、プライベート製品の非推奨化を参照してください。

VPC インスタンスの削除

VPC およびそれに関連するリソースの削除に関する詳細については、「 VPC の削除」を参照してください。

サービスの削除後にデータが保持される期間については、VPC データ保持ポリシーに説明されています。データ保持ポリシーは、IBM Cloud® Virtual Private Cloud サービス記述書に含まれています。これは IBM Cloud のご利用条件と特記事項にあります。

VPN と VPN ポリシーの構成は、API またはユーザー・インターフェースによる要求時に削除されます。

VPC での削除されたデータの復元

KMS にインポートした削除済みのルート鍵は、削除後 30 日以内は復元できます。詳しくは、削除されたルート鍵の復元を参照してください。

VPN for VPC は、削除されたデータの復元をサポートしていません。

すべての VPC データの削除

IBM Cloud VPC が保管する永続データをすべて削除するには、以下のいずれかのオプションを選択します。

個人情報と機密情報を削除するには、すべての IBM Cloud VPC リソースも削除することが必要です。作業を進める前に、データがバックアップされていることを確認してください。

IBM Cloud サポート Case を開きます。 IBM サポートに問い合わせて、IBM Cloud VPC から個人情報と機密情報を削除してください。詳しくは、サポート・センターの使用を参照してください。
IBM Cloud サブスクリプションを終了します。 IBM Cloud サブスクリプションの終了後、IBM Cloud VPC により、作成したすべてのサービス・リソースが、それらのリソースに関連付けられているすべての永続データを含めて削除されます。