Key Management Service:対称キーへのキーマテリアルのインポート

機能概要

キーは KMS の基本リソースであり、キー ID、基本メタデータ（キーのステータスなど）、およびキーマテリアルで構成されます。キー作成時に、KMS にキーマテリアルを生成させるか、外部キーマテリアル起源を選択できます。外部キーマテリアル起源を選択した場合、外部キーマテリアルをキーにインポートする必要があります。この機能は一般的に Bring Your Own Key (BYOK) と呼ばれます。キーマテリアルのインポートをサポートする KMS キー管理タイプの詳細については、以下の表をご参照ください。キー管理タイプの詳細については、「キー管理タイプとキー仕様」をご参照ください。

注意事項

• キーマテリアルを生成する際は、要件を満たす乱数ジェネレータを使用してください。

• キーマテリアルをキーに初めてインポートした後、そのキーはそのキーマテリアルにバインドされ、他のキーマテリアルのインポートはできなくなります。

• 同一のキーマテリアルを KMS キーに複数回インポートできますが、異なるキーマテリアルを同じ KMS キーにインポートすることはできません。

• キーのキーマテリアルが有効期限切れまたは削除された場合、再度同一のキーマテリアルをインポートすることで、キーを再び使用可能にできます。インポートされたキーマテリアルはエクスポートできません。キーマテリアルは安全に保管してください。

適用範囲

KMS インスタンスが購入済みかつ有効化済みである必要があります。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

ステップ 1：外部キーマテリアル起源を持つ対称キーの作成

キーマテリアルをインポートする前に、外部キーマテリアル起源を持つ対称キーを作成します。

作成後、キーのステータスは インポート待ち になります。

ステップ 2：ラッピング公開鍵とインポートトークンのダウンロード

キーマテリアルをインポートするためのパラメーターには、ラッピング公開鍵とインポートトークンが含まれます。ラッピング公開鍵はキーマテリアルを暗号化し、インポートプロセス中にキーマテリアルを保護するために使用されます。インポートトークンはキーマテリアルをインポートするために使用されます。

1. 対象のキーを見つけ、操作 列の 詳細 をクリックします。キーマテリアル セクションで、インポートのパラメーターを取得 をクリックします。

2. キーマテリアルインポートのパラメーターを取得します ダイアログボックスで、パブリックキータイプ と 暗号化アルゴリズム を選択し、次へ をクリックします。

   キー管理タイプ	ラッピング用公開鍵タイプ	暗号化アルゴリズム
   デフォルトキー（カスタマーマスターキー）	RSA_2048	RSAES_OAEP_SHA_1、RSAES_OAEP_SHA_256、RSAES_PKCS1_V1_5（非推奨）
   ソフトウェア保護キー	RSA_2048	RSAES_OAEP_SHA_256、RSAES_PKCS1_V1_5（非推奨）
   ハードウェア保護キー	RSA_2048	RSAES_OAEP_SHA_256、RSAES_PKCS1_V1_5（非推奨）

3. ラッピング公開鍵とインポートトークンをダウンロードし、安全に保管してください。

   • パブリックキー形式：

     • DER形式：ダウンロードされるファイル名はデフォルトで WrappingPublicKey**.bin です。

     • PEM形式：ダウンロードされるファイル名はデフォルトで WrappingPublicKey**.pem です。

   • トークンのインポート：ダウンロードされるファイル名はデフォルトで ImportToken***.txt です。

     重要

     • インポートトークンの有効期間は 24 時間で、この期間内であれば再利用可能です。有効期限が切れた場合は、新しいインポートトークンと公開鍵を取得する必要があります。

     • ラッピング公開鍵とインポートトークンはペアで使用する必要があります。あるダウンロードで取得したラッピング公開鍵と、別のダウンロードで取得したインポートトークンを組み合わせて使用することはできません。

ステップ 3：ラッピング公開鍵を使用したキーマテリアルの暗号化

ステップ 2：ラッピング公開鍵とインポートトークンのダウンロード でダウンロードしたラッピング公開鍵と指定されたラッピングアルゴリズムを使用して、キーマテリアルを暗号化します。

1. OpenSSL を使用して、32 バイトの乱数をキーマテリアルとして生成します。すでにキーマテリアルをお持ちの場合は、この手順をスキップしてください。

   説明

   HMAC キーを作成する場合は、「HMAC キーマテリアルの長さ」を参照し、必要なバイト数に置き換えてからキーマテリアルを生成してください。

   openssl rand -out KeyMaterial.bin 32

2. 指定された暗号化アルゴリズムに基づいてキーマテリアルを暗号化します。

   説明

   例で使用している暗号化アルゴリズムは RSAES_OAEP_SHA_256 です。

   例では公開鍵に DER 形式 を使用しています。公開鍵ファイルをダウンロードする際に PEM 形式 を選択した場合は、例の -keyform DER を -keyform PEM に置き換えてください。

   PublicKey.bin は、ステップ 2：ラッピング公開鍵とインポートトークンのダウンロード でダウンロードした公開鍵ファイルの名前に置き換えてください。

   openssl pkeyutl -encrypt \
     -in KeyMaterial.bin \
     -inkey PublicKey.bin \
     -keyform DER \
     -pubin \
     -out EncryptedKeyMaterial.bin \
     -pkeyopt rsa_padding_mode:oaep \
     -pkeyopt rsa_oaep_md:sha256 \
     -pkeyopt rsa_mgf1_md:sha256

3. 暗号化されたキーマテリアルを Base64 エンコードし、テキストファイルに保存します。

   openssl enc -e -base64 -A -in EncryptedKeyMaterial.bin -out EncryptedKeyMaterial_base64.txt

   説明

   EncryptedKeyMaterial_base64.txt は KMS にインポート可能なキーマテリアルファイルです。

ステップ 4：キーマテリアルのインポート

キーの詳細ページで、キーマテリアルのインポート をクリックします。ラップされたキーマテリアルのインポート ダイアログボックスで設定を完了後、OK をクリックします。

キーマテリアルのインポートが成功すると、キーのステータスは インポート待ち から 有効化 に変化します。

付録

よくある質問

• キーマテリアルを削除できますか？

  はい。

  インポートされたキーマテリアルが有効期限切れまたは削除された後、キーは使用できなくなります。キーを通常通り使用するには、再度同一のキーマテリアルをインポートする必要があります。

  • キーマテリアルの直接削除

    • コンソール：キーの詳細ページの キーマテリアル セクションで、キーマテリアルを削除 をクリックします。

    • API：DeleteKeyMaterial 操作を呼び出してキーマテリアルを削除します。この操作ではキー自体は削除されません。

  • KMS による有効期限後の自動削除

    キーマテリアルをインポートする際に有効期限を設定します。KMS は指定された時刻後に期限切れのキーマテリアルを削除します。

• 同一のキーマテリアルを再インポートするにはどうすればよいですか？

  キーマテリアルが有効期限切れまたは削除された後、再度同一のキーマテリアルをインポートすることで、キーの使用を継続できます。

  1. 期限切れのキーマテリアルを削除します。

     キーの詳細ページで キーマテリアル タブをクリックし、キーマテリアルを削除 をクリックします。

  2. 新しいラッピング公開鍵とインポートトークンをダウンロードします。詳細については、「ステップ 2：ラッピング公開鍵とインポートトークンのダウンロード」をご参照ください。

     キーラッピングプロセスはキーマテリアルの内容に影響しません。そのため、異なるラッピング公開鍵およびラッピングアルゴリズムを使用して、同一のキーマテリアルをインポートできます。

  3. ラッピング公開鍵を使用してキーマテリアルを暗号化します。詳細については、「」をご参照ください。

     キーマテリアルは、以前に期限切れとなったものと同じである必要があります。

  4. インポートトークンを使用して暗号化されたキーマテリアルをインポートします。詳細については、「ステップ 4：キーマテリアルのインポート」をご参照ください。

• キーマテリアルが外部ソースからインポートされたものか、KMS によって生成されたものかを確認するにはどうすればよいですか？

  • 方法 1：KMS コンソールで確認する

    • デフォルトキー：キー管理 ページで デフォルトキー タブをクリックし、対象のキーを見つけ、操作 列の 詳細 をクリックします。詳細ページで キーマテリアルソース を確認します。

    • ソフトウェア保護キー、ハードウェア保護キー：キー管理 ページで キー タブをクリックし、インスタンス管理 を選択し、対象のキーを見つけ、操作 列の 詳細 をクリックします。詳細ページで キーマテリアルソース を確認します。

  • 方法 2：DescribeKey 操作を呼び出す

    Origin の値が EXTERNAL の場合、キーマテリアルは外部ソースからインポートされています。Origin の値が Aliyun_KMS の場合、キーマテリアルは KMS によって生成されています。

• インポートされたキーマテリアルを使用するキーをローテーションするにはどうすればよいですか？

  • インポートされた外部キーマテリアルを持つソフトウェア保護対称キーは、即時手動ローテーションのみをサポートしており、自動定期ローテーションはサポートしていません。詳細については、「BYOK キーのローテーション」をご参照ください。

  • インポートされた外部キーマテリアルを持つソフトウェア保護非対称キーは、ローテーションをサポートしていません。

  • インポートされた外部キーマテリアルを持つハードウェア保護キー（対称および非対称の両方）は、ローテーションをサポートしていません。

関連ドキュメント

• KMS キーの概要

• キー管理タイプとキー仕様

• 非対称キーへのキーマテリアルのインポート