Key Management Service (KMS) は、情報システムのコンプライアンス要件への対応、アプリケーション内の機密データの暗号化、独立系ソフトウェアベンダー (ISV) 向けのシークレット管理という 3 つの中核的なセキュリティニーズをカバーします。
情報システムのセキュリティコンプライアンス要件
組織が直面するコンプライアンスの状況は、主に次の 2 種類です：
法令により暗号技術の使用が義務付けられている。キー管理インフラストラクチャは、特定の技術標準およびセキュリティ規制に準拠する必要があります。
法令で暗号技術は必須ではありませんが、導入することでコンプライアンス対応を加速できます。たとえば、スコアリングベースのフレームワークでより高いスコアを獲得できます。
KMS は、組織がコンプライアンス要件を満たすために役立つ以下の機能を提供します。
機能 | 説明 | 詳細 |
暗号コンプライアンス | Data Encryption Service のハードウェアセキュリティモジュール (HSM) クラスターを KMS に接続し、キーの管理および暗号操作の実行を行います。暗号操作で使用されるハードウェア保護キーは HSM クラスターに格納する必要があり、データ暗号化およびデジタル署名 (署名と検証) 向けの一般的なアルゴリズムをサポートする必要があります。Data Encryption Service の HSM は、連邦情報処理標準 (FIPS) Publication 140-3 Level 3 で規定されるコンプライアンス要件を満たします。 | |
シークレット管理 | Secrets Manager は、Resource Access Management (RAM) ユーザーの AccessKey ペア、ApsaraDB RDS アカウントのパスワード、Elastic Compute Service (ECS) インスタンスの SSH キーなどのシークレットのライフサイクル全体を管理します。また、データ漏洩を効率的に封じ込めるためのツールも提供します。 | |
データの機密性 | システムが侵害された場合の漏洩を防ぐためにデータを暗号化し、データ保護に関する法令および規制の要件を満たします。 | |
認証とアクセスコントロール | KMS は RAM と連携し、認証と権限付与を一元化します。KMS インスタンスは、仮想プライベートクラウド (VPC) 内の IP アドレスからのアクセスのみをサポートします。アプリケーションレベルの認証と権限付与は、アプリケーションアクセスポイント (AAP) を通じて管理します。 | |
キー監査 | すべての KMS API 呼び出しレコードは、コンプライアンス監査のために ActionTrail に保存されます。KMS インスタンスのセキュリティ監査を有効にすると、すべての KMS インスタンス API 呼び出しレコードを指定した Object Storage Service (OSS) バケットに送信できます。 |
機密データの暗号化
KMS は、クラウドに保存または処理される機密データを保護するために複数の方法を提供します。スループット要件とデータサイズに基づいて選択してください。KMS を使用すると、自社構築のキー管理設備および暗号化・復号設備と比べてコストを大幅に削減できます。
方法 | 使用する場面 | 仕組み | 詳細 |
KMS によるアプリケーション内データの直接暗号化 | 1 秒あたりのクエリ数 (QPS) が低い、またはデータサイズが 6 KB 以下の場合。代表的なデータ：AccessKey ペア、データベースの認証情報。 | KMS 暗号化 API を呼び出し、キーを使用してデータを直接暗号化します。 | |
KMS によるアプリケーション内データのエンベロープ暗号化 | QPS が高い、またはデータサイズが大きい場合。代表的なデータ：携帯電話番号、身分証番号。 | CMK を KMS に保存し、暗号化されたデータキー (EDK) をローカルにデプロイします。KMS を使用して EDK を復号し、プレーンテキストデータキー (DK) を取得してから、DK を使用してローカルデータを暗号化または復号します。あるいは、エンベロープ暗号化をカプセル化した暗号化 SDK を使用します。 | |
クラウドサービスのサーバー側の暗号化 | Alibaba Cloud サービスに保存されるデータのベースライン保護。代表的なケース：機密データを含む OSS バケット、透過的データ暗号化 (TDE) を使用するデータベーステーブル。 | クラウドサービスでサーバー側の暗号化を有効にします。 | |
Secrets Manager | コード内にハードコーディングされたシークレットによるデータ漏洩を防ぎます。代表的なデータ：パスワード、トークン、SSH キー、AccessKey ペア。 | Secrets Manager に認証情報を保存し、アプリケーションレベルのセキュリティメカニズムを通じてアクセスします。シークレットを動的にローテーションし、漏洩リスクを低減します。 |
サードパーティのシークレット管理ソリューション
独立系ソフトウェアベンダー (ISV) は、サービスを提供するために顧客のシークレットにアクセスする必要があることがよくあります。しかし、顧客はそれらのシークレットを ISV に直接開示したくありません。KMS は、両者の間でサードパーティのセキュリティシステムとして機能します。
顧客はシークレットを KMS に保存し、通常はクロスアカウントのリソース権限付与などの方法で、ISV のサービスに特定のシークレットへのアクセスを許可します。すべてのアクセスは ActionTrail を通じて監査可能です。
ロール | 責任 | 詳細 |
ユーザー管理者 | KMS でシークレットを管理し、RAM を使用して権限を制御します。クロスアカウントのリソース権限付与などの方法に基づいて、ISV のサービスに特定のシークレットへのアクセスを許可します。 | |
ISV のサービス | KMS API を統合して、指定されたシークレットを取得して使用します。 | |
ユーザー監査担当者 | ActionTrail を使用して、KMS のすべてのキー使用レコードを監査します。 |