Key Management Service:KMS と統合されたクラウドサービス

サービス

説明

関連ドキュメント

Elastic Compute Service (ECS)

ECS のクラウドディスク暗号化では、デフォルトでサービスキーを使用するか、指定したカスタマーマネージドキー (CMK) を使用します。各クラウドディスクには、エンベロープ暗号化用の CMK とデータキーが関連付けられます。

ECS インスタンスとそのクラウドディスク間で転送されるデータは、ホスト上で自動的に暗号化および復号化され、パフォーマンスへの影響はほとんどありません。

暗号化の概要

Container Service for Kubernetes (ACK)

ACK は、2 種類のワークロードデータに対して KMS ベースのサーバー側の暗号化をサポートしています。

• Kubernetes Secret

  Kubernetes Secret は、パスワード、TLS 証明書、イメージプル認証情報などの機密データをクラスターの etcd に保存します。

• ボリューム

  ボリューム (クラウドディスク、OSS バケット、または NAS ファイルシステム) は、それぞれの KMS 暗号化方式を使用できます。

KMSを使用した保管中のSecretの暗号化

Container Registry (ACR)

ACR は、中間者攻撃や不正なイメージ使用を防ぐため、名前空間レベルでの自動イメージ署名をサポートしています。プッシュされたイメージは一致ルールに基づいて署名され、配信からデプロイまでの整合性が保証されます。

コンテナイメージ署名の使用

Elastic Container Instance (ECI)

各 ECI Pod には、コンテナイメージとランタイムデータ用の 30 GiB の一時ストレージ領域 (拡張可能) があります。この領域の暗号化を有効にすることで、機密データを保護できます。

一時ストレージ領域の暗号化

サービス

説明

関連ドキュメント

Object Storage Service (OSS)

• OSS は、アップロードされたデータのサーバー側の暗号化をサポートしています。

  • アップロード時：OSS は受信したデータを永続化する前に暗号化します。

  • ダウンロード時：OSS は保存されたデータを復号化し、プレーンテキストを返します。レスポンスヘッダーは、サーバー側の暗号化が適用されたことを示します。

• OSS は、2 つのサーバー側の暗号化方式を提供します。

  • OSS 管理キーによるサーバー側の暗号化 (SSE-OSS)

    OSS 内部キーを使用する以前の方式です。追加の操作なしで簡単に設定できます。

    重要

    OSS 管理キーは、ActionTrail で追跡または監査できません。

  • KMS によるサーバー側の暗号化 (SSE-KMS)

    KMS と統合してキーの生成と管理を行い、より高いセキュリティとコンプライアンスを提供します。

    • SSE-KMS は、2 種類のキータイプをサポートしています。

      • サービスキー：KMS が OSS 用に自動的に作成および管理するデフォルトのキーです。手動での作成は不要です。

      • カスタマーマネージドキー (CMK)：KMS で作成および管理するキーです。キーのライフサイクル全体 (作成、無効化、ローテーション) を制御でき、コンプライアンス対応のために ActionTrail で使用状況を追跡できます。

        説明

        Resource Directory を通じて共有された KMS インスタンスのキーも、OSS データを暗号化できます。詳細については、「複数のアカウント間でKMSリソースを共有する」をご参照ください。

    • 設定方法

      SSE-KMS は、柔軟な暗号化設定をサポートしています。

      • バケットレベル：バケット全体にデフォルトの CMK を設定します。

      • オブジェクトレベル：オブジェクトのアップロードごとに CMK を指定して、バケットのデフォルト設定を上書きします。

• サーバー側の暗号化

• SDKリファレンス

File Storage NAS

NAS 暗号化では、デフォルトでサービスキーを使用します。各ボリュームには、エンベロープ暗号化用の一意のカスタマーマネージドキー (CMK) とデータキーが割り当てられます。

サーバー側の暗号化

Tablestore

Tablestore 暗号化では、デフォルトでサービスキーを使用するか、選択したキーを使用します。各テーブルには、エンベロープ暗号化用の一意のカスタマーマネージドキー (CMK) とデータキーが割り当てられます。

なし

Cloud Storage Gateway (CSG)

OSS 暗号化に基づいてデータを暗号化します。

共有の管理

Microservices Engine (MSE)

MSE は KMS と統合して、機密設定データ (データソース、トークン、ユーザー名、パスワード) を暗号化し、プレーンテキストの漏洩リスクを軽減します。

設定の暗号化

Cloud Backup

Cloud Backup は、KMS キーを使用したバックアップデータのサーバー側の暗号化をサポートしています。KMS サービスキーまたはカスタマーマネージドキー (CMK) を使用して、ECS インスタンス、NAS ファイルシステム、OSS バケット、およびその他のデータソースからのバックアップデータを暗号化し、データ漏洩のリスクを軽減できます。

KMS暗号化

サービス

説明

関連ドキュメント

ApsaraDB RDS

RDS は、次の 2 つのデータ暗号化方式を提供します。

• クラウドディスク暗号化

  クラウドディスクを使用する RDS インスタンスでは無料です。ブロックストレージレベルでデータディスク全体を暗号化します。暗号化キーは KMS によって保護され、インスタンスの起動または移行時にのみ取得されます。

• 透過的なデータ暗号化 (TDE)

  MySQL および SQL Server で利用できます。TDE キーは KMS によって保護され、インスタンスの起動または移行時にのみ取得されます。暗号化するデータベースまたはテーブルを指定します。データは、ストレージデバイスまたはサービスに到達する前に暗号化され、データファイルとバックアップが暗号文のままであることが保証されます。

• MySQL：クラウドディスク暗号化、TDEの設定

• SQL Server：クラウドディスク暗号化、TDEの設定

• PostgreSQL：クラウドディスク暗号化

ApsaraDB for MongoDB

透過的なデータ暗号化 (TDE) を提供します。暗号化方式は RDS と同様です。

TDEの設定

PolarDB

• PolarDB for MySQL：TDEの設定

• PolarDB for Oracle：TDEの設定TDEの設定

• PolarDB for PostgreSQL：TDEの設定

OceanBase

TDEの有効化

Tair (Redis OSS-compatible)

TDEの有効化

Tair

TDEの有効化

AnalyticDB

ブロックストレージレベルでデータディスク全体を暗号化し、バックアップが漏洩した場合でも復号化できないようにします。

• MySQL 用：クラウドディスク暗号化

• PostgreSQL 用：クラウドディスク暗号化

ApsaraDB for ClickHouse

クラウドディスク暗号化

サービス

説明

関連ドキュメント

ActionTrail

シングルアカウント証跡またはマルチアカウント証跡を作成する際に、OSS に配信される操作イベントを暗号化できます。

• シングルアカウント証跡の作成

• マルチアカウント証跡の作成

Simple Log Service (SLS)

SLS は、KMS を使用して保管中のデータを暗号化します。

データの暗号化

サービス

説明

関連ドキュメント

MaxCompute

MaxCompute は、サービスキーまたはカスタマーマネージドキー (CMK) によるデータ暗号化をサポートしています。

データの暗号化

Platform for AI

PAI データフローの各段階のクラウドサービス (コンピューティングエンジン、コンテナサービス、データストレージ) は、サーバー側の暗号化をサポートしています。

なし

E-MapReduce

データディスク暗号化は、転送中のデータと保管中のデータの両方を保護し、セキュリティとコンプライアンスの要件を満たすのに役立ちます。

データディスク暗号化の有効化

サービス

説明

関連ドキュメント

CDN

OSS バケットをオリジンとして使用する場合、OSS サーバー側の暗号化をサポートします。

プライベートOSSバケットへのリクエストのリダイレクト

ApsaraVideo Media Processing (MPS)

MPS は、KMS を使用してビデオコンテンツを保護する 2 つの方法をサポートしています：独自暗号化と標準 HLS 暗号化。

なし

ApsaraVideo VOD

VOD は、KMS を使用してビデオコンテンツを保護する 2 つの方法をサポートしています：Alibaba Cloud ビデオ暗号化と標準 HLS 暗号化。

• Alibaba Cloudビデオ暗号化 (独自)

• HLS暗号化

Hologres

Hologres は、KMS を使用して保管中のデータを暗号化し、規制とセキュリティコンプライアンスの要件を満たすのに役立ちます。

データストレージの暗号化

ApsaraVideo Live

ビデオデータを暗号化することで、ダウンロードされたビデオが暗号化された状態を維持し、再配布できなくなります。オンライン教育、金融、業界向けトレーニング、独占ドラマシリーズなどの著作権で保護されたコンテンツの漏洩や不正なホットリンクを防止します。

Alibaba Cloudビデオ暗号化

Wuying Workspace Enterprise Edition

クラウドコンピューターを作成する際に、システムディスクとデータディスクのディスク暗号化を有効にできます。

クラウドコンピューターの作成