すべてのプロダクト
Search

このプロダクト

    Key Management Service:KMS ハードウェアキー管理インスタンスの CloudHSM クラスターの設定

    ドキュメントセンター

    Key Management Service:KMS ハードウェアキー管理インスタンスの CloudHSM クラスターの設定

    最終更新日:Jun 23, 2026

    Key Management Service (KMS) のハードウェアキー管理インスタンスを使用するには、CloudHSM クラスターに接続する必要があります。これにより、自動データ同期、負荷分散、高可用性が実現します。

    アーキテクチャ例

    KMS を CloudHSM クラスターと統合することで、鍵管理の柔軟性とハードウェアレベルのセキュリティの両方が提供され、Guomi (国密) または FIPS 140-2 レベル 3 のコンプライアンス要件を満たします。KMS は鍵ライフサイクル全体を管理し、HSM の使用を簡素化します。HSM は、キーマテリアルを保存するための安全なハードウェア環境を提供します。すべての通信は、相互認証された Transport Layer Security (TLS) チャンネルによって保護されます。

    HSM 管理ツールは、Alibaba Cloud Elastic Compute Service (ECS) インスタンスにのみインストールでき、これを使用してマスター HSM に接続して設定を行います。または、ローカルターミナルを使用することもできますが、HSM へのネットワーク接続が確保されている必要があります。

    注意事項

    • KMS ハードウェアキー管理インスタンスは、汎用hsm (jnta.SJJ1528-G) にのみ関連付けることができます。

    • HSM、KMS ハードウェアキー管理インスタンス、および ECS インスタンスは、同じリージョンおよび同じ VPC にある必要があります。

    • 中国本土で HSM を管理する場合、ECS インスタンスは Windows オペレーティングシステムを実行する必要があります。中国本土以外で HSM を管理する場合、ECS インスタンスは CentOS 8 または Alibaba Cloud Linux を実行する必要があります。

    サポートされるリージョンとゾーン

    • 中国本土

      リージョン

      リージョン ID

      ゾーン

      中国 (杭州)

      cn-hangzhou

      ゾーン A、ゾーン G

      中国 (上海)

      cn-shanghai

      ゾーン A、ゾーン B、ゾーン F

      中国 (北京)

      cn-beijing

      ゾーン A、ゾーン F、ゾーン K

      中国 (深セン)

      cn-shenzhen

      ゾーン A、ゾーン E

      中国 (成都)

      cn-chengdu

      ゾーン A、ゾーン B

      中国 (河源)

      cn-heyuan

      ゾーン A、ゾーン B

    • 中国本土以外

      リージョン

      リージョン ID

      ゾーン

      中国 (香港)

      cn-hongkong

      ゾーン B、ゾーン C

      シンガポール

      ap-southeast-1

      ゾーン A、ゾーン B

      マレーシア (クアラルンプール)

      ap-southeast-3

      ゾーン A、ゾーン B

      SAU (リヤド - パートナーリージョン)

      me-central-1

      ゾーン A、ゾーン B

      インドネシア (ジャカルタ)

      ap-southeast-5

      ゾーン A、ゾーン B

    前提条件

    クラスターの設定

    GVSM (国密) クラスター

    ステップ 1： CloudHSM クラスターの購入

    クラスターは、同じリージョンの異なるゾーンにあり、同じビジネス目的で使用される HSM インスタンスのグループを関連付け、暗号化操作の統合管理、高可用性、負荷分散、および水平方向のスケーラビリティを可能にします。

    1. HSM 管理コンソールにログインします。上部のナビゲーションバーで、ターゲットリージョンを選択します。

    2. VSMs タブで、Create HSM をクリックします。

    3. CloudHSM 購入ページで、以下のようにパラメーターを設定し、今すぐ購入 をクリックして支払いを完了します。

      説明

      その他のパラメーターについては、ビジネスニーズに基づいて設定してください。詳細については、「GVSM (国密) インスタンスの購入」をご参照ください。

      • Crypto Service Type：[汎用サーバー HSM GVSM] を選択します。

      • [ホワイトリスト]：[はい] を選択します。これにより、VPC 内のすべての IP アドレスが CloudHSM クラスターにアクセスできるようになります。

      • [証明書の自動生成]：[はい] を選択します。HSM は暗号化通信に必要な証明書を自動的に生成し、証明書の設定を完了します。KMS は関連する証明書ファイルを自動的に取得し、クライアント側の設定を完了します。証明書の生成と設定プロセスを管理する必要はありません。KMS と CloudHSM クラスターは、相互認証された TLS チャンネルを使用して、転送中のデータを保護します。

        重要

        • HSM に USB キー管理者を登録しないでください。証明書は 10 年間有効で、HSM は有効期限が切れる前に自動的にローテーションできます。USB キー管理者を登録すると、ローテーションが失敗します。

      • クラスター名：HSM が属するクラスターの名前です。

        説明

        クラスター情報を設定すると、HSM は設定に基づいて自動的にクラスターを作成します。

      • [VPC]：HSM の VPC を選択します。

      • [vSwitch]：2 つから 4 つの vSwitch を選択します。vSwitch は異なるゾーンにある必要があります。

    4. 購入が完了すると、VSMs ページで HSM インスタンスを表示できます。クラスターの作成には約 5 分かかります。

    ステップ 2： クラスターデータの同期

    クラスターの同期モードを確認して、手動でデータを同期する必要があるかどうかを判断します。[HSM インスタンス] ページで、インスタンスリストの [クラスター] 列にあるクラスタータイプを表示します。

    • 自動同期クラスター

      クラスター内のデータは自動的に同期されます。手動での操作は必要ありません。

    • 手動同期クラスター

      初めてクラスターを作成してアクティブ化した後、マスター HSM からサブ HSM に手動でデータを同期する必要があります。クラスターをスケールアウトすると、データは新しい HSM インスタンスに自動的に同期されます。

      1. 操作 列で、同期クラスター をクリックして、マスター HSM からサブ HSM にデータを同期します。同期中、クラスターのステータスは Synchronizing になります。

      2. 同期が完了したら、HSM ダイジェストが一致していることを確認します。

        インスタンス詳細ページで、[インスタンスダイジェスト] を見つけて、[表示] リンクをクリックします。表示されるテーブルで、クラスター内のすべてのインスタンスのダイジェストハッシュ値が同一であることを確認します。値が同一であれば、クラスターの設定は完了です。異なる場合は、同期を繰り返します。再試行してもダイジェストが一致しない場合は、お問い合わせください。

    FIPS 準拠クラスター

    1. HSM 管理コンソールにログインします。上部のナビゲーションバーで、ターゲットリージョンを選択します。

    2. VSMs タブで、Create HSM をクリックします。

    3. CloudHSM 購入ページで、以下のようにパラメーターを設定し、今すぐ購入 をクリックして支払いを完了します。

      説明

      その他のパラメーターについては、ビジネスニーズに基づいて設定してください。詳細については、「GVSM (NIST FIPS)」をご参照ください。

      • Crypto Service Type: 汎用hsm (jnta.SJJ1528-G) を選択します。

      • [証明書の自動生成]：[はい] を選択します。これにより、クライアント証明書とサーバー証明書が自動的に生成されます。生成された証明書は、HSM の Instance Details ページで表示できます。

        重要

        [証明書の自動生成] で [はい] を選択すると、HSM は自動的に HSM インスタンスを有効化し、クラスターをアクティブ化します。[いいえ] を選択した場合は、「GVSM (NIST FIPS) CloudHSM クラスターの使用」を参照して、[クラスターの作成とアクティブ化] および [HSM クライアント (hsm_proxy) の起動] の手順を手動で完了してください。

      • クラスター名：HSM が属するクラスターの名前です。

      • [VPC]：HSM の VPC を選択します。

      • [vSwitch]：2 つから 4 つの vSwitch を選択します。vSwitch は異なるゾーンにある必要があります。

    4. 購入が完了すると、VSMs ページで HSM インスタンスを表示できます。クラスターの作成には約 5 分かかります。

    ハードウェアキー管理インスタンスの設定

    Key Management Service コンソールで、KMS ハードウェアキー管理インスタンスを購入して設定します。

    ステップ 1： KMS ハードウェアインスタンスの購入

    1. Key Management Service コンソールにログインします。上部のナビゲーションバーでリージョンを選択します。左側のナビゲーションウィンドウで、リソース > インスタンス管理を選択します。

    2. インスタンス管理 ページで、ハードウェアキー管理 タブをクリックし、インスタンスの作成 をクリックします。

    3. KMS インスタンスの仕様を選択し、[今すぐ購入] をクリックします。

      説明

      パラメーターの詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

      • [鍵管理タイプ]：ハードウェアキー管理

      • [リージョン]：HSM が配置されているリージョンを選択します。

    ステップ 2： ハードウェアインスタンスの有効化

    1. ハードウェアキー管理 タブをクリックします。ターゲットの KMS ハードウェアキー管理インスタンスを見つけ、有効化 列の 操作 をクリックします。

    2. Connect to HSM パネルで、パラメーターを設定し、Connect to HSM をクリックします。

      説明

      パラメーターの詳細については、「ハードウェアキー管理インスタンスの有効化」をご参照ください。

      • Select Cluster：購入して設定した GVSM (国密) または FIPS 準拠 HSM クラスターを選択します。

      • Configure HSM Access Secret.：GVSM (国密) または FIPS 準拠 HSM を購入する際に [証明書の自動生成] で [はい] を選択した場合、HSM は必要な証明書を自動的に生成します。手動での設定は必要ありません。

      • VPC：これは、バインドされた HSM の VPC ID にデフォルトで設定されます。この値は読み取り専用であり、変更できません。