Key Management Service (KMS) は、従来のキー管理インフラストラクチャ (KMI) と比較して、複数サービスとの統合性、使いやすさ、高い信頼性、およびコスト効率という顕著な利点を提供します。KMS を活用することで、暗号化キー管理の複雑さから解放され、アプリケーション開発に集中できます。
複数サービスとの統合
認証およびアクセス制御
KMS は、AccessKey ペアなどの身分認証メカニズムを通じて、すべてのリクエストを認証します。KMS は、リソースアクセス管理 (RAM) とも統合されており、ID ベースおよびリソースベースのポリシーを設定することで、さまざまな権限付与シナリオに対応できます。KMS が受け付けるのは、承認済みユーザーから送信されたリクエストのみであり、RAM の動的な権限チェックに合格したリクエストのみです。詳細については、「アクセス制御」をご参照ください。
キー使用状況の監査
KMS は ActionTrail および Simple Log Service (SLS) と統合されており、最近の KMS アクティビティを可視化できます。また、長期的な監査要件を満たすために、KMS の使用情報を Object Storage Service (OSS) などの他の Alibaba Cloud サービスに保存することもできます。詳細については、「ActionTrail を使用した KMS イベントログのクエリ実行」および「KMS 用 Simple Log Service の概要」をご参照ください。
統合サービスにおけるデータ暗号化
KMS は、Elastic Compute Service (ECS)、ApsaraDB RDS、OSS など、複数の Alibaba Cloud サービスと統合されています。KMS に保存されているキーを使用して、これらのサービス全体のデータを効率的に暗号化および制御できます。複雑な暗号化操作を自分で行うことなく、キーを管理するだけで済みます。KMS は、統合サービスのネイティブデータも保護します。詳細については、「KMS 統合について」および「KMS と互換性のある Alibaba Cloud サービス」をご参照ください。
使いやすさ
-
自動キーのローテーション：KMS は自動キーのローテーション機能を提供するため、手動でのキー更新は不要です。これにより、セキュリティ強化と管理負荷の低減を同時に実現できます。
-
シンプルな実装：KMS は暗号化 API 操作を公開しており、複雑で抽象的な暗号プリミティブを扱うことなく、直感的かつ簡便にデータの暗号化および復号が可能です。
-
クロス Virtual Private Cloud (VPC) アクセス：KMS では、単一の KMS インスタンスに複数の VPC を関連付けることが可能であり、ユーザーは VPC をまたいでデータの暗号化および復号を実行できます。
-
Bring Your Own Key (BYOK)：KMS は BYOK 機能をサポートしています。オンプレミスの KMI などの外部システムからキーをインポートし、Alibaba Cloud サービスやお客様が独自に管理するアプリケーションおよびシステムにおいて、それらのキーを用いたデータ暗号化が可能です。
KMS は、オペレーターおよび第三者がプレーンテキスト形式でキーを閲覧できないよう、安全かつ準拠したキー交換アルゴリズムを採用しています。
高い信頼性、可用性、およびスケーラビリティ
高い信頼性
-
マルチゾーンデプロイメント：KMS はマルチゾーンデプロイメントをサポートしており、単一障害点 (SPOF) の発生を防止します。
-
定期的なバックアップ：KMS はキー、シークレット、および関連データを定期的にバックアップし、障害発生時に迅速な回復を実現します。
高い可用性
-
冗長な暗号化コンピューティング：KMS は、ロードバランシングを活用したマルチゾーンにわたる冗長な暗号化コンピューティング機能を提供し、分単位の復旧時間目標 (RTO) を達成します。
-
アクティブ/アクティブ方式のデュアルゾーンデプロイメント：KMS インスタンスは、ゾーン間でアクティブ/アクティブなコンピュートインスタンスを用いたデュアルゾーンデプロイメントを採用しており、最適なリソース活用と高いサービス可用性を確保します。Alibaba Cloud サービスおよびお客様が独自に管理するアプリケーションのいずれからも、低レイテンシーで KMS へリクエストを送信できます。
-
高いスループット：KMS インスタンスは、クエリ/秒 (QPS) 仕様として 2,000 および 4,000 をサポートします。多数の同時リクエストが発生しても、KMS インスタンスは引き続きサービスを提供します。
スケーラビリティ
ビジネス要件に応じて、KMS インスタンスの仕様をアップグレードできます。
アーキテクチャ例
以下のデュアルゾーンデプロイメントの例では、お客様のサービスアプリケーションが VPC_1 および VPC_2 にデプロイされています。KMS インスタンスは VPC_1 にデプロイされ、VPC_2 と関連付けられています。次の図は KMS のアーキテクチャを示しています。
セキュリティおよびコンプライアンス
KMS は、お客様のキーを高度に保護します。KMS の開発には、厳格なセキュリティ設計および検証プロセスが適用されています。
-
排他的インスタンス：キーはお客様専用のインスタンスによって管理され、他のテナントと共有されないため、データセキュリティが強化されます。
-
暗号化された通信：KMS へのアクセスには TLS を基盤としたセキュアチャネルのみを提供し、データ伝送には安全な暗号スイートのみを使用します。KMS は、Payment Card Industry Data Security Standard (PCI DSS) などのセキュリティ標準に準拠しています。
-
認定暗号化施設：KMS は、規制当局によって検証および認証された暗号化施設をサポートします。CloudHSM が提供する暗号化デバイスは、FIPS 140-2 レベル 3 認証を取得しています。 Alibaba Cloud の Cloud Hardware Security Module は、連邦情報処理標準 (FIPS) Publication 140-2 レベル 3 に準拠したハードウェア・セキュリティ・モジュール (HSM) を提供します。KMS を Alibaba Cloud の Cloud Hardware Security Module と統合することで、Cloud Hardware Security Module に展開された HSM クラスターを鍵管理および暗号化操作に使用できます。Cloud Hardware Security Module の詳細については、「データ暗号化サービスとは何か?」をご参照ください。
コスト効率
-
ハードウェア投資不要：ハードウェア暗号化デバイスの購入、運用、修理、および交換は不要です。
-
HSM クラスターのデプロイ不要：高可用性・高信頼性の HSM クラスターを自社でデプロイしたり、自己管理型 KMI の研究開発およびメンテナンス費用を負担したりする必要はありません。
-
簡素化されたデータ暗号化：KMS は他の Alibaba Cloud サービスと統合されているため、データ暗号化システム構築に伴う研究開発負荷が不要です。クラウド上での制御可能なデータ暗号化を実現するには、キーの管理のみを行えば十分です。