すべてのプロダクト
Search

このプロダクト

    Key Management Service:KMS ハードウェアキー管理インスタンスの CloudHSM クラスターの設定

    ドキュメントセンター

    Key Management Service:KMS ハードウェアキー管理インスタンスの CloudHSM クラスターの設定

    最終更新日:Jul 30, 2026

    Key Management Service (KMS) のハードウェアキー管理インスタンスを使用するには、CloudHSM クラスターに接続する必要があります。これにより、自動データ同期、負荷分散、高可用性が提供されます。

    アーキテクチャ例

    KMS を CloudHSM クラスターと統合することで、キー管理の柔軟性とハードウェアレベルのセキュリティの両方が提供され、Guomi または FIPS 140-3 Level 3 のコンプライアンス要件を満たします。KMS はキーライフサイクル全体を管理するため、HSM の使用が簡素化されます。HSM は、キーマテリアルを保存するための安全なハードウェア環境を提供します。相互に認証された Transport Layer Security (TLS) チャンネルがすべての通信を保護します。

    HSM 管理ツールは Alibaba Cloud Elastic Compute Service (ECS) インスタンスにのみインストールでき、設定のためにマスター HSM に接続するために使用されます。または、ローカルターミナルを使用することもできますが、HSM へのネットワーク接続が確保されている必要があります。

    注意事項

    • KMS ハードウェアキー管理インスタンスは、汎用暗号機 (jnta.SJJ1528-G) にのみ関連付けることができます。

    • HSM、KMS ハードウェアキー管理インスタンス、および ECS インスタンスは、同じリージョンおよび同じ VPC 内にある必要があります。

    • 中国本土で HSM を管理するには、ECS インスタンスで Windows オペレーティングシステムを実行する必要があります。中国本土以外で HSM を管理するには、ECS インスタンスで CentOS 8 または Alibaba Cloud Linux を実行する必要があります。

    サポートされるリージョンとゾーン

    • 中国本土

      リージョン

      リージョン ID

      ゾーン

      中国 (杭州)

      cn-hangzhou

      ゾーン A、ゾーン G

      中国 (上海)

      cn-shanghai

      ゾーン A、ゾーン B、ゾーン F

      中国 (北京)

      cn-beijing

      ゾーン A、ゾーン F、ゾーン K

      中国 (深セン)

      cn-shenzhen

      ゾーン A、ゾーン E

      中国 (成都)

      cn-chengdu

      ゾーン A、ゾーン B

      中国 (河源)

      cn-heyuan

      ゾーン A、ゾーン B

    • 中国本土以外

      リージョン

      リージョン ID

      ゾーン

      中国 (香港)

      cn-hongkong

      ゾーン B、ゾーン C

      シンガポール

      ap-southeast-1

      ゾーン A、ゾーン B

      マレーシア (クアラルンプール)

      ap-southeast-3

      ゾーン A、ゾーン B

      SAU (リヤド - パートナーリージョン)

      me-central-1

      ゾーン A、ゾーン B

      インドネシア (ジャカルタ)

      ap-southeast-5

      ゾーン A、ゾーン B

    前提条件

    クラスターの設定

    GVSM (Guomi) クラスター

    ステップ 1：CloudHSM クラスターの購入

    クラスターは、同じリージョンの異なるゾーンにあり、同じビジネス目的で使用される HSM インスタンスのグループを関連付け、暗号操作の統合管理、高可用性、負荷分散、および水平スケーラビリティを可能にします。

    1. HSM 管理コンソールにログインします。トップナビゲーションバーで、ターゲットリージョンを選択します。

    2. 仮想 HSM インスタンス タブで、[VSM の購入] をクリックします。

    3. CloudHSM 購入ページで、以下のようにパラメーターを設定し、今すぐ購入 をクリックして支払いを完了します。

      説明

      その他のパラメーターについては、ビジネスニーズに基づいて設定してください。詳細については、「GVSM (Guomi) インスタンスの購入」をご参照ください。

      • Crypto Service Type：汎用サーバー HSM GVSM を選択します。

      • [ホワイトリスト]：[はい] を選択します。これにより、VPC 内のすべての IP アドレスが CloudHSM クラスターにアクセスできるようになります。

      • [証明書の自動生成]：[はい] を選択します。HSM は暗号化通信に必要な証明書を自動的に生成し、証明書の設定を完了します。KMS は関連する証明書ファイルを自動的に取得し、クライアント側の設定を完了します。証明書の生成と設定プロセスを管理する必要はありません。KMS と CloudHSM クラスターは、相互に認証された TLS チャンネルを使用して、転送中のデータを保護します。

        重要

        • HSM に USB キー管理者を登録しないでください。証明書は 10 年間有効で、HSM は有効期限が切れる前に自動的に証明書をローテーションできます。USB キー管理者を登録すると、ローテーションが失敗します。

      • クラスター名：HSM が属するクラスターの名前です。

        説明

        クラスター情報を設定すると、HSM は設定に基づいてクラスターを自動的に作成します。

      • [VPC]：HSM の VPC を選択します。

      • [vSwitch]：2〜4 つの vSwitch を選択します。vSwitch は異なるゾーンにある必要があります。

    4. 購入が完了すると、仮想 HSM インスタンス ページで HSM インスタンスを表示できます。クラスターの作成には約 5 分かかります。

    ステップ 2：クラスターデータの同期

    クラスターの同期モードを確認して、手動でデータを同期する必要があるかどうかを判断します。HSM インスタンスページで、インスタンスリストの [クラスター] 列にあるクラスタータイプを表示します。

    • 自動同期クラスター

      クラスター内のデータは自動的に同期されます。手動での操作は不要です。

    • 手動同期クラスター

      初めてクラスターを作成してアクティブ化した後、マスター HSM から下位 HSM に手動でデータを同期する必要があります。クラスターをスケールアウトすると、データは新しい HSM インスタンスに自動的に同期されます。

      1. 操作 列で、クラスターの同期 をクリックして、マスター HSM から下位 HSM にデータを同期します。同期中、クラスターのステータスは 同期中 になります。

      2. 同期が完了したら、HSM ダイジェストが一致していることを確認します。

        インスタンス詳細ページで、[インスタンスダイジェスト] を見つけ、[表示] リンクをクリックします。表示されるテーブルで、クラスター内のすべてのインスタンスのダイジェストハッシュ値が同一であることを確認します。値が同一であれば、クラスターの設定は完了です。異なる場合は、同期を繰り返します。再試行してもダイジェストが一致しない場合は、お問い合わせください。

    FIPS 準拠クラスター

    1. HSM 管理コンソールにログインします。トップナビゲーションバーで、ターゲットリージョンを選択します。

    2. 仮想 HSM インスタンス タブで、[VSM の購入] をクリックします。

    3. CloudHSM 購入ページで、以下のようにパラメーターを設定し、今すぐ購入 をクリックして支払いを完了します。

      説明

      その他のパラメーターについては、ビジネスニーズに基づいて設定してください。詳細については、「GVSM (NIST FIPS)」をご参照ください。

      • Crypto Service Type: 汎用暗号機 (jnta.SJJ1528-G) を選択します。

      • [証明書の自動生成]：[はい] を選択します。これにより、クライアント証明書とサーバー証明書が自動的に生成されます。生成された証明書は、HSM の インスタンスの詳細 ページで表示できます。

        重要

        [証明書の自動生成] で [はい] を選択した場合、HSM は自動的に HSM インスタンスを有効化し、クラスターをアクティブ化します。[いいえ] を選択した場合は、「GVSM (NIST FIPS) CloudHSM クラスターの使用」を参照して、クラスターの作成とアクティブ化および HSM クライアント (hsm_proxy) の起動のステップを手動で完了してください。

      • クラスター名：HSM が属するクラスターの名前です。

      • [VPC]：HSM の VPC を選択します。

      • [vSwitch]：2〜4 つの vSwitch を選択します。vSwitch は異なるゾーンにある必要があります。

    4. 購入が完了すると、仮想 HSM インスタンス ページで HSM インスタンスを表示できます。クラスターの作成には約 5 分かかります。

    ハードウェアキー管理インスタンスの設定

    Key Management Service コンソールで、KMS ハードウェアキー管理インスタンスを購入して設定します。

    ステップ 1：KMS ハードウェアインスタンスの購入

    1. Key Management Service コンソールにログインします。トップナビゲーションバーでリージョンを選択します。左側のナビゲーションウィンドウで、リソース > インスタンス管理 を選択します。

    2. インスタンス管理 ページで、ハードウェアキー管理 タブをクリックし、インスタンスの作成 をクリックします。

    3. KMS インスタンスの仕様を選択し、[今すぐ購入] をクリックします。

      説明

      パラメーターの詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

      • キー管理タイプ： ハードウェアキー管理

      • [リージョン]：HSM が配置されているリージョンを選択します。

    ステップ 2：ハードウェアインスタンスの有効化

    1. ハードウェアキー管理 タブをクリックします。ターゲットの KMS ハードウェアキー管理インスタンスを見つけ、有効化 列の 操作 をクリックします。

    2. Connect to HSM パネルで、パラメーターを設定し、Connect to HSM をクリックします。

      説明

      パラメーターの詳細については、「ハードウェアキー管理インスタンスの有効化」をご参照ください。

      • Select Cluster：購入および設定した GVSM (Guomi) または FIPS 準拠の HSM クラスターを選択します。

      • Configure HSM Access Secret.：GVSM (Guomi) または FIPS 準拠の HSM を購入したときに [証明書の自動生成] で [はい] を選択した場合、HSM は必要な証明書を自動的に生成します。手動での設定は不要です。

      • VPC：バインドされた HSM の VPC ID がデフォルトで設定されます。この値は読み取り専用であり、変更できません。