VPC リソースの鍵のローテーション

ストレージボリューム、ファイル共有、およびカスタムイメージのお客様ルートキーをローテーションし、セキュリティを強化します。 鍵のローテーションは、アクセス権を維持したまま暗号素材を更新するものです。

Hyper Protect Crypto Services は非推奨となっています。 顧客は既存のインスタンスを2027年3月20日まで使用できる。 詳細については、「 IBM Cloud Hyper Protect Crypto Services の非推奨化 」を参照してください。 継続的な保護のため、既存の暗号化キーを専用 Key Protect インスタンスに移行することをご検討ください。 詳細については、「 移行ガイド 」をご覧ください。

鍵のローテーションの概要

お客様管理の暗号化を適用したリソース (ボリューム、ファイル共有、カスタム・イメージなど) では、信頼の起点の鍵として、お客様のルート鍵 (CRK) を使用します。 ルート鍵の機能は、リソースを保護するデータ暗号鍵 (DEK) を暗号化する LUKS パスフレーズを暗号化することです。 ご使用の CRK を鍵管理サービス (KMS) のインスタンスにインポートすることも、KMS で CRK を自動生成することもできます。 対応する鍵管理サービスは、 Key Protect および Hyper Protect Crypto Services である。 Key Protect は、Standard（マルチテナント）とDedicated（シングルテナント）の両方の導入オプションで利用可能な、推奨の鍵管理サービスである。 ルート鍵は、KMS インスタンス内でローテートされます。

ルート鍵をローテートするときには、新しい暗号鍵素材を生成またはインポートして、新しいバージョンの鍵を作成します。 古いルート鍵は廃止されます。つまり、古いルート鍵の鍵素材は既存のリソースの暗号化解除には引き続き使用できますが、新しいリソースの暗号化には使用できません。

各 KMS インスタンスに、鍵のローテーションに使用できる複数のルート鍵を保管できます。 これらのルート鍵は、クラウドにインポートした鍵や、KMS インスタンスで自動生成した鍵の組み合わせにすることができます。

ローテーションポリシーを設定することで、鍵の自動ローテーションをスケジュールすることができます。 ローテーションの間隔で KMS が新しいルート鍵を生成し、ルート鍵を新しい鍵素材に自動的に置き換えます。

KMS 内にない新しい鍵素材を提供するために KMS インスタンスにインポートするルート鍵の場合、自動鍵ローテーションをセットアップすることはできません。 その代わりに、インポートした新しい暗号鍵データを使用して、手動で鍵をローテーションする必要があります。

鍵のローテーションの仕組み

鍵のローテーションは、ルート鍵素材を安全に移行し、リソースを保護するルート鍵の暗号期間を短くすることで有効に機能します。 新しいリソースは最新のルート鍵で暗号化されます。

ルートキーをローテーションすると、サービスはそのキーによって保護されているすべてのリソースを特定し、自動的にリソースの再暗号化を行います。 この暗号化プロセスでは、データ暗号鍵 (DEK) を保護する LUKS パスフレーズをラップ (暗号化) します。 システム生成の DEK は、仮想ディスク内のデータを暗号化します。 このプロセスはエンベロープ暗号化と呼ばれ、ラップされた DEK (WDEK) を作成します。 WDEKとは、仮想ディスク内のデータを保護しているデータ暗号化キーを指す_ものではありません_。 代わりに、LUKS パスフレーズを暗号化します。

新しいバージョンのルート鍵は、次回リソースが暗号化解除されるときに、新しく再ラップされた LUKS パスフレーズをアンラップするために使用されます。 例えば、インスタンスの再始動時にボリュームを暗号化解除する場合に使用されます。

サービスは古いルート鍵バージョンを廃止しますが、既存のリソースを暗号化解除には引き続き使用できます。 キーのバージョンを一覧表示することで、そのキーが何回ローテーションされたかを確認したり、最新のバージョンを確認したりすることができます。 ルートキーの古いバージョンは、有効期限が切れるか、復号化に必要なリソースがなくなるまで引き続き機能します。 ルート鍵を手動で 無効化 または 削除 するか、インスタンスを再始動すると、古い鍵は機能しなくなります。

ルート鍵をローテーションした後は、新しいバージョンのルート鍵を新しいリソースの暗号化に使用できるようになります。

鍵のローテーションのプロセスについて詳しくは、以下を参照してください。

鍵のローテーションの利点

ルート鍵のローテーションには、以下のようなセキュリティー上の利点があります。

  • 1 つのルート鍵によるデータの保護期間を制限できます。 特定のルート鍵でリソースが暗号化されている期間が短くなるため、セキュリティー侵害の可能性を減らすことができます。
  • 鍵のローテーション後に作成されたリソースは別の鍵素材で暗号化されるため、1 つのバージョンのルート鍵で暗号化されるリソースの数を制限できます。
  • 組織でセキュリティー上の脅威が検出された場合は、ただちに鍵をローテーションしてリソースを保護できます。
  • 鍵のローテーションを行うことで、鍵の漏洩に伴うコストを軽減できます。

鍵のローテーションのオプション

KMS インスタンスでルート鍵をローテートするには、ローテーション・ポリシーを設定するか、手動で鍵のローテーションを実行します。 ローテーション・ポリシーでは、スケジュールに基づいて鍵を自動的にローテートします。手動ローテーションでは、オンデマンドで鍵をローテートします。

また、インポートしたルートキーやKMSで生成されたルートキーは、いつでも手動でローテーションを行うことができます。 Key Protect では、各ルートキーにつき1時間に1回のローテーションが可能です。 要求すると、KMS はただちに鍵を置き換えます。 このオプションは、新しいルート鍵を KMS インスタンスにインポートして、すぐに鍵をローテートしたい場合に使用してください。

これらのオプションの詳細については、「 ローテーションポリシーの管理 」および「 キーの手動ローテーション 」を参照してください。

ルート鍵のメタデータ

ルートキーを回転させても、そのキーのメタデータとキーIDは変更されません。 鍵のローテーションにより、ルート鍵の暗号文と keyVersion データが変更されました。