すべてのプロダクト
Search

このプロダクト

    Key Management Service:KMS バックアップ管理

    ドキュメントセンター

    Key Management Service:KMS バックアップ管理

    最終更新日:Aug 28, 2026

    Key Management Service (KMS) のバックアップ管理は、偶発的な削除や災害シナリオからキーとシークレットを保護することで、コンプライアンス保持要件を満たし、復旧時間を最小限に抑えることができます。このトピックでは、自動バックアップと手動バックアップを有効にする方法、およびバックアップデータを復元、延長、リセット、ダウンロードする方法について説明します。

    範囲

    サポート対象のインスタンスタイプ

    ソフトウェアキー管理インスタンスとハードウェアキー管理インスタンスは、いずれもバックアップに対応しています。詳細については、「Manage keys」をご参照ください。

    • ソフトウェアキー管理インスタンス：キーメタデータ、キーマテリアル、シークレットデータのバックアップが可能です。

    • ハードウェアキー管理インスタンス：

      • バックアップ範囲：バックアップ対象はハードウェアキーのメタデータのみです。キーマテリアルは含まれず、関連付けられた HSM クラスターがバックアップします。詳細については、「データのバックアップと復元」をご参照ください。

        重要

        ハードウェアインスタンス内のキーデータを完全に保護するには、KMS バックアップと HSM バックアップの両方を有効にする必要があります。

      • イメージバージョン要件：ハードウェアキー管理インスタンスでバックアップ機能を使用するには、イメージバージョンが 3.9.1 以降である必要があります。アップグレードするには、「Upgrade the image version of a KMS instance」をご参照ください。

    復元対象範囲

    • 単一アカウント：アカウント内の任意のソフトウェアキー管理インスタンスに復元できます。

    • マルチアカウント共有：バックアップと復元の操作は、リソース所有者のみが実行できます。

      • リソース所有者が作成したリソース：リソース所有者が所有する任意のソフトウェアキー管理インスタンスに復元できます。

      • リソースコンシューマーが作成したリソース：元の共有 KMS インスタンスにのみ復元できます。復元後は、両者がそのリソースを使用できます。

        説明

        共有関係が終了した後は、復元はできません。

    • ハードウェアキー管理インスタンス：現時点では、元のインスタンスへのデータの復元はできません。データは新しいインスタンスにのみ復元できます。

    ユースケース

    • リリースされたソフトウェアキー管理インスタンスまたはハードウェアキー管理インスタンスを回復します。

    • 誤って削除されたキーまたはシークレットを復元します。

    • ビジネスが複数のリージョンにまたがる場合、ディザスタリカバリまたは低レイテンシーアクセスのために、キーまたはシークレットを他のリージョンにコピーします。

    機能

    各バックアップでは、1 つの KMS インスタンスのデータをバックアップできます。KMS には、自動バックアップと手動バックアップの 2 つのバックアップモードがあります。

    • 自動バックアップ：

      • 2024 年 4 月 26 日以降に作成されたソフトウェアキー管理タイプの KMS インスタンスでは、デフォルトで有効になっています。KMS がバックアップを自動的に作成します。詳細については、「[Announcement] KMS instances of the software key management type support the automatic back feature」をご参照ください。

      • 2026 年 4 月 1 日以降に作成されたハードウェアキー管理インスタンスでは、自動バックアップがデフォルトで有効になっています。

    • 手動バックアップ：デフォルトバックアップと有料バックアップがあります。このモードは手動で有効にする必要があります。

    項目

    説明

    自動バックアップ

    手動バックアップ

    デフォルトバックアップ

    有料バックアップ

    コスト

    追加料金が発生するかどうか。

    無料。

    無料。

    有料。

    料金は、購入期間と設定した表示可能日数に基づいて計算されます。

    バックアップ削除ポリシー

    バックアップデータがデフォルトで削除されるタイミング。

    バックアップライフサイクルは、関連付けられた KMS インスタンスに準じます。バックアップデータは、KMS インスタンスのリリースから 90 日後に削除されます。

    バックアップデータは手動では削除できません。

    無期限に有効です。リセット操作による手動削除が可能です。

    バックアップライフサイクルは、購入期間に準じます。バックアップは、有効期限の 15 日後にリリースされ、削除されます。

    リセット操作による手動削除も可能です。

    重要

    バックアップの有効期限が切れた後は、いかなる操作も実行できません。ただし、リリースされる前であれば、有効期限切れのバックアップを更新して再アクティブ化し、使用できます。更新料金は、同一仕様の新規バックアップを購入する場合と同じです。

    表示可能日数

    表示できるバックアップデータの日数。

    たとえば、有料バックアップの表示可能日数を 50 日に設定し、バックアップデータが 80 日前のものである場合、直近 50 日分のバックアップデータのみが表示されます。より前のデータを表示するには、表示可能日数を延長する必要があります。

    説明

    キーのローテーションスケジュールとディザスタリカバリ要件に基づいて、表示可能日数を設定してください。

    90 日。延長できません。

    7 日。延長できません。

    購入時に 7～600 日を選択します。

    購入後に表示可能日数を延長することもできますが、ダウングレードはできません。

    バックアップスケジュール

    バックアップが実行される時刻。

    初回の実行時に完全バックアップが実行されます。その後は、毎日 00:00 に完全バックアップが実行され、各完全バックアップの完了後は 5 分ごとに増分バックアップが実行されます。

    バックアップタイプ

    バックアップソースを区別し、迅速に識別するために使用します。

    [System Created]

    [Default]

    [Paid]

    データのバックアップ

    事前準備

    バックアップを復元するには、ターゲットインスタンスが以下の条件を満たしている必要があります。

    • ターゲットインスタンスに、キーまたはシークレットの十分なクォータがあること。

    • ターゲットリージョンに、同じ名前のキーまたはシークレットが存在しないこと。復元時に上書きする場合は、ターゲットリージョン内の既存のキーまたはシークレットを先に削除してください。

    • シークレットを復元する場合、そのシークレットの暗号化に使用されたキーがターゲットインスタンスに既に存在している必要があります。

    自動バックアップ

    ソフトウェアキー管理インスタンスまたはハードウェアキー管理インスタンスを有効にすると、KMS は自動的にそのインスタンスのバックアップを作成します。インスタンスを有効にする方法の詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

    インスタンスが有効化されると、KMS は自動的にバックアップを生成します。このバックアップは Backups ページで表示できます。KMS によって作成されたバックアップでは、バックアップタイプ が System Created に設定され、Backup Object がキー管理インスタンスと一致します。

    手動バックアップ

    1. KMS コンソールにログインします。

    2. (オプション) バックアップを購入します。

      説明

      デフォルトバックアップを使用する場合は、この手順をスキップしてください。

      1. Backups ページで Create Backup をクリックし、必要に応じてパラメーターを設定してから、今すぐ購入 をクリックします。

        パラメータ

        説明

        キー管理タイプ

        [キーの付加価値サービス] を選択します。

        キーの付加価値サービス

        [インスタンスのバックアップ] を選択します。

        リージョン

        バックアップするソフトウェアキー管理インスタンスまたはハードウェアキー管理インスタンスと同じリージョンを選択する必要があります。

        表示可能日数

        表示できるバックアップデータの日数。

        数量

        購入するバックアップの数。

        説明

        各バックアップで、1 つの KMS インスタンスのデータをバックアップできます。

        期間

        バックアップの購入期間。

      2. [注文の確認] ページで、サービス規約を確認し、支払いを完了します。

    3. バックアップを有効にします。

      重要

      バックアップを初めて有効にすると、完全バックアップが実行されます。その後、毎日 00:00 に完全バックアップが実行され、各完全バックアップの完了後 5 分ごとに増分バックアップが実行されます。

      1. Backups ページで、対象のバックアップを見つけ、Actions 列の 有効化 をクリックします。

      2. Enable Backup ダイアログボックスでパラメーターを設定し、OK をクリックします。

        パラメータ

        説明

        [Backup Type]

        ソフトウェアキー管理 または ハードウェアキー管理 を選択します。タイプを切り替えると、バックアップ先フィールドはリセットされます。

        [Backup Object]

        バックアップするキー管理インスタンスを選択します。リストには、有効化済みで、選択したバックアップデータ仕様に一致するインスタンスのみが表示されます。

        [Backup Data]

        デフォルト値： [キー] および [シークレット]。このパラメータは変更できません。

        [Backup Alias]

        バックアップのカスタムエイリアス。

    4. (オプション) バックアップデータを表示します。

      対象のバックアップの Actions 列で、View Data をクリックし、日付を選択して、その日のバックアップデータを表示します。

      データタイプ

      説明

      [Fully Backed up Keys]

      選択した日の 00:00 にバックアップされたすべてのキー。

      [Incrementally Backed up Keys]

      選択した日に新しく追加されたキー。

      [Rotated Keys]

      選択した日にローテーションされたキー。

      [Fully Backed up Secrets]

      選択した日の 00:00 にバックアップされたすべてのシークレット。

      [Incrementally Backed up Secrets]

      選択した日に新しく追加されたシークレット。

      [Rotated Secrets]

      選択した日にローテーションされたシークレット。

    データの復元

    ソフトウェアインスタンスの復元

    1. KMS コンソールにログインします。

    2. 対象のバックアップのActions列でExtend Queryable Rangeをクリックして、データを復元したい日付を選択します。

      重要

      有料バックアップの場合、復元するデータが現在の表示可能日数の範囲外にある場合は、まず表示可能日数を延長してから復元してください。バックアップを有効にする前のデータは、表示可能日数を延長しても復元できません。

      例：2024年5月1日にバックアップを有効化し、表示可能日数を10日に設定した場合、2024年5月20日に5月5日のデータを復元するには、表示可能日数を16日に延長する必要があります。

      データ型

      手順

      キー

      1. データ型 (たとえば、Fully Backed up Keys) を選択し、対象のキーを見つけ、Upload Backup を Actions 列でクリックします。

      2. Upload Backup ダイアログボックスで、対象リージョンとインスタンス情報を選択し、OK をクリックします。

      シークレット

      1. シークレットを暗号化するキーを復元します。

        説明

        ターゲットインスタンスには、シークレットを暗号化するキーが存在する必要があります。キーがターゲットインスタンスに既に存在することが確実な場合は、この手順をスキップして直接シークレットを復元してください。

        1. データ型 (例: Fully Backed up Keys) を選択し、シークレットに関連付けられたキーを見つけ、Actions 列の Upload Backup をクリックします。

        2. Upload Backup ダイアログボックスで、ターゲットリージョンとインスタンス情報を選択し、OK をクリックします。

      2. シークレットを復元します。

        1. データ型 (たとえば、Fully Backed up Secrets) を選択し、対象のシークレットを見つけ、Actions 列で Upload Backup をクリックします。

        2. Upload Backup ダイアログボックスで、対象リージョンとインスタンス情報を選択し、OK をクリックします。

    ハードウェアインスタンスの復元

    操作に関する注意事項

    • 元のインスタンスへのデータ復元は現在サポートされていません。データは新しいインスタンスにのみ復元できます。

    • データの結果整合性を確保するため、HSM バックアップ時刻を KMS バックアップ時刻より1日後に設定してください。

    ステップ 1：HSM データのバックアップ

    ハードウェアインスタンスの購入時に関連付けたHSMインスタンスのデータのバックアップと復元を有効にした場合は、この手順をスキップしてください。

    1. 仮想 HSM インスタンス ページで、対象の HSM を探し、スペックアップ をクリックします。

      説明

      スペックアップ が利用できない場合、HSM ですでにバックアップとリカバリが有効になっている可能性があります。

    2. 設定変更ページで、データのバックアップと復元を有効にし、ミラーイメージの数を選択します。サービス規約を確認し、チェックボックスをオンにしてから、[今すぐ購入] をクリックして購入を完了します。

      重要

      [ミラーイメージ] の数は、KMS インスタンスバックアップに設定した表示可能日数と一致させてください。そうしないと、バックアップが不完全になる可能性があります。たとえば、表示可能日数を30日に設定した場合、30個のミラーイメージを購入する必要があります。

    3. 購入が成功すると、スケジュールに基づいてバックアップが自動的に作成されます。生成されたバックアップ名は、Backups ページで表示できます。

    ステップ 2：ハードウェアキー管理インスタンスの作成とデータの復元

    1. データの復元：HSM バックアップデータが生成されたら、以下の手順に従ってデータを復元します。

      1. HSM インスタンスの準備：

        1. ハードウェアキー管理インスタンスを復元するリージョンと同じリージョンで HSM インスタンスを購入します。

        2. バックアップ管理は、クラスターモードでデプロイされた HSM のみをサポートします。購入時には、デュアルアベイラビリティゾーンにまたがって、少なくとも 2 つの HSM を選択する必要があります。詳細については、「HSM インスタンスを購入する」をご参照ください。

          警告

          購入後、HSMインスタンスを有効にしないでください。ターゲット HSM が既に使用中の場合は、Alibaba Cloud テクニカルサポートに連絡して、まずHSMインスタンスを無効化およびリセットしてください。

      2. HSM データの復元：

        1. 暗号化サービス管理コンソールにログインします。

        2. Backups ページで、ハードウェアキー管理インスタンスに関連付けられている HSM のバックアップデータ（Backup Type が 自動作成）を選択します。

          説明

          最新のバックアップを選択してください。

        3. 対象のバックアップのActions列にあるイメージの表示をクリックします。

        4. イメージバックアップ詳細ページで、対象のイメージのActions列にあるUpload Backupをクリックします。

        5. Upload Backup ダイアログボックスで、バックアップと復元 (前の手順で購入した HSM インスタンス) を選択し、OK をクリックします。

      3. ハードウェアキー管理インスタンスの購入と有効化：

        1. KMS コンソールにログインします。

        2. ハードウェアキー管理 タブで、インスタンスの作成 をクリックし、ハードウェアキー管理インスタンスの仕様を選択して、[今すぐ購入] をクリックします。

        3. ハードウェアキー管理 タブに戻り、新しく購入したハードウェアキー管理インスタンスを見つけ、Actions 列の 有効化 をクリックします。

        4. Connect to HSM パネルの Select Cluster セクションで、ステップ 1 で購入した HSM インスタンスを選択し、次に Connect to HSM をクリックします。

      4. ハードウェアキー管理インスタンスデータの復元：

        1. KMS コンソールにログインします。

        2. 対象のバックアップのActions列でExtend Queryable Rangeをクリックして、データを復元したい日付を選択します。

          重要

          有料バックアップの場合、復元するデータが現在の表示可能日数の範囲外にある場合は、まず表示可能日数を延長してから復元してください。バックアップを有効にする前のデータは、表示可能日数を延長しても復元できません。

          例：2024年5月1日にバックアップを有効化し、表示可能日数を10日に設定した場合、2024年5月20日に5月5日のデータを復元するには、表示可能日数を16日に延長する必要があります。

          データ型

          手順

          キー

          1. データ型 (たとえば、Fully Backed up Keys) を選択し、対象のキーを見つけ、Upload Backup を Actions 列でクリックします。

          2. Upload Backup ダイアログボックスで、対象リージョンとインスタンス情報を選択し、OK をクリックします。

          シークレット

          1. シークレットを暗号化するキーを復元します。

            説明

            ターゲットインスタンスには、シークレットを暗号化するキーが存在する必要があります。キーがターゲットインスタンスに既に存在することが確実な場合は、この手順をスキップして直接シークレットを復元してください。

            1. データ型 (例: Fully Backed up Keys) を選択し、シークレットに関連付けられたキーを見つけ、Actions 列の Upload Backup をクリックします。

            2. Upload Backup ダイアログボックスで、ターゲットリージョンとインスタンス情報を選択し、OK をクリックします。

          2. シークレットを復元します。

            1. データ型 (たとえば、Fully Backed up Secrets) を選択し、対象のシークレットを見つけ、Actions 列で Upload Backup をクリックします。

            2. Upload Backup ダイアログボックスで、対象リージョンとインスタンス情報を選択し、OK をクリックします。

    関連操作

    閲覧可能日数の延長

    重要

    購入済みのバックアップでのみ閲覧可能日数の延長が可能で、アップグレード (ダウングレードは不可) のみがサポートされます。

    1. KMS コンソールにログインします。

    2. 対象のバックアップのActions 列で、View Data をクリックします。

    3. バックアップ詳細ページで、スペックアップ をクリックし、延長後の閲覧可能日数を選択して、今すぐ購入 をクリックし、支払いを完了します。

    バックアップのリセット

    デフォルトバックアップと購入済みバックアップでのみ、リセット操作が可能です。リセットすると、バックアップされたすべてのデータが削除され、バックアップはソフトウェアキー管理インスタンスからバインド解除されます。

    警告

    リセットすると、このバックアップのすべてのデータが完全に削除されます。この操作は元に戻すことができないため、慎重に実行してください。

    1. KMS コンソールにログインします。

    2. 対象のバックアップのActions列で、Resetをクリックします。

    3. Reset ダイアログボックスの注意事項をよくお読みいただき、OK をクリックします。

      リセット後、バックアップステータスは無効に変更されます。その後、ソフトウェアキー管理インスタンスに再バインドできます。

    バックアップの更新

    購入済みのバックアップのみ更新が可能です。

    1. KMS コンソールにログインします。

    2. 対象のバックアップのActions列で、Renewをクリックします。

    3. 更新ページで、購入期間を選択し、サービス利用規約を確認した上で支払いを完了します。

    バックアップデータファイルのダウンロード

    重要

    バックアップデータファイルをダウンロードした後は、安全な場所に保管してください。バックアップデータファイルは、KMS コンソールでのデータの復元にのみ使用できます。

    1. KMS コンソールにログインします。

    2. 対象のバックアップのActions列で、Downloadをクリックします。

    3. Download ダイアログボックスで、Backup Date を選択し、次に OK をクリックします。

      説明

      バックアップデータが [閲覧可能日数] の期間外である場合は、ダウンロードする前に閲覧可能日数を延長する必要があります。

    4. バックアップデータを保存します。

      • Decryption Key の横にある Copy icon アイコンをクリックしてキーをコピーし、ローカルに保存します。

      • Backup Data の横にある Download をクリックしてバックアップデータファイルをダウンロードし、安全に保存します。

      重要

      データ暗号化キーは、ダウンロードしたバックアップデータファイルの復号に使用します。KMS は [データ暗号化キー] や [バックアップデータファイル] を保存しません。データ漏洩を防ぐため、これらを安全に保管してください。

    バックアップデータファイルのアップロード

    重要

    国境を越えてバックアップデータファイルをアップロードする場合は、データエクスポートに関する関連法規制を遵守してください。

    1. KMS コンソールにログインします。

    2. Backups ページで、Import Backup Data をクリックします。

    3. Import Backup Data ダイアログボックスで、Decryption Key と Backup Name を入力し、OK をクリックします。

    4. ファイル選択ダイアログで、バックアップデータファイルを選択して [開く] をクリックします。

      アップロードが成功すると、Backups ページでアップロードされたデータを表示できます。バックアップタイプ は Upload として表示されます。

    関連付けられた HSM 情報の表示

    説明

    この情報は、バックアップが必要な HSM クラスターを特定する際に役立ちます。データ一貫性を確保するため、HSM のバックアップ時刻を KMS のバックアップ時刻より 1 日後に設定してください。

    1. KMS コンソールにログインします。

    2. Backups ページで、対象のバックアップの Actions 列の Extend Queryable Range をクリックします。

    3. バックアップ詳細ページの基本情報セクションで、以下の HSM 関連フィールドを確認できます。

      • [クラスター ID]：ハードウェアインスタンスに関連付けられた HSM クラスターの ID。

      • [プライマリ HSM]：HSM クラスター内のプライマリ HSM の ID。

    よくある質問

    • バックアップの閲覧可能日数を確認するにはどうすればよいですか?

      Backups ページで、Queryable Range フィールドを確認します。

    • クォータ不足が原因で復元が失敗した場合はどうすればよいですか?

      ターゲットインスタンスがキーまたはシークレットのクォータ制限に達したために復元が失敗した場合は、ターゲットインスタンスから未使用のキーまたはシークレットを削除して空き容量を確保するか、ターゲットインスタンスをより高い仕様にアップグレードしてください。クォータの問題を解決した後、復元を再試行してください。

    • 復元中に名前の競合が発生した場合はどうすればよいですか?

      復元では、ターゲットインスタンスに同じ名前のキーまたはシークレットが存在しない必要があります。競合が発生した場合は、まずターゲットインスタンス内の競合するリソースを削除してから、再試行してください。既存のリソースを保持したい場合は、そのリソースの名前を変更して競合を解消するか、別のターゲットインスタンスに復元してください。

    • 期限切れのバックアップはどのように処理すればよいですか?

      購入済みバックアップの場合、期限切れ後は一切の操作ができなくなります。バックアップがまだ解放されていない場合 (期限切れ後 15 日以内)、更新して再アクティブ化できます。更新料金は、同じ仕様の新しいバックアップを購入する場合と同じです。自動バックアップは更新できず、関連付けられた KMS インスタンスのライフサイクルに依存します。