Elastic Compute Service:機密コンピューティング対応 ECS インスタンスに接続されたクラウドディスクの暗号化

/etc/cryptpilot/volumes/data0.toml ファイルを作成して構成します。

ビジネス要件に基づいて、構成ファイルの次の構成を変更します。

sudo bash -c 'cat > /etc/cryptpilot/volumes/data0.toml << EOF
# ボリュームの構成。
dev = "/dev/nvme1n1p1"    # 使用するブロックデバイス（クラウドディスクの空のパーティション）を指定します。この例では、/dev/nvme1n1p1 を使用します。
volume = "data0"          # ボリューム名を指定します。この例では、data0 を使用します。
auto_open = false         # システム起動時にボリュームを自動的に開くかどうかを指定します。true は、システム起動時にボリュームが自動的に開かれることを意味し、false は手動で開く必要があることを意味します。
makefs = "ext4"           # 作成するファイルシステムのタイプを指定します。この例では、Ext4 を使用します。
integrity = true          # データ整合性サポートを有効にするかどうかを指定します。true は、データ整合性サポートが有効になっていることを意味し、false は無効になっていることを意味します。

# シークレットの構成。
[encrypt.otp]             # シークレットの保存方法を指定します。この例では、OTP を使用します。
EOF'

ボリュームの状態を表示します。

sudo cryptpilot show

data0 ボリュームの構成情報を表示できます。

• Initialized 列: OTP が使用されているため、ボリュームを初期化する必要がないことを示します。

• Opened 列: ボリュームが開かれていないことを示します。

  

ボリュームを開き、ボリュームの状態を表示します。

1. ボリュームを開きます。

   sudo cryptpilot open data0

   

2. ボリュームの状態を表示します。

   sudo cryptpilot show

   次のコマンド出力では、Opened 列に True と表示され、ボリュームが開かれていることを示します。

   

3. ボリュームに対応する仮想ブロックデバイスを確認します。

   sudo file -Ls /dev/mapper/data0

   ボリュームが開かれると、/dev/mapper/<ボリューム名> ディレクトリに仮想ブロックデバイスが作成されます。

   

ボリュームのファイルシステムをマウントし、マウント結果を表示します。

1. data0 ボリュームを /mnt/ ディレクトリにマウントします。

   sudo mkdir -p /mnt/data0
   sudo mount -t ext4 /dev/mapper/data0 /mnt/data0

2. マウント結果を表示します。

   mount | grep data0
   ls -la /mnt/data0/

   次のコマンド出力は、ボリュームがマウントされ、空の Ext4 ファイルシステムが含まれていることを示しています。

   

ボリュームを閉じます。

1. ボリュームのファイルシステムをアンマウントします。

   sudo umount /mnt/data0

2. ボリュームを閉じます。

   sudo cryptpilot close data0

   

3. ボリュームの状態を表示します。

   cryptpilot show

   次のコマンド出力は、ボリュームが閉じられていることを示しています。

   

次のコマンドを実行して、安全な環境でボリュームの暗号化のために Base64 でエンコードされたシークレットをランダムに生成します。

sudo yum install -y coreutils
head -c 256 /dev/urandom | base64 -w 0

生成されたシークレットを保存します。

Alibaba Cloud KMS インスタンスと汎用シークレットを作成します。

1. KMS インスタンスを購入して有効化する。

   説明

   • セキュリティ要件に基づいて、KMS インスタンスの [鍵管理タイプ] を選択できます。この例では、[ソフトウェア鍵管理] を選択します。

   • KMS インスタンスは、ECS インスタンスと同じ Virtual Private Cloud (VPC) に存在する必要があります。

2. ソフトウェア保護キーを作成する。

3. 汎用シークレットを作成する。

   • [シークレット名]: インスタンスに基づいて汎用シークレット名を入力します。この例では、confidential_cloud_disk_passphrase が使用されています。

   • [シークレット値]: [プレーンテキスト] を選択し、前の手順で生成した Base64 でエンコードされたシークレットを入力します。

   • [CMK]: 前の手順で作成したソフトウェア保護キーを選択します。

   

4. アプリケーションアクセスポイント (AAP) を作成する と KMS インスタンスの認証局 (CA) 証明書を取得する。

   次の情報を必ず取得してください。

   • アプリケーションアクセスシークレット (ClientKeyContent): デフォルトでは、この情報は clientKey_****.json 形式の名前のファイルに保存されます。

   • パスワード (ClientKeyPassword): デフォルトでは、この情報は clientKey_****_Password.txt 形式の名前のファイルに保存されます。

   • KMS インスタンスの CA 証明書: デフォルトでは、CA 証明書は PrivateKmsCA_kst-******.pem 形式の名前のファイルにダウンロードされます。

/etc/cryptpilot/volumes/data1.toml ファイルを作成して構成します。

1. /etc/cryptpilot/volumes/data1.toml ファイルを作成します。

2. ファイルを構成します。

   説明

   構成ファイルはTOML 形式です。その名前は .toml サフィックスを使用し、ボリューム名とは異なる場合があります。

   必要に応じて、構成ファイルの次の構成を変更します。

   # ボリュームの構成。
   dev = "/dev/nvme1n1p2"        # 使用するブロックデバイス（クラウドディスクの空のパーティション）を指定します。この例では、/dev/nvme1n1p2 を使用します。
   volume = "data1"              # ボリューム名を指定します。この例では、data1 を使用します。
   auto_open = false             # システム起動時にボリュームを自動的に開くかどうかを指定します。true は、システム起動時にボリュームが自動的に開かれることを意味し、false は手動で開く必要があることを意味します。
   makefs = "ext4"               # 作成するファイルシステムのタイプを指定します。この例では、Ext4 を使用します。
   integrity = true              # データ整合性サポートを有効にするかどうかを指定します。true は、データ整合性サポートが有効になっていることを意味し、false は無効になっていることを意味します。
   
   # シークレットの構成。
   [encrypt.kms]                 # シークレットの保存方法を指定します。この例では、KMS を使用します。
   secret_name = "confidential_cloud_disk_passphrase"   # KMS インスタンスに保存されている汎用シークレットの名前。この例では、confidential_cloud_disk_passphrase を使用します。
   # アプリケーションアクセスシークレット (ClientKeyContent) ファイルの内容。clientKey_****.json という名前です。
   client_key = '''
   {
     "KeyId": "KAAP.b183152a-c3bf-43ae-9399-a101607b****",
     "PrivateKeyData": "MIIJ0wIBAzCCCZ8GCSqGSIb3DQE****"
   }
   '''
   client_key_password = "258372e962f5204ce648bc66243f****"    # パスワード (ClientKeyPassword) ファイルの内容。clientKey_****_Password.txt という名前です。
   kms_instance_id = "kst-bjj67d004a85ykq80****"               # KMS インスタンスの ID。
   # KMS インスタンスの CA 証明書ファイルの内容。ファイル名は PrivateKmsCA_kst-******.pem 形式です。
   kms_cert_pem = """
   -----BEGIN CERTIFICATE-----
   MIIDuzCCAqOgAwIBAgIJALTKwWAjvbMiMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   MIID3zCCAsegAwIBAgIJAO8qnQyTy8/kMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   """

ボリュームの状態を表示します。

sudo cryptpilot show

data0 ボリュームの構成情報を表示できます。

• Initialized 列: ボリュームが初期化されていないことを示します。

• Opened 列: ボリュームが開かれていないことを示します。

ボリュームを初期化し、ボリュームの状態を表示します。

1. ボリュームを初期化します。

   sudo cryptpilot init data1

2. ボリュームの状態を表示します。

   sudo cryptpilot show

   次のコマンド出力では、Initialized 列に True と表示され、ボリュームが初期化されていることを示します。

   

ボリュームを開き、ボリュームの状態を表示します。

1. ボリュームを開きます。

   sudo cryptpilot open data1

   

2. ボリュームの状態を表示します。

   sudo cryptpilot show

   次のコマンド出力では、Opened 列に True と表示され、ボリュームが開かれていることを示します。

   

3. ボリュームに対応する仮想ブロックデバイスを確認します。

   sudo file -Ls /dev/mapper/data1

   ボリュームが開かれると、/dev/mapper/<ボリューム名> ディレクトリに仮想ブロックデバイスが作成されます。

   

ボリュームのファイルシステムをマウントし、ファイルシステムにデータを書き込みます。

data1 ボリュームを /mnt/ ディレクトリにマウントし、/mnt/data1/data.txt ファイルを作成して機密データを表します。

sudo mkdir -p /mnt/data1
sudo mount -t ext4 /dev/mapper/data1 /mnt/data1
echo "secret data" | sudo tee /mnt/data1/data.txt > /dev/null

ボリュームを閉じて再度開き、ボリュームに書き込んだデータを確認します。

1. ボリュームのファイルシステムをアンマウントし、ボリュームを閉じます。

   sudo umount /mnt/data1
   sudo cryptpilot close data1

2. ボリュームを再度開き、ボリュームのファイルシステムをマウントし、ボリューム内のファイルにアクセスします。

   sudo cryptpilot open data1
   sudo mount -t ext4 /dev/mapper/data1 /mnt/data1
   cat /mnt/data1/data.txt

   以前に書き込まれたデータがまだ存在することがわかります。これは、ボリュームの永続ストレージ機能を検証します。