KMS バックアップ管理機能は、誤って削除された場合や災害発生時などに備えて、ご利用のキーおよびシークレットを保護し、コンプライアンス要件に基づくデータ保持期間を満たすとともに、復旧時間を最小限に抑えるのに役立ちます。本トピックでは、自動バックアップおよび手動バックアップの有効化方法、およびバックアップデータの復元・有効期間延長・リセット・ダウンロード方法について説明します。
適用範囲
サポートされるインスタンスタイプ
ソフトウェアキー管理インスタンスおよびハードウェアキー管理インスタンスの両方がバックアップをサポートしています。詳細については、「キーの管理」をご参照ください。
ソフトウェアキー管理インスタンス：キーメタデータ、キーマテリアル、およびシークレットデータのバックアップをサポートします。
ハードウェアキー管理インスタンス：
バックアップ範囲：ハードウェアキーのメタデータのみがバックアップされます。キーマテリアルは含まれず、代わりに関連付けられた HSM クラスターによってバックアップされます。詳細については、「データのバックアップとリカバリ」をご参照ください。
重要ハードウェアインスタンスのキーデータを完全に保護するには、KMS バックアップと HSM バックアップの両方を有効化する必要があります。
イメージバージョン要件：ハードウェアキー管理インスタンスでバックアップ機能を使用するには、イメージバージョン 3.9.1 以降が必要です。アップグレード方法については、「KMS インスタンスのイメージバージョンをアップグレードする」をご参照ください。
復元先の範囲
単一アカウント：ご利用のアカウント内の任意のソフトウェアキー管理インスタンスに復元できます。
マルチアカウント共有：バックアップおよび復元操作はリソース所有者のみが実行できます。
リソース所有者が作成したリソース：リソース所有者が所有する任意のソフトウェアキー管理インスタンスに復元できます。
リソースコンシューマーが作成したリソース：元の共有 KMS インスタンスにのみ復元できます。復元後は、双方がそのリソースを利用できます。
ハードウェアキー管理インスタンス：現在、元のインスタンスへのデータ復元はサポートされていません。データは新しいインスタンスにのみ復元できます。
ユースケース
リリース済みのソフトウェアキー管理インスタンスまたはハードウェアキー管理インスタンスを復旧する。
誤って削除されたキーまたはシークレットを復元する。
ビジネスが複数のリージョンにまたがっている場合に、ディザスタリカバリや低レイテンシアクセスのために他のリージョンにキーまたはシークレットをコピーする。
機能
各バックアップでは、1 つの KMS インスタンスのデータをバックアップできます。KMS には、自動バックアップと手動バックアップの 2 種類のバックアップモードがあります。
自動バックアップ：
2024 年 4 月 26 日以降に作成されたソフトウェアキー管理インスタンスでは、デフォルトで有効になっています。KMS が自動的にバックアップを作成します。詳細については、「[お知らせ] ソフトウェアキー管理タイプの KMS インスタンスが自動バックアップ機能をサポート」をご参照ください。
2026 年 4 月 1 日以降に作成されたハードウェアキー管理インスタンスでは、デフォルトで自動バックアップが有効になります。
手動バックアップ：デフォルトバックアップと購入バックアップが含まれます。このモードは手動で有効化する必要があります。
項目 | 説明 | 自動バックアップ | 手動バックアップ | |
デフォルトバックアップ | 購入バックアップ | |||
コスト | 追加料金が発生するかどうか。 | 無料です。 | 無料です。 | 有料です。 料金は購入期間および設定された閲覧可能日数に基づいて計算されます。 |
バックアップ削除ポリシー | バックアップデータが削除されるデフォルトのタイミング。 | バックアップのライフサイクルは関連付けられた KMS インスタンスに依存します。KMS インスタンスがリリースされてから 90 日後にバックアップデータが削除されます。 バックアップデータの手動削除はサポートされていません。 | 無期限に有効です。リセット操作により手動で削除できます。 | バックアップのライフサイクルは購入期間に依存します。有効期限切れから 15 日後にバックアップがリリースされ、削除されます。 リセット操作による手動削除もサポートされています。 重要 バックアップの有効期限が切れた後は、いかなる操作もサポートされません。ただし、リリースされる前に有効期限切れのバックアップを更新して再アクティブ化し、使用できます。更新料金は、同じ仕様の新しいバックアップを購入する場合と同じです。 |
閲覧可能日数 | 閲覧可能なバックアップデータの日数。 例：購入バックアップの閲覧可能日数を 50 日に設定し、バックアップデータが 80 日前のものである場合、最新の 50 日分のバックアップデータのみが表示されます。それ以前のデータを表示するには、閲覧可能日数を延長する必要があります。 説明 キーのローテーションスケジュールおよびディザスタリカバリ要件に基づいて、閲覧可能日数を設定してください。 | 90 日。延長できません。 | 7 日。延長できません。 | 購入時に 7～600 日の範囲で選択します。 購入後も閲覧可能日数を延長できますが、スペックダウンはサポートされていません。 |
バックアップスケジュール | バックアップが実行される時刻。 | 初回実行時は完全バックアップが実行されます。その後、毎日 00:00 に完全バックアップが実行され、各完全バックアップ完了後は 5 分ごとに増分バックアップが実行されます。 | ||
バックアップタイプ | バックアップソースを区別し、迅速に識別できるようにします。 | System Created | Default | Paid |
データのバックアップ
事前準備
バックアップを復元する前に、ターゲットインスタンスが以下の条件を満たしている必要があります。
ターゲットインスタンスにキーまたはシークレットの十分なクォータがあること。
ターゲットリージョンに同名のキーまたはシークレットが存在しないこと。復元時に上書きする場合は、事前にターゲットリージョンの既存のキーまたはシークレットを削除してください。
シークレットを復元する場合、そのシークレットを暗号化するために使用されたキーがすでにターゲットインスタンスに存在すること。
自動バックアップ
ソフトウェアキー管理インスタンスまたはハードウェアキー管理インスタンスを有効化すると、KMS がそのインスタンスのバックアップを自動的に作成します。インスタンスの有効化方法については、「KMS インスタンスの購入と有効化」をご参照ください。
インスタンスを有効化した後、KMS が自動的にバックアップを生成します。Backupsページで確認できます。KMS が作成したバックアップのBackup TypeはSystem Createdに設定され、Backup Objectはご利用のキー管理インスタンスと一致します。
手動バックアップ
KMS コンソールにログインします。
（オプション）バックアップを購入します。
説明デフォルトバックアップを使用する場合は、このステップをスキップしてください。
Backupsページで、Create Backupをクリックし、必要に応じてパラメーターを設定してから、Buy Nowをクリックします。
パラメーター
説明
キー管理タイプ
キー付加価値サービスを選択します。
キー付加価値サービス
インスタンスバックアップを選択します。
リージョン
バックアップ対象のソフトウェアキー管理インスタンスと同じリージョンである必要があります。
閲覧可能日数
閲覧可能なバックアップデータの日数。
数量
購入するバックアップの数。
説明各バックアップは 1 つの KMS インスタンスのデータをバックアップできます。
期間
バックアップの購入期間。
注文の確認ページで、サービス契約を確認し、支払いを完了します。
バックアップを有効化します。
重要バックアップを初めて有効化する際は、完全バックアップが実行されます。その後、毎日 00:00 に完全バックアップが実行され、各完全バックアップ完了後は 5 分ごとに増分バックアップが実行されます。
Backupsページで、対象のバックアップを見つけ、Actions列の有効化をクリックします。
Enable Backupダイアログボックスで、パラメーターを設定してから、OKをクリックします。
パラメーター
説明
Backup Type
ソフトウェアキー管理またはハードウェアキー管理を選択します。タイプを切り替えると、バックアップ対象フィールドがリセットされます。
Backup Object
バックアップするキー管理インスタンスを選択します。リストには、有効化済みで、選択したバックアップデータ仕様に一致するインスタンスのみが表示されます。
Backup Data
デフォルト値：キーおよびシークレット。このパラメーターは変更できません。
Backup Alias
バックアップのカスタムエイリアス。
（オプション）バックアップデータを表示します。
対象のバックアップのActions列で、View Dataをクリックし、日付を選択して、その日のバックアップデータを表示します。
データタイプ
説明
Fully Backed up Keys
選択した日に 00:00 にバックアップされたすべてのキー。
Incrementally Backed up Keys
選択した日に新しく追加されたキー。
Rotated Keys
選択した日にローテーションされたキー。
Fully Backed up Secrets
選択した日に 00:00 にバックアップされたすべてのシークレット。
Incrementally Backed up Secrets
選択した日に新しく追加されたシークレット。
Rotated Secrets
選択した日にローテーションされたシークレット。
データの復元
ソフトウェアインスタンスの復元
KMS コンソールにログインします。
対象のバックアップのActions列で、Extend Queryable Rangeをクリックして、データを復元する日付を選択します。
重要購入バックアップの場合、復元するデータが現在の閲覧可能日数の範囲外にある場合は、まず閲覧可能日数を延長してから復元してください。閲覧可能日数を延長しても、バックアップが有効化される前のデータは復元できません。
例：2024 年 5 月 1 日にバックアップを有効化し、閲覧可能日数を 10 日に設定した場合、2024 年 5 月 20 日に 5 月 5 日のデータを復元するには、閲覧可能日数を 16 日に延長する必要があります。
データタイプ
手順
キー
Data Type（例：Fully Backed up Keys）を選択し、対象のキーを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
シークレット
シークレットを暗号化するキーを復元します。
説明ターゲットインスタンスにシークレットを暗号化するキーが存在している必要があります。ターゲットインスタンスにキーがすでに存在していることを確認している場合は、このステップをスキップして、直接シークレットの復元に進んでください。
Data Type（例：Fully Backed up Keys）を選択し、シークレットに関連付けられたキーを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
シークレットを復元します。
Data Type（例：Fully Backed up Secrets）を選択し、対象のシークレットを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
ハードウェアインスタンスの復元
操作上の注意点
現在、元のインスタンスへのデータ復元はサポートされていません。データは新しいインスタンスにのみ復元できます。
最終的なデータ整合性を確保するため、HSM バックアップの時刻を KMS バックアップの時刻より 1 日遅らせて設定してください。
ステップ 1：HSM データのバックアップ
ハードウェアインスタンスの購入時に関連付けられた HSM インスタンスのデータバックアップおよびリカバリを有効化している場合は、このステップをスキップしてください。
VSMsページで、対象の HSM を見つけ、をクリックします。
構成変更ページで、データバックアップおよびリカバリを有効化し、ミラーコピーの数を選択します。サービス契約を確認し、チェックボックスをオンにしてから、今すぐ購入をクリックして購入を完了します。
重要ミラーコピーの数を、KMS インスタンスバックアップで設定された閲覧可能日数と一致させてください。一致していない場合、バックアップが不完全になる可能性があります。例：閲覧可能日数を 30 日に設定した場合は、30 個のミラーコピーを購入する必要があります。
購入が成功すると、スケジュールに基づいて自動的にバックアップが作成されます。Backupsページで、生成されたバックアップ名を確認できます。
ステップ 2：ハードウェアキー管理インスタンスの作成とデータの復元
データの復元：HSM バックアップデータが生成された後、以下の手順に従ってデータを復元します。
HSM インスタンスの準備：
ハードウェアキー管理インスタンスを復元するリージョンで HSM インスタンスを購入します。
バックアップ管理はクラスターモードでデプロイされた HSM のみをサポートしています。購入時には、必ず 2 つ以上の可用性ゾーンにまたがる HSM を 2 台以上選択する必要があります。詳細については、「HSM インスタンスの購入」をご参照ください。
警告購入後は、HSM インスタンスを有効化しないでください。ターゲット HSM がすでに利用中の場合は、Alibaba Cloud テクニカルサポートに連絡して、HSM インスタンスを無効化および初期化してもらってください。
HSM データの復元：
暗号化サービス管理コンソールにログインします。
Backupsページで、ハードウェアキー管理インスタンスに関連付けられた HSM のバックアップデータを選択します（Backup TypeはAuto Create）。
説明最新のバックアップを選択してください。
対象のバックアップのActions列で、View Imageをクリックします。
イメージバックアップ詳細ページで、対象のイメージのActions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、Restore Instance（前のステップで購入した HSM インスタンス）を選択してから、OKをクリックします。
ハードウェアキー管理インスタンスの購入と有効化：
KMS コンソールにログインします。
ハードウェアキー管理タブで、インスタンスの作成をクリックし、ハードウェアキー管理インスタンスの仕様を選択してから、今すぐ購入をクリックします。
ハードウェアキー管理タブに戻り、新しく購入したハードウェアキー管理インスタンスを見つけ、Actions列の有効化をクリックします。
Connect to HSMパネルのSelect Clusterセクションで、ステップ 1 で購入した HSM インスタンスを選択してから、Connect to HSMをクリックします。
ハードウェアキー管理インスタンスデータの復元：
KMS コンソールにログインします。
対象のバックアップのActions列で、Extend Queryable Rangeをクリックして、データを復元する日付を選択します。
重要購入バックアップの場合、復元するデータが現在の閲覧可能日数の範囲外にある場合は、まず閲覧可能日数を延長してから復元してください。閲覧可能日数を延長しても、バックアップが有効化される前のデータは復元できません。
例：2024 年 5 月 1 日にバックアップを有効化し、閲覧可能日数を 10 日に設定した場合、2024 年 5 月 20 日に 5 月 5 日のデータを復元するには、閲覧可能日数を 16 日に延長する必要があります。
データタイプ
手順
キー
Data Type（例：Fully Backed up Keys）を選択し、対象のキーを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
シークレット
シークレットを暗号化するキーを復元します。
説明ターゲットインスタンスにシークレットを暗号化するキーが存在している必要があります。ターゲットインスタンスにキーがすでに存在していることを確認している場合は、このステップをスキップして、直接シークレットの復元に進んでください。
Data Type（例：Fully Backed up Keys）を選択し、シークレットに関連付けられたキーを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
シークレットを復元します。
Data Type（例：Fully Backed up Secrets）を選択し、対象のシークレットを見つけ、Actions列のUpload Backupをクリックします。
Upload Backupダイアログボックスで、ターゲットリージョンおよびインスタンス情報を選択してから、OKをクリックします。
その他の操作
表示可能日数の延長
表示可能日数の延長は、購入済みのバックアップのみでサポートされており、スペックアップのみが可能です (スペックダウンはできません)。
KMS コンソールにログインします。
対象のバックアップの Actions 列で、View Data をクリックします。
バックアップ詳細ページで 更新 をクリックし、延長後の表示可能日数を選択して Buy Now をクリックし、支払いを完了します。
バックアップのリセット
リセット操作は、デフォルトバックアップと購入済みバックアップでのみサポートされています。リセットすると、バックアップされたすべてのデータが削除され、バックアップとソフトウェアキー管理インスタンスとのバインドが解除されます。
リセットすると、このバックアップによってバックアップされたすべてのデータが完全に削除されます。操作は慎重に行ってください。
KMS コンソールにログインします。
対象のバックアップの Actions 列で、Reset をクリックします。
Reset ダイアログボックスのプロンプトをよく読み、OK をクリックします。
リセット後、バックアップステータスは 無効 に変わります。その後、ソフトウェアキー管理インスタンスに再バインドできます。
バックアップの更新
購入済みのバックアップのみ更新をサポートしています。
KMS コンソールにログインします。
対象のバックアップの Actions 列で、Renew をクリックします。
更新ページで、購入期間を選択し、サービス契約を確認して、支払いを完了します。
バックアップデータファイルのダウンロード
バックアップデータファイルをダウンロードした後は、安全に保管してください。バックアップデータファイルは、KMS コンソールでのデータ復元にのみ使用できます。
KMS コンソールにログインします。
対象のバックアップの Actions 列で、Download をクリックします。
Download ダイアログボックスで、Backup Date を選択し、OK をクリックします。
説明バックアップデータが 表示可能日数 の範囲外である場合は、ダウンロードする前に表示可能日数を延長する必要があります。
バックアップデータを保存します。
Decryption Key の横にある
アイコンをクリックしてキーをコピーし、ローカルに保存します。Backup Data の横にある Download をクリックして、バックアップデータファイルをダウンロードし、安全に保存します。
重要データ暗号化キーは、ダウンロードしたバックアップデータファイルの復号に使用されます。KMS はデータ暗号化キーやバックアップデータファイルを保存しません。データ漏えいを防ぐため、これらを安全に保管してください。
バックアップデータファイルのアップロード
国境を越えてバックアップデータファイルをアップロードする場合は、データエクスポートに関する関連法規を遵守していることを確認してください。
KMS コンソールにログインします。
Backups ページで、Import Backup Data をクリックします。
Import Backup Data ダイアログボックスで、Decryption Key と Backup Name を入力し、OK をクリックします。
ファイル選択ダイアログで、バックアップデータファイルを選択し、[開く] をクリックします。
アップロードが成功すると、Backups ページでアップロードされたデータを表示できます。Backup Type は Upload と表示されます。
関連 HSM 情報の表示
この情報は、バックアップが必要な HSM クラスターを特定するのに役立ちます。データ整合性を確保するために、HSM バックアップ時間を KMS バックアップ時間より 1 日遅く設定してください。
KMS コンソールにログインします。
Backups ページで、対象のバックアップの Actions 列にある Extend Queryable Range をクリックします。
バックアップ詳細ページの基本情報パネルで、次の HSM 関連フィールドを表示できます：
クラスター ID：ハードウェアインスタンスに関連付けられた HSM クラスター ID。
プライマリ HSM：HSM クラスター内のプライマリ HSM ID。
よくある質問
バックアップの表示可能な日数を確認するにはどうすればよいですか？
Backups ページの Queryable Range フィールドで確認できます。
クォータ不足で復元に失敗した場合はどうすればよいですか？
ターゲットインスタンスのキーまたはシークレットがクォータ制限に達したために復元が失敗した場合、ターゲットインスタンスから未使用のキーまたはシークレットを削除して領域を解放するか、ターゲットインスタンスをより高い仕様にスペックアップしてください。クォータの問題を解決した後、復元をリトライしてください。
復元中に名前の競合が発生した場合はどうすればよいですか？
復元するには、ターゲットインスタンスに同じ名前のキーまたはシークレットが存在しないことが必要です。競合が発生した場合は、まずターゲットインスタンス内の競合するリソースを削除してから、リトライしてください。既存のリソースを保持するには、削除する前に名前を変更するか、別のターゲットインスタンスに復元してください。
期限切れのバックアップはどのように処理すればよいですか？
購入済みのバックアップの場合、有効期限が切れると操作はサポートされません。バックアップがまだリリースされていない場合 (有効期限切れから 15 日以内)、更新して再アクティブ化することができます。更新料金は、同じ仕様の新しいバックアップの購入料金と同じです。自動バックアップは更新できず、関連付けられた KMS インスタンスのライフサイクルに依存します。