鍵のローテーションの仕組み

鍵のローテーションは、ルート鍵素材を安全に移行し、リソースを保護するルート鍵の暗号期間を短くすることで有効に機能します。 新しいリソースは最新のルート鍵で暗号化される。

ルート鍵をローテーションすると、サービスはその鍵で保護されているすべてのリソースを識別し、リソースを自動的に再暗号化する。 この暗号化プロセスでは、データ暗号鍵 (DEK) を保護する LUKS パスフレーズをラップ (暗号化) します。 システム生成の DEK は、仮想ディスク内のデータを暗号化します。 このプロセスはエンベロープ暗号化と呼ばれ、ラップされた DEK (WDEK) を作成します。 WDEKは、仮想ディスク内のデータを保護するデータ暗号化キーを参照_しない_。 代わりに、LUKS パスフレーズを暗号化します。

新しいバージョンのルート鍵は、次回リソースが暗号化解除されるときに、新しく再ラップされた LUKS パスフレーズをアンラップするために使用されます。 例えば、インスタンスの再始動時にボリュームを暗号化解除する場合に使用されます。

サービスは古いルート鍵バージョンを廃止しますが、既存のリソースを暗号化解除には引き続き使用できます。 鍵のバージョンをリスト表示すると、鍵がローテートされた回数と最新のバージョンを確認できます。 ルート・キーの古いバージョンは、有効期限が切れるか、復号化するためのリソースがなくなるまで機能し続ける。 ルート鍵を手動で 無効化 または 削除 するか、インスタンスを再始動すると、古い鍵は機能しなくなります。

ルート鍵をローテーションした後は、新しいバージョンのルート鍵を新しいリソースの暗号化に使用できるようになります。

鍵のローテーションのプロセスについて詳しくは、以下を参照してください。

• Key Protect - 鍵のローテーション・プロセスの概要
• Hyper Protect Crypto Services - Root key rotation

鍵のローテーションの利点

ルート鍵のローテーションには、以下のようなセキュリティー上の利点があります。

• 1 つのルート鍵によるデータの保護期間を制限できます。 特定のルート鍵でリソースが暗号化されている期間が短くなるため、セキュリティー侵害の可能性を減らすことができます。
• 鍵のローテーション後に作成されたリソースは別の鍵素材で暗号化されるため、1 つのバージョンのルート鍵で暗号化されるリソースの数を制限できます。
• 組織でセキュリティー上の脅威が検出された場合は、ただちに鍵をローテーションしてリソースを保護できます。
• 鍵をローテーションすることで、鍵の漏洩に関連するコストを軽減できる。

鍵のローテーションのオプション

KMS インスタンスでルート鍵をローテートするには、ローテーション・ポリシーを設定するか、手動で鍵のローテーションを実行します。 ローテーション・ポリシーでは、スケジュールに基づいて鍵を自動的にローテートします。手動ローテーションでは、オンデマンドで鍵をローテートします。

Key Protect および Hyper Protect Crypto Services では、各ルート鍵について1時間に1回のローテーションを許可している。 要求すると、KMS はただちに鍵を置き換えます。 このオプションは、新しいルート鍵を KMS インスタンスにインポートして、すぐに鍵をローテートしたい場合に使用してください。

これらのオプションの詳細については、以下を参照のこと：

• Key Protect- ローテーション・ポリシーの管理 および 手動による鍵のローテーション。
• Hyper Protect Crypto Services- ルート鍵のローテーション・ポリシーの設定 および ルート鍵の手動ローテート。

ルート鍵のメタデータ

ルート鍵をローテーションしても、鍵は同じメタデータと鍵IDを保持する。 鍵のローテーションにより、ルート鍵の暗号文と keyVersion データが変更されました。