Cloud Hardware Security Module (HSM) は、国家暗号管理局の認証を受けた、または FIPS 140-3 レベル 3 に準拠したハードウェアセキュリティモジュール (HSM) を基盤とするクラウドベースのハードウェア暗号化サービスです。物理的な HSM ハードウェアを保守することなく、暗号化キーの管理、暗号化と復号の実行、規制コンプライアンス要件への対応が可能です。
概要
Cloud HSM は、国家暗号管理局の認証を受けた、または FIPS 140-3 レベル 3 に準拠したハードウェアセキュリティモジュールを基盤として構築されています。仮想化技術を使用することで、Cloud HSM はデータセキュリティに関する規制コンプライアンス要件への対応を支援し、クラウドビジネスデータのプライバシーを保護します。Cloud HSM を使用すると、キーを安全に管理し、さまざまな暗号化アルゴリズムを使用して信頼性の高い暗号化と復号の操作を実行できます。Cloud HSM では、次の暗号化操作を実行できます。
対称キーと非対称キーペアの生成、保存、インポート、エクスポート、管理。
対称および非対称アルゴリズムを使用したデータの暗号化と復号。
ハッシュ関数を使用したメッセージダイジェストとハッシュベースのメッセージ認証コード (HMAC) の計算。
データのデジタル署名と署名の検証。
暗号学的に安全なランダムデータの生成。
Cloud HSM は、デバイスの初期化、クラスター構成、監視、SDK 統合に関する技術コンサルティングサービスを提供し、HSM デバイスの商用暗号製品認証証明書を提供します。ただし、サードパーティの商用暗号アプリケーションセキュリティ評価機関からの詳細なドキュメントは提供していません。詳細については、Alibaba Cloud パブリッククラウド商用暗号評価サービスにお問い合わせください。
HSM デバイス
Cloud HSM は、HSM デバイスのハードウェア暗号化モジュールからプロビジョニングされる仮想リソースです。 Cloud HSM は、ハードウェア暗号化モジュールと同じコンプライアンスに準拠しており、データの暗号化と復号化が可能です。 Cloud HSM は、仮想セキュリティモジュール (VSM) と専用 HSM を提供します。 HSM デバイスの詳細なパラメーターについては、「仮想暗号化マシンのパフォーマンスデータ」をご参照ください。
仮想セキュリティモジュール (VSM)
複数のユーザー間でハードウェアリソースが共有されるマルチテナント環境にデプロイされます。VSM は、中国の暗号法および FIPS 140-3 レベル 3 認証の要件を満たしています。中小企業や、中程度のパフォーマンスが求められるシナリオに適しています。サポートされる VSM タイプ：
中国本土の VSM：汎用 SM 準拠 VSM。
中国本土以外： 汎用 FIPS 準拠 VSM。
専用 HSM
ハードウェアリソースはシングルテナントによって独占的に使用されます。専用ハードウェアリソースにより、高スループットと低レイテンシーを実現します。FIPS 140-3 レベル 3 に準拠した耐タンパー設計により、最高レベルの物理的セキュリティを提供します。大企業、金融機関、または最高レベルのセキュリティとパフォーマンスが求められるシナリオに適しています。権威ある組織 (国家暗号管理局 / NIST (FIPS 140-3 レベル 3) / PCI HSM v3) によって認証された物理的に専用の HSM を提供します。
ユースケース
オンプレミス HSM ワークロードのクラウドへの移行
データセンターの HSM ワークロードを Elastic Compute Service (ECS) に移行する際、オンプレミスハードウェアを Cloud HSM に置き換えて暗号化、復号、署名、署名検証を行い、クラウドデータを保護します。
暗号化アプリケーションへの準拠した暗号化と復号の提供
たとえば、Cloud HSM を Dedicated KMS と組み合わせて機密アプリケーションデータの暗号化と復号を行ったり、データベース暗号化アプリケーションと組み合わせてデータベースデータの暗号化と復号を行ったり、ファイル暗号化アプリケーションと組み合わせてファイルストレージの暗号化と復号を行うことができます。
HTTPS ウェブサイトの SSL オフロード
中国本土の GVSMは SSL オフロードをサポートしており、サーバーの CPU 負荷を軽減し、クライアントの応答時間を短縮します。Cloud HSM は証明書の秘密鍵も生成し、秘密鍵の保護を強化し、サーバーからの秘密鍵漏洩を防ぎます。
証明書秘密鍵の保護
認証局 (CA) によって発行されたデジタル証明書については、証明書の秘密鍵を HSM に保存し、HSM を使用して署名を行うことで、証明書の秘密鍵を保護できます。
Oracle TDE 統合
Cloud HSM は Oracle データベースと統合され、透過的データ暗号化 (TDE) を提供します。TDE は、暗号化キーをデータベース外の HSM に保存し、そのキーを使用してデータベースファイル内の機密データを暗号化することで、機密データのセキュリティを確保します。
機密データの暗号化
公共サービス、e コマース、金融業界では、Cloud HSM をアプリケーションと統合して、機密ユーザーデータを暗号化または保存し、セキュリティおよびコンプライアンス要件を満たすことができます。
メリット
規制コンプライアンス
中国本土の VSM は、国家暗号管理局の認証を受けており、GM/T 0028-2014 (暗号化モジュールのセキュリティ要件)、GM/T 0030-2014 (サーバー暗号化マシンの仕様)を含む暗号化業界の技術仕様に準拠しています。
中国本土以外の VSM は、FIPS 140-3 レベル 3 に準拠しています。
業界標準のインターフェースと暗号化アルゴリズム
Cloud HSM は、幅広い業界標準のインターフェースと暗号化アルゴリズムをサポートしています。Cloud HSM がサポートするインターフェースとアルゴリズムの詳細については、「仮想暗号化マシンのパフォーマンスデータ」をご参照ください。
安全なキー管理
デバイス管理とキー管理は分離されています。Alibaba Cloud は、デバイスの可用性メトリクスの監視やサービスの有効化など、HSM ハードウェアデバイスのみを管理できます。暗号化キーはお客様が完全に管理します。Alibaba Cloud は、お客様の暗号化キーにアクセスする手段を持っていません。
柔軟なスケーリング
Cloud HSM を使用する場合、実際のニーズに基づいてデプロイする HSM の数を柔軟に調整し、負荷分散を使用して、さまざまな暗号化と復号の要件を満たすことができます。
クラスター高可用性
Cloud HSM はクラスター管理をサポートしています。クラスターに複数の HSM を追加することで、HSM の高可用性を迅速に向上させ、サービス中断やコアデータ損失のリスクを軽減できます。
便利なクラウド利用
Cloud HSM を使用すると、指定した VPC に HSM をデプロイし、プライベート IP アドレスを介して管理およびアクセスでき、クラウドサーバー上のビジネスとシームレスに統合できます。
サポート対象のリージョンとゾーン
中国本土
リージョン
リージョン ID
ゾーン
China (Hangzhou)
cn-hangzhou
ゾーン A、ゾーン G
China (Shanghai)
cn-shanghai
ゾーン A、ゾーン B、ゾーン F
China (Beijing)
cn-beijing
ゾーン A、ゾーン F、ゾーン K
China (Shenzhen)
cn-shenzhen
ゾーン A、ゾーン E
China (Chengdu)
cn-chengdu
ゾーン A、ゾーン B
China (Heyuan)
cn-heyuan
ゾーン A、ゾーン B
中国本土以外
リージョン
リージョン ID
ゾーン
China (Hong Kong)
cn-hongkong
ゾーン B、ゾーン C
Singapore
ap-southeast-1
ゾーン A、ゾーン B
Malaysia (Kuala Lumpur)
ap-southeast-3
ゾーン A、ゾーン B
SAU (Riyadh - Partner Region)
me-central-1
ゾーン A、ゾーン B
Indonesia (Jakarta)
ap-southeast-5
ゾーン A、ゾーン B
基本概念
HSM インスタンス
HSM インスタンスは、お客様が利用するためにプロビジョニングする Cloud HSM の個々のリソース単位です。物理 HSM デバイスのハードウェア暗号化モジュールから仮想化され、ハードウェア暗号化モジュールと同等のコンプライアンスを備え、データの暗号化と復号を含む Cloud HSM のすべての機能を実現します。
認証カード (USB キー)
Cloud HSM インスタンスの一意の識別子であり、HSM クライアント管理ツールと組み合わせてキーを管理するために使用されます。中国本土の HSM でのみ利用可能です。
クラスターサービス
Cloud HSM はクラスターサービスを提供します。同じアプリケーションを提供する同じリージョン内の複数のゾーンにまたがる HSM インスタンスをグループ化することで、それらを一元管理し、暗号化操作に高可用性、負荷分散、水平スケーラビリティを提供できます。クラスターには、1 つのマスター HSM インスタンスと複数の非マスター HSM インスタンスが含まれます。同じゾーン内の HSM インスタンスは、同じサブネットを共有します。