Key Management Service:リージョン間でのシークレットの移行

ステップ 1：移行元リージョンでのシークレット詳細のクエリと保存

移行元リージョンで以下の API を呼び出し、シークレットの再作成に必要なすべての情報を取得します。

例えば、ListSecretVersionIds が 3 つのバージョンを返した場合、それらを作成時間順にソートします。

ステップ 2：移行先リージョンへのアプリケーションの移行

1. ご利用のアプリケーションを移行先リージョンに移動します。

2. 移行先リージョンでアプリケーションの認証情報を作成します。

   • Resource Access Management (RAM) ユーザーまたは RAM ロールの AccessKey ペアを使用する場合：移行先リージョンで RAM ユーザーまたは RAM ロールを作成し、AliyunKMSSecretAdminAccess ポリシーをアタッチします。詳細については、「RAM ユーザーの作成と権限付与」および「RAM ロールの作成とポリシーのアタッチ」をご参照ください。

   • アプリケーションアクセスポイント (AAP) のクライアントキーを使用する場合：まず KMS インスタンスを購入し、次に移行先リージョンでクライアントキーを作成します。詳細については、「AAP の作成」をご参照ください。

3. ご利用のアプリケーションでエンドポイントと認証情報の設定を更新します。

   KMS エンドポイントと KMS インスタンスのエンドポイントは異なります。使用する SDK に基づいてエンドポイントを設定してください。詳細については、「SDK リファレンス」をご参照ください。

ステップ 3：移行先リージョンでのシークレットの作成

1. 移行先リージョンで KMS インスタンスを購入します。詳細については、「インスタンスの選択」および「KMS インスタンスの購入と有効化」をご参照ください。

2. KMS インスタンスでキーを作成し、シークレットを暗号化します。詳細については、「キー管理の概要」をご参照ください。

3. 以下の API を呼び出して、同一のメタデータ、バージョン、値を持つシークレットを再作成します。

   API	設定内容
   CreateSecret	DescribeSecret から取得した値を secretName、secretType、Tags、Description、ExtendedConfig に使用します。VersionId には、初期バージョン (この例では v1) を使用します。SecretData と SecretDataType には、初期バージョンの GetSecretValue から取得した値を使用します。
   PutSecretValue	残りの各バージョンを保存します。この例では、v2 と v3 に対してそれぞれ 1 回ずつ呼び出します。
   UpdateSecretVersionStage	各バージョンのステージを設定します。この例では、v1 → 001、v2 → ACSPrevious、v3 → ACSCurrent となります。

4. 両方のリージョンで DescribeSecret を呼び出し、シークレットに関する情報が同じであることを確認します。

ステップ 4：アプリケーションの検証

移行先リージョンでアプリケーションをテストし、シークレットにアクセスでき、期待どおりに動作することを確認します。

ステップ 5：移行元リージョンでのシークレットの削除

移行先リージョンでアプリケーションが正しく動作することを確認した後、移行元リージョンでシークレットを削除します。詳細については、「汎用シークレットの管理と使用」をご参照ください。

シークレットを削除する前に、ActionTrail を使用してシークレットへの最近の API 呼び出しを確認してください。シークレット関連のイベントには、GetSecretValue、DescribeSecret、ListSecretVersionIds、PutSecretValue、UpdateSecret、UpdateSecretVersionStage、UpdateSecretRotationPolicy、RestoreSecret が含まれます。詳細については、「ActionTrail を使用した KMS イベントのクエリ」および「KMS の監査イベント」をご参照ください。