すべてのプロダクト
Search

このプロダクト

    Key Management Service:キーの管理

    ドキュメントセンター

    Key Management Service:キーの管理

    最終更新日:Jul 25, 2026

    Key Management Service (KMS) は、キーのライフサイクル全体の管理と安全なストレージを提供します。このドキュメントでは、キーの作成、無効化、削除、削除保護の有効化、タグの管理方法について説明します。

    キーの作成

    デフォルトキー

    デフォルトキーには、サービスキーとカスタマーマスターキー (CMK) が含まれます。クラウドサービスはサービスキーを作成および管理します。お客様は CMK を作成および管理します。

    説明

    デフォルトキー (CMK) は、リージョンごとに 1 つしか作成できません。複数のキーを作成するには、KMS インスタンスを購入する必要があります。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページで、デフォルトキー タブをクリックします。

    3. CMK の 操作 列で 有効化 をクリックし、パラメーターを設定してから [OK] をクリックします。

      パラメーター

      説明

      キーのエイリアス

      キーを識別するためのエイリアスです。エイリアスには、文字、数字、アンダースコア (_)、ハイフン (-)、およびスラッシュ (/) を含めることができます。

      Description

      キーのカスタム説明です。

      Advanced Settings

      キーマテリアルソース

      • Key Management Service：キーマテリアルは KMS によって生成されます。

      • External：KMS はキーマテリアルを生成しません。独自のキーマテリアルをインポートする必要があります。詳細については、「対称キーのキーマテリアルのインポート」をご参照ください。

        説明

        情報を注意深く読み、外部キーマテリアルを使用する方法と意義を理解しました。 を選択してください。

    ソフトウェアキー

    ソフトウェアで保護されたキーを作成する前に、「KMS インスタンスの購入と有効化」を行ってください。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページで、キー タブをクリックします。インスタンス管理 ドロップダウンリストから、ソフトウェアキー管理インスタンスを選択します。次に、キーを作成 をクリックします。

    3. キーを作成 パネルで、パラメーターを設定し、[OK] をクリックします。

      パラメーター

      説明

      キータイプ

      対称キーまたは非対称キーを選択します。

      重要

      認証情報の値を暗号化するためのキーを作成する場合は、[対称キー] を選択してください。

      キー仕様

      キーの仕様です。サポートされている仕様とアルゴリズムについては、「キーのタイプと仕様」をご参照ください。

      • 対称キーの仕様：Aliyun_AES_256

      • 非対称キーの仕様：RSA_2048、RSA_3072、RSA_4096、EC_P256、EC_P256K

      キー使用

      キーの目的です。有効な値は次のとおりです：

      • キーの用途:：データの暗号化と復号を行います。

      • SIGN/VERIFY：デジタル署名の生成と検証を行います。

      キーのエイリアス

      キーを識別するためのエイリアスです。エイリアスには、文字、数字、アンダースコア (_)、ハイフン (-)、およびスラッシュ (/) を含めることができます。

      [タグ]

      キーの分類と管理に役立つタグです。各タグはキーと値のペアです。

      説明

      • タグキーとタグ値のフォーマット：タグキーまたはタグ値は最大 128 文字で、文字、数字、スラッシュ (/)、バックスラッシュ (\)、アンダースコア (_)、ハイフン (-)、ピリオド (.)、プラス記号 (+)、等号 (=)、コロン (:)、アットマーク (@)、およびスペースを含めることができます。

      • タグキーは aliyun または acs: で始めることはできません。

      • 各キーは最大 20 個のタグキーと値のペアをサポートします。

      自動ローテーション

      対称キーのみが自動ローテーションをサポートしており、デフォルトで有効になっています。詳細については、「キーのローテーション」をご参照ください。

      ローテーション期間

      ローテーション期間は 7 日から 365 日の間の値に設定できます。

      Description

      キーの説明です。

      Advanced Settings

      [ポリシー]

      • [デフォルトポリシー]：キーが現在の Alibaba Cloud アカウントまたは共有ユニット内の Alibaba Cloud アカウントによって使用される場合に、このポリシーを選択します。

        • インスタンスが他のアカウントと共有されていない場合：現在の Alibaba Cloud アカウントのみがキーを管理および使用できます。

        • インスタンスが他のアカウントと共有されている場合：例えば、Alibaba Cloud アカウント 1 が KMS インスタンス A を Alibaba Cloud アカウント 2 と共有している場合。

          • Alibaba Cloud アカウント 1 によって作成されたキーの場合：Alibaba Cloud アカウント 1 のみがキーを管理および使用できます。

          • Alibaba Cloud アカウント 2 によって作成されたキーの場合：Alibaba Cloud アカウント 1 と Alibaba Cloud アカウント 2 の両方がキーを管理および使用できます。

      • [カスタムポリシー]：Resource Access Management (RAM) ユーザー、RAM ロール、または他の Alibaba Cloud アカウントにキーの使用を許可する必要がある場合に、このポリシーを選択します。

        重要

        • 管理者またはユーザーを選択しても、Access Management Quantity のクォータは消費されません。他のアカウントからユーザーを選択すると、指定された Alibaba Cloud アカウントの数に基づいて計算される KMS インスタンスの Access Management Quantity のクォータが消費されます。

        • 権限付与を取り消した後、クォータは約 5 分で解放されます。

        • 管理者：キーを管理しますが、暗号操作は実行できません。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。

          管理者の権限リスト

          {
	"Statement": [
		{
			"Action": [
				"kms:List*",
				"kms:Describe*",
				"kms:Create*",
				"kms:Enable*",
				"kms:Disable*",
				"kms:Get*",
				"kms:Set*",
				"kms:Update*",
				"kms:Delete*",
				"kms:Cancel*",
				"kms:TagResource",   
				"kms:UntagResource", 
				"kms:ImportKeyMaterial",
				"kms:ScheduleKeyDeletion"
			]
		}
	]
}

        • ユーザー：暗号操作のみを実行できます。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。同じ Alibaba Cloud アカウント下の同じクラウドサービスインスタンス (例：AI ゲートウェイ) 内の複数のコンシューマーは、すべて同じ KMS キーを参照できます。このアプローチは、集中型の認証情報管理やキーのローテーションワークフローの簡素化によく使用されます。

          ユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
		"kms:TagResource"
            ]
        }
    ]
}

        • 他のアカウントのユーザー：キーを使用して暗号化および復号できます。他の Alibaba Cloud アカウントから RAM ユーザーまたは RAM ロールを指定します。

          • RAM ユーザー：acs:ram::<userId>:user/<ramuser> のフォーマットを使用します。例：acs:ram::11********11****:user/testpolicyuser。

          • RAM ロール：acs:ram::<userId>:role/<ramrole> のフォーマットを使用します。例：acs:ram::11********11****:role/testpolicyrole。

            説明

            RAM ユーザーまたはロールに権限を付与した後、所有者の Alibaba Cloud アカウントを使用して RAM コンソールでキーの使用権限を付与します。

            詳細については、「Key Management Service のカスタムポリシー」、「RAM ユーザーへの権限付与」、「RAM ロールへの権限付与」をご参照ください。

          他のアカウントのユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
	        "kms:TagResource"
            ]
        }
    ]
}

      [キーマテリアルのソース]

      • Key Management Service：キーマテリアルは KMS によって生成されます。

      • 外部 (キーマテリアルのインポート)：KMS はキーマテリアルを生成しません。独自のキーマテリアルをインポートする必要があります。詳細については、「対称キーのキーマテリアルのインポート」および「非対称キーのキーマテリアルのインポート」をご参照ください。

        説明

        情報を注意深く読み、外部キーマテリアルを使用する方法と意義を理解しました。 を選択してください。

    ハードウェアキー

    ハードウェアで保護されたキーを作成する前に、「KMS インスタンスの購入と有効化」を行ってください。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページで、キー タブをクリックします。インスタンス管理 ドロップダウンリストから、ハードウェアキー管理インスタンスを選択します。次に、キーを作成 をクリックします。

    3. キーを作成 パネルで、パラメーターを設定し、[OK] をクリックします。

      パラメーター

      説明

      キータイプ

      対称キーまたは非対称キーを選択します。

      重要

      認証情報の値を暗号化するためのキーを作成する場合は、[対称キー] を選択してください。

      キー仕様

      キーの仕様です。サポートされている仕様とアルゴリズムについては、「キーのタイプと仕様」をご参照ください。

      • 対称キーの仕様：Aliyun_AES_256、Aliyun_AES_192、Aliyun_AES_128

      • 非対称キーの仕様：RSA_2048、RSA_3072、RSA_4096、EC_P256、EC_P256K

      キー使用

      キーの目的です。有効な値は次のとおりです：

      • ENCRYPT/DECRYPT：データの暗号化と復号を行います。

      • SIGN/VERIFY：デジタル署名の生成と検証を行います。

      キーのエイリアス

      キーを識別するためのエイリアスです。エイリアスには、文字、数字、アンダースコア (_)、ハイフン (-)、およびスラッシュ (/) を含めることができます。

      [タグ]

      キーの分類と管理に役立つタグです。各タグはキーと値のペアです。

      説明

      • タグキーとタグ値のフォーマット：タグキーまたはタグ値は最大 128 文字で、文字、数字、スラッシュ (/)、バックスラッシュ (\)、アンダースコア (_)、ハイフン (-)、ピリオド (.)、プラス記号 (+)、等号 (=)、コロン (:)、アットマーク (@)、およびスペースを含めることができます。

      • タグキーは aliyun または acs: で始めることはできません。

      • 各キーは最大 20 個のタグキーと値のペアをサポートします。

      Description

      キーの説明です。

      Advanced Settings > ポリシー設定

      • [デフォルトポリシー]：キーが現在の Alibaba Cloud アカウントまたは共有ユニット内の Alibaba Cloud アカウントによって使用される場合に、このポリシーを選択します。

        • インスタンスが他のアカウントと共有されていない場合：現在の Alibaba Cloud アカウントのみがキーを管理および使用できます。

        • インスタンスが他のアカウントと共有されている場合：例えば、Alibaba Cloud アカウント 1 が KMS インスタンス A を Alibaba Cloud アカウント 2 と共有している場合。

          • Alibaba Cloud アカウント 1 によって作成されたキーの場合：Alibaba Cloud アカウント 1 のみがキーを管理および使用できます。

          • Alibaba Cloud アカウント 2 によって作成されたキーの場合：Alibaba Cloud アカウント 1 と Alibaba Cloud アカウント 2 の両方がキーを管理および使用できます。

      • [カスタムポリシー]：RAM ユーザー、RAM ロール、または他の Alibaba Cloud アカウントにキーの使用を許可する必要がある場合に、このポリシーを選択します。

        重要

        • 管理者またはユーザーを選択しても、Access Management Quantity のクォータは消費されません。他のアカウントからユーザーを選択すると、指定された Alibaba Cloud アカウントの数に基づいて計算される KMS インスタンスの Access Management Quantity のクォータが消費されます。

        • 権限付与を取り消した後、クォータは約 5 分で解放されます。

        • 管理者：キーを管理しますが、暗号操作は実行できません。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。

          管理者の権限リスト

          {
	"Statement": [
		{
			"Action": [
				"kms:List*",
				"kms:Describe*",
				"kms:Create*",
				"kms:Enable*",
				"kms:Disable*",
				"kms:Get*",
				"kms:Set*",
				"kms:Update*",
				"kms:Delete*",
				"kms:Cancel*",
				"kms:TagResource",   
				"kms:UntagResource", 
				"kms:ImportKeyMaterial",
				"kms:ScheduleKeyDeletion"
			]
		}
	]
}

        • ユーザー：暗号操作のみを実行できます。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。同じ Alibaba Cloud アカウント下の同じクラウドサービスインスタンス (例：AI ゲートウェイ) 内の複数のコンシューマーは、すべて同じ KMS キーを参照できます。このアプローチは、集中型の認証情報管理やキーのローテーションワークフローの簡素化によく使用されます。

          ユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
		"kms:TagResource"
            ]
        }
    ]
}

        • 他のアカウントのユーザー：キーを使用して暗号化および復号できます。他の Alibaba Cloud アカウントから RAM ユーザーまたは RAM ロールを指定します。

          • RAM ユーザー：acs:ram::<userId>:user/<ramuser> のフォーマットを使用します。例：acs:ram::11********11****:user/testpolicyuser。

          • RAM ロール：acs:ram::<userId>:role/<ramrole> のフォーマットを使用します。例：acs:ram::11********11****:role/testpolicyrole。

            説明

            RAM ユーザーまたはロールに権限を付与した後、所有者の Alibaba Cloud アカウントを使用して RAM コンソールでキーの使用権限を付与します。

            詳細については、「Key Management Service のカスタムポリシー」、「RAM ユーザーへの権限付与」、「RAM ロールへの権限付与」をご参照ください。

          他のアカウントのユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
	        "kms:TagResource"
            ]
        }
    ]
}

      Advanced Settings > キーマテリアルソース

      • Key Management Service：キーマテリアルは KMS によって生成されます。

      • 外部 (キーマテリアルのインポート)：KMS はキーマテリアルを生成しません。独自のキーマテリアルをインポートする必要があります。詳細については、「対称キーのキーマテリアルのインポート」および「非対称キーのキーマテリアルのインポート」をご参照ください。

        説明

        情報を注意深く読み、外部キーマテリアルを使用する方法と意義を理解しました。 を選択してください。

      Advanced Settings > 追加キーの用途:

      このパラメーターは、キータイプ が 非対称キー に設定されている場合にのみ使用できます。

      追加のキー用途により、単一のキーで複数の目的を果たすことができます。ただし、追加の用途はクラウドサービスによるデータ暗号化には適用されません。

    外部キー

    • 外部キー管理インスタンスを購入し、有効化していることを確認してください。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

    • キー管理インフラストラクチャ (KMI) の XKI プロキシサービスを使用してキーを作成し、その ID を記録します。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページで、キー タブをクリックします。インスタンス管理 ドロップダウンリストから外部キー管理インスタンスを選択し、キーを作成 をクリックします。

    3. キーを作成 パネルで、パラメーターを設定し、[OK] をクリックします。

      パラメーター

      説明

      External Key ID

      XKI 管理サービスによって生成されたキー ID です。

      説明

      同じ外部キー ID を使用して、1 つ以上の KMS キーを作成できます。

      キー仕様

      キーの仕様です。Aliyun_AES_256 のみがサポートされています。

      説明

      サポートされている仕様とアルゴリズムについては、「キーのタイプと仕様」をご参照ください。

      キー使用

      キーの目的です。

      ENCRYPT/DECRYPT：データの暗号化と復号を行います。

      キーのエイリアス

      キーを識別するためのエイリアスです。エイリアスには、文字、数字、アンダースコア (_)、ハイフン (-)、およびスラッシュ (/) を含めることができます。

      [タグ]

      キーの分類と管理に役立つタグです。各タグはキーと値のペアです。

      説明

      • タグキーとタグ値のフォーマット：タグキーまたはタグ値は最大 128 文字で、文字、数字、スラッシュ (/)、バックスラッシュ (\)、アンダースコア (_)、ハイフン (-)、ピリオド (.)、プラス記号 (+)、等号 (=)、コロン (:)、アットマーク (@)、およびスペースを含めることができます。

      • タグキーは aliyun または acs: で始めることはできません。

      • 各キーは最大 20 個のタグキーと値のペアをサポートします。

      Description

      キーの説明です。

      Advanced Settings

      • [デフォルトポリシー]：キーが現在の Alibaba Cloud アカウントまたは共有ユニット内の Alibaba Cloud アカウントによって使用される場合に、このポリシーを選択します。

        • インスタンスが他のアカウントと共有されていない場合：現在の Alibaba Cloud アカウントのみがキーを管理および使用できます。

        • インスタンスが他のアカウントと共有されている場合：例えば、Alibaba Cloud アカウント 1 が KMS インスタンス A を Alibaba Cloud アカウント 2 と共有している場合。

          • Alibaba Cloud アカウント 1 によって作成されたキーの場合：Alibaba Cloud アカウント 1 のみがキーを管理および使用できます。

          • Alibaba Cloud アカウント 2 によって作成されたキーの場合：Alibaba Cloud アカウント 1 と Alibaba Cloud アカウント 2 の両方がキーを管理および使用できます。

      • [カスタムポリシー]：RAM ユーザー、RAM ロール、または他の Alibaba Cloud アカウントにキーの使用を許可する必要がある場合に、このポリシーを選択します。

        重要

        • 管理者またはユーザーを選択しても、Access Management Quantity のクォータは消費されません。他のアカウントからユーザーを選択すると、指定された Alibaba Cloud アカウントの数に基づいて計算される KMS インスタンスの Access Management Quantity のクォータが消費されます。

        • 権限付与を取り消した後、クォータは約 5 分で解放されます。

        • 管理者：キーを管理しますが、暗号操作は実行できません。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。

          管理者の権限リスト

          {
	"Statement": [
		{
			"Action": [
				"kms:List*",
				"kms:Describe*",
				"kms:Create*",
				"kms:Enable*",
				"kms:Disable*",
				"kms:Get*",
				"kms:Set*",
				"kms:Update*",
				"kms:Delete*",
				"kms:Cancel*",
				"kms:TagResource",   
				"kms:UntagResource", 
				"kms:ImportKeyMaterial",
				"kms:ScheduleKeyDeletion"
			]
		}
	]
}

        • ユーザー：暗号操作のみを実行できます。ご利用の Alibaba Cloud アカウントから RAM ユーザーと RAM ロールを選択します。同じ Alibaba Cloud アカウント下の同じクラウドサービスインスタンス (例：AI ゲートウェイ) 内の複数のコンシューマーは、すべて同じ KMS キーを参照できます。このアプローチは、集中型の認証情報管理やキーのローテーションワークフローの簡素化によく使用されます。

          ユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
		"kms:TagResource"
            ]
        }
    ]
}

        • 他のアカウントのユーザー：キーを使用して暗号化および復号できます。他の Alibaba Cloud アカウントから RAM ユーザーまたは RAM ロールを指定します。

          • RAM ユーザー：acs:ram::<userId>:user/<ramuser> のフォーマットを使用します。例：acs:ram::11********11****:user/testpolicyuser。

          • RAM ロール：acs:ram::<userId>:role/<ramrole> のフォーマットを使用します。例：acs:ram::11********11****:role/testpolicyrole。

            説明

            RAM ユーザーまたはロールに権限を付与した後、所有者の Alibaba Cloud アカウントを使用して RAM コンソールでキーの使用権限を付与します。

            詳細については、「Key Management Service のカスタムポリシー」、「RAM ユーザーへの権限付与」、「RAM ロールへの権限付与」をご参照ください。

          他のアカウントのユーザーの権限リスト

           {
    "Statement": [
        {
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
		"kms:GenerateDataKey",
		"kms:GenerateAndExportDataKey",
                "kms:AsymmetricEncrypt",
                "kms:AsymmetricDecrypt",
                "kms:DescribeKey",
                "kms:DescribeKeyVersion",
                "kms:ListKeyVersions",
                "kms:ListAliasesByKeyId",
	        "kms:TagResource"
            ]
        }
    ]
}

    キーの無効化

    キーが不要になった場合は、まず無効化します。使用されていないことを確認した後、削除します。無効化されたキーは暗号操作を実行できません。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページの キー または デフォルトキー タブで、無効化したいキーを見つけ、操作 列の Disable をクリックします。

    3. Disable Key ダイアログボックスで、情報を確認し、[OK] をクリックします。

      Key Association をクリックして、クラウドサービスがサーバー側暗号化にそのキーを使用しているかどうかを確認します。詳細については、「キーの関連付けの確認」をご参照ください。

      キーが無効化されると、そのステータスは 有効化 から Disabled に変わります。また、有効化 をクリックしてキーを再度有効にすることもできます。

    削除保護の有効化

    削除保護は、コンソールまたは API を介してキーが削除されるのを防ぎます。保護されたキーを削除するには、まず削除保護を無効にする必要があります。

    説明

    削除待ち 状態のキーに対して削除保護を有効にすることはできません。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー管理 ページの キー または デフォルトキー タブで、削除保護を有効にしたいキーを見つけ、操作 列の 詳細 をクリックします。

    3. キーの詳細ページで、Deletion Protection スイッチをオンにします。

    4. 有効化 ダイアログボックスで、Enable をクリックします。

    キー削除のスケジューリング

    KMS では、キーを即時に削除することはできません。待機期間をスケジュールし、その期間が終了した後にキーが削除されます。スケジューリングの前に削除保護を無効にしてください。キーが不要になった場合は、まず無効化し、ビジネスへの影響がないことを確認してから削除をスケジュールすることを推奨します。

    警告

    • キーの削除は元に戻せません：待機期間が終了すると、キーは完全に削除されます。このキーで暗号化されたすべてのコンテンツ (派生したデータキーを含む) は、永久に復号できなくなります。削除をスケジュールする前に、キーが使用されていないことを確認してください。

    • サービスキーは手動での削除が不要です: サービスキー (alias/acs/* のプレフィックスが付いており、OSS や RDS などのクラウドサービスによって自動的に作成されます) は、ライフサイクル全体を通じて Alibaba Cloud によってフルマネージドされ、手動で削除または無効化することはできません。サービスキーを保持しても料金は発生しません。サービスキーの使用状況のレコードをクエリするには、ActionTrail の [イベントクエリ] ページに移動します。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー または デフォルトキー タブで、削除したいキーを見つけます。操作 列で、image.png アイコンをクリックし、次に Schedule Deletion をクリックします。

      説明

      現在のコンソールでSchedule Deletion 項目が見つからない場合、キーは KMS 1.0 (レガシバージョン) に属している可能性があります。[KMS レガシコンソール] に移動して、削除をスケジュールしてください。

    3. Schedule Deletion ダイアログボックスで、待機期間を指定し、[OK] をクリックします。

      Key Association をクリックして、クラウドサービスがサーバー側暗号化にそのキーを使用しているかどうかを確認します。詳細については、「キーの関連付けの確認」をご参照ください。

      待機期間を指定すると、キーの状態は 有効化 から 削除待ち に変わります。削除待ち 状態のキーは、暗号化、復号、またはデータキーの生成には使用できません。待機期間が終了する前に、削除のキャンセル を行うことができます。

    公開鍵のダウンロード

    非対称キーの公開鍵をダウンロードします。秘密鍵はダウンロードできません。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー または デフォルトキー タブで、公開鍵をダウンロードするキーを見つけ、詳細 を 操作 列でクリックします。

    3. キーの詳細ページで、Key Version タブをクリックします。次に、管理したいキーバージョンを見つけ、操作 列の View Public Key をクリックします。

    4. View Public Key ダイアログボックスで、Download をクリックします。

    CSR の生成とダウンロード

    KMS は、非対称 CMK の証明書署名要求 (CSR) を生成できます。CSR を認証局 (CA) に提出してデジタル証明書を取得し、セキュアなメール、コード署名、エンドポイント保護、アイデンティティ管理などのユースケースに利用します。

    CSR から証明書を作成する方法については、Certificate Management Service (Original SSL Certificate) の「証明書の作成」をご参照ください。

    説明

    FIPS 140-2 Level 2 に準拠したハードウェアセキュリティモジュール (HSM) を使用して CSR を生成するには、まず準拠した HSM に裏付けられたハードウェアキー管理インスタンスを購入して有効化し、そのインスタンス内に非対称キーを作成する必要があります。その後、コンソールの [CSR の生成] 機能を使用して操作を完了できます。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー タブで、CSR を生成するキーを見つけ、詳細 を 操作 列でクリックします。

    3. キーの詳細ページで、Key Version タブをクリックします。CSR を生成したいキーバージョンを見つけ、操作 列の CSRの生成 をクリックします。パラメーターを設定し、確認 をクリックします。

      パラメーター

      説明

      [コモンネーム (CN)]

      証明書がバインドされるサブジェクト。ドメイン名、サービス名、デバイス名など。

      [組織 (O)]

      組織の法人名。証明書の所有権検証に使用されます。

      • 名前は、句読点や大文字小文字を含め、営業許可証の名前と完全に一致する必要があります。

      • 組織名に & や - などの特殊文字が含まれている場合は、それらを保持する必要があります。

      部門 (OU):

      組織内の特定の部署またはチーム。

      [都道府県 (S)]

      組織が所在する都道府県、市、または自治区の名前。中国語または英語の文字を使用できます。「県」や「府」などを追加する必要はありません。

      [市区町村名 (L)]

      組織が所在する市区町村の名前。中国語または英語の文字を使用できます。「市」などを追加する必要はありません。

      [国/地域 (C)]

      ISO 3166-1 alpha-2 に準拠した 2 文字の国別コード。

      [キーアルゴリズム]

      CA の能力、セキュリティ基準、および互換性の要件に基づいて署名アルゴリズムを選択します。

      • RSA_PKCS1_SHA_256：SHA-256 アルゴリズムを使用してデータのハッシュ値を計算し、RFC 3447/PKCS#1 で定義されている RSASSA-PKCS1-v1_5 アルゴリズムを使用して署名を計算します。

      • RSA_PSS_SHA_256：SHA-256 アルゴリズムを使用してデータのハッシュ値を計算し、RFC 3447/PKCS#1 で定義されている RSASSA-PSS アルゴリズムを使用して署名を計算します。MGF1 with SHA-256 が使用されます。

      メールアドレス (E):

      連絡先のメールアドレスを入力します。

    4. [CSR] ダイアログボックスで、CSR ファイルのダウンロード をクリックし、ファイルを安全な場所に保存します。

    キーの関連付けの確認

    クラウドサービスがサーバー側暗号化にキーを使用しているかどうかを確認します。自己管理アプリケーションの使用状況はチェックされません。キーがまだ使用中の場合は、削除する前に注意してください。

    1. KMS コンソールにログインします。上部のナビゲーションバーで、リージョンを選択します。左側のナビゲーションウィンドウで、リソース > キー管理 を選択します。

    2. キー または デフォルトキー タブで、関連付けを確認したいキーを見つけ、操作 列の 詳細 をクリックします。

    3. Key Association タブで、Check をクリックします。約 1 分待ってから、右側の image.png アイコンをクリックしてチェック結果を表示します。

      • Cloud Service：サポートされているクラウドサービスには、ECS、MSE、Message Queue for RabbitMQ、Message Queue for Apache RocketMQ、ACK が含まれます。

      • Last Called At：クラウドサービスが KMS のキーに最後にアクセスした時刻。

        説明

        呼び出し時間は、過去 365 日以内のリクエストに対してのみ表示されます。

      • Check Status：チェックのステータス。チェックが失敗した場合は、ページをリフレッシュして再試行してください。

      • Service Entry：クラウドサービスが提供する機能で、どのリソースが KMS キーによって暗号化されているかを照会します。

        重要

        現在のアカウントがアクセス権を持つリソースのみが表示されます。

    よくある質問

    KMS インスタンスに表示されるキーのクォータは何を意味し、残りの利用可能なクォータはどのように計算されますか？

    コンソールには、キーのクォータが X (合計バージョン数：Y) / Z の形式で表示されます。ここで：

    • X は作成したキーの数です。

    • Y はすべてのキーの合計バージョン数です。

    • Z はインスタンスの合計キークォータです。

    作成可能な残りのキー数は、次のように計算されます：

    残りのクォータ = 合計クォータ (Z) − 合計キーバージョン数 (Y)

    残りのクォータは、キーの数 (X) ではなく、合計キーバージョン数 (Y) に基づいて計算されます。キーのローテーションごとに新しいキーバージョンが作成され、クォータが 1 単位消費されます。定期的にキーをローテーションする予定がある場合は、事前にキーのクォータをアップグレードすることを推奨します。

    レガシー KMS インスタンスからキーを削除すると、新しい DKMS インスタンスのキーに影響しますか？

    いいえ。レガシー KMS インスタンスのキーと Dedicated KMS (DKMS) インスタンスのキーは独立して管理されます。レガシー KMS インスタンスからキーを削除しても、DKMS インスタンスのキーのセキュリティや可用性には影響しません。