データ暗号化の計画

独自のルートキーを使用して、ストレージボリューム、スナップショット、ファイル共有、およびカスタムイメージに対する、 お客様暗号化を計画してください。 FIPS 140-2 レベル 3 およびレベル 4 に準拠しています。

データ暗号化の計画

VPC のリソースにデータ暗号化をセットアップする前に、以下の前提条件を考慮してください。

データ暗号化計画のチェックリスト
項目 考慮事項
暗号化タイプ データの暗号化について、どの程度の制御を行いたいかを検討してください。 IBM 管理の暗号化 は、ブート・ボリューム、データ・ボリューム、およびファイル共有用にデフォルトで提供されています。 顧客管理型暗号化 では、暗号化キーを所有し、暗号化プロセスを管理します。
カスタム・イメージ 暗号化されたカスタムイメージについては、イメージの要件や対応OSを確認し、 QCOW2 のカスタムイメージファイルの作成およびインポート方法についてご確認ください。 詳しくは、カスタム・イメージの計画を参照してください。
キー管理サービス お客様のニーズに最も適した 鍵管理サービス を見極めてください。 使用するリージョンおよびゾーンで、それらのサービスが提供されているかどうかを調べます。 Key Protect、 Standard （FIPS 140-2 Level 3を備えたマルチテナント）または Dedicated （FIPS 140-3 Level 4を備えたシングルテナント）のいずれかを選択します。 規制要件、データの機密性、予算、信頼の根源を完全に管理する必要があるかどうかを考慮する。 詳しくは、 標準および専用について Key Protect をご覧ください。
アカウントとアクセス ごアカウントアクセスを承認できるかどうかを確認してください：
「 ソースサービス 」として「 Cloud Block Storage 」を使用する場合、 アカウント 従量課金制へのアップグレード アカウントまたはアカウントである必要があります。 詳しくは、IBM Cloud のアカウント・タイプを参照してください。

「 File Storage for VPC 」については、（ソースサービス）で「VPC Infrastructure Services」を指定し、（リソースタイプ）のチェックボックスをオンにして、「 File Storage for VPC 」および「 Key Protect 」（ターゲットサービス）を選択してください。

カスタム画像については、「Image Service for VPC」（送信元サービス）と「 IBM Cloud Object Storage 」（宛先サービス）間のアクセスを許可してください。 役割の読者権限を指定します。

すべてのVPCソースサービスについて、リソースグループによるフィルタリングは行わないでください。 リソースグループのチェックボックスは選択しないでください。
鍵のローテーション お客様暗号化をお客様する場合は、セキュリティを強化するために、複数のルートキーをインポートまたは作成し、 キーをローテーションすることを ご検討ください。
命名規則 仮想サーバーインスタンス、ボリューム、およびファイル共有には、一意の名前を付けるようにしてください。 例えば、お客様管理の暗号化を使用するボリュームの命名方式を定めておくと、後でボリュームをフィルタリングしたり検索したりするのが非常に簡単になります。
保存およびアクセス リソースをどのくらいの期間保持するか、また何らかの理由で データへのアクセスを制限 する必要があるかどうかを決定してください。

お客様管理の暗号化をセットアップするための前提条件

VPC リソースのお客様暗号化を設定するには、以下の前提条件を満たしてください。

一般的なセットアップ手順

VPCリソースにお客様暗号化を設定するには、以下の手順を実行します：

  1. ルート鍵の生成または作成- オンプレミスのHSMを使用してルート鍵を生成するか、 IBM Cloud 鍵管理サービスを使用してルート鍵を作成することができます。

  2. 鍵管理サービス（KMS）のプロビジョニング- ニーズに最適なKMSを選択し、インスタンスをプロビジョニングする。

  3. ルートキーをインポートする- KMS を使用して、ルートキーをクラウドサービスに安全にインポートしてください。 セキュリティーを高めるために、KMS でインポート・トークンを作成し、ルート鍵を暗号化してサービスにインポートしてください。

  4. サービスアクセスの承認- IBM Cloud® Identity and Access Management (IAM) から、VPC リソースサービス ( Cloud Block Storage や Cloud File Storage など) と KMS 間のサービスを承認します。 カスタム画像の場合は、VPC用イメージサービス（送信元サービス）と IBM Cloud Object Storage （送信先サービス）の間でもアクセス許可を設定してください。

  5. 暗号化されたリソースの作成- ボリューム、ファイル共有、カスタムイメージのインポートの際には、ルートキーを指定します。 IBM Cloud VPCインフラストラクチャは、パスフレーズをラップしてデータを保護するためにルート鍵を使用します。

  6. キーの管理- セットアップ後、キーの無効化、有効化、回転、削除など、キーの管理ができます。 詳細については、 データ暗号化の 管理を参照してください。

ブロック・ストレージとファイル・ストレージの前提条件

キー管理サービス（KMS）をプロビジョニングし、VPCリソースとKMS間のアクセスを許可します。

Hyper Protect Crypto Services は非推奨となっています。 顧客は既存のインスタンスを2027年3月20日まで使用できる。 詳細については、「 IBM Cloud Hyper Protect Crypto Services の非推奨化 」を参照してください。 継続的な保護のため、既存の暗号化キーを専用 Key Protect インスタンスに移行することをご検討ください。 詳細については、「 移行ガイド 」をご覧ください。

  1. KMS をプロビジョニングする際には、 Key Protect 「スタンダード」インスタンスと「専用」インスタンスのどちらかを選択できます。 リンク先のチュートリアルに従って、サービス・インスタンスをプロビジョニングし、カスタマー・ルート・キーを作成またはインポートします。

    Key Protect では、展開オプションを選択します：

    StandardとDedicatedの選択については、 When to use Standard vs Dedicated Key Protect をご参照ください。

  2. IBM （ Cloud Identity and Access Management、IAM）から、 Cloud Block Storage または Cloud File Storage （ソースサービス）と、対象の KMS サービス間の アクセスを承認します。 詳細については、「 File Storage for VPC におけるサービス間認証の設定 」および「 Block Storage for VPC におけるサービス間認証の設定 」を参照してください。

    この設定を完了するために、アカウントを従量課金アカウントにアップグレードしなければならない場合があります。 詳しくは、従量課金制アカウントへのアップグレード をご覧ください。

暗号化カスタム・イメージの前提条件

暗号化されたカスタム・イメージをインポートする場合は、「鍵管理サービスと鍵の設定」の手順に従ってください。

次のステップ