Key Management Service:複数アカウント間での KMS インスタンスの共有

ステップ 1：リソースディレクトリのセットアップとリソース共有の有効化

リソースディレクトリのセットアップ：

1. 管理アカウントでResource Management コンソールにログインします。

2. 左側ナビゲーションウィンドウで、リソースディレクトリ > リソースディレクトリの有効化 を選択し、リソースディレクトリの有効化 をクリックします。詳細については、「リソースディレクトリの有効化」をご参照ください。

3. メンバーアカウントをグループ化するフォルダを作成します：左側ナビゲーションウィンドウで リソースディレクトリ > 管理 を選択し、右上隅の リソース組織ビュー をクリックします。ディレクトリツリーから対象のフォルダを選択し、メンバー タブで フォルダの作成 をクリックします。フォルダ名 を入力し、OK をクリックします。詳細については、「フォルダの作成」をご参照ください。

4. フォルダにメンバーアカウントを追加します：メンバー タブで、メンバーの作成 または メンバーの招待 をクリックします。以下のパラメーターを設定します：

   メンバーの招待

   パラメーター	説明
   アカウント ID またはログインメールアドレス	アカウント登録時に使用したアカウント ID またはログインメールアドレスを入力します。複数のアカウント ID をカンマで区切ることで、一括招待が可能です。アカウント ID の確認方法については、「Alibaba Cloud アカウントの ID を確認する方法
   備考	招待を受け取るユーザーが招待の正当性を確認できるよう、任意の備考を記述します。
   タグ	メンバーアカウントの管理を容易にするために、メンバーアカウントにバインドするタグを指定します。
   親フォルダ	招待されたアカウントを配置するフォルダです。デフォルトではルートフォルダが選択されます。変更 をクリックして変更できます。

   メンバーの作成

   パラメーター	説明
   Alibaba Cloud アカウント名	リソースディレクトリ内におけるメンバーアカウントの固有識別子です。2～50 文字で、英字、数字、および _.- を使用できます。先頭および末尾は英字または数字で始まり・終わり、連続する特殊文字を含めることはできません。
   表示名	2～50 文字で、漢字、英字、数字、および _.- を使用できます。
   課金アカウント	新規メンバーアカウントの料金支払い責任者を選択します。管理アカウント、既存のメンバーアカウント、または新規メンバーアカウント自身のいずれかから選択できます。
   タグ	メンバーアカウントの管理を容易にするために、メンバーアカウントにバインドするタグを指定します。
   親フォルダ	デフォルトではルートフォルダが選択されます。変更 をクリックして変更できます。

リソース共有の有効化：

1. 管理アカウントでリソース共有コンソールにログインします。左側ナビゲーションウィンドウで、リソース共有 > 設定項目 を選択します。

2. 有効化 をクリックし、リソース共有サービスリンクロール ダイアログボックスで OK をクリックします。

   システムは、リソースディレクトリから組織情報を取得するために、AliyunServiceRoleForResourceSharing という名前のサービスリンクロールを自動的に作成します。詳細については、「リソース共有のサービスリンクロール」をご参照ください。

ステップ 2：KMS インスタンスの共有

1. インスタンス所有者としてKey Management Service コンソールにログインします。上部のメニューバーからリージョンを選択し、左側ナビゲーションウィンドウで インスタンス をクリックします。

2. 対象の KMS インスタンスを見つけ、リソースの共有 を 操作 列からクリックします。RD 複数アカウント共有設定 パネルで、共有モードを選択します。

3. リソース共有への追加 パネルで、リソース共有の構成方法を選択します：

   警告

   KMS インスタンスを既存のリソース共有に追加すると、その共有に現在参加しているすべてのプリンシパルが、新しいインスタンスに自動的にアクセスできるようになります。この操作は、インスタンスのアクセス管理クォータを消費し、意図しない権限の昇格を引き起こす可能性があります。慎重に進めてください。

   	作成（推奨）	既存のリソース共有を選択
   使用タイミング	初めて共有する場合、またはインスタンスごとに権限隔離が必要な場合	既存の共有に現在のインスタンスを追加して、そのプリンシパルおよび権限を再利用する場合
   権限範囲	現在の KMS インスタンスのみ；新しく追加されたアカウントのみがアクセス可能	既存のすべてのプリンシパルが新しいインスタンスに自動的にアクセス可能；権限の変更は共有内のすべてのリソースに影響

4. リソース共有のパラメーターを構成し、OK をクリックします：

   新しいリソース共有を作成する場合：

   • リソース共有名 — 最大 50 文字。漢字、英字、数字、および ._- を使用できます。

   • プリンシパル — この KMS インスタンスを使用できるアカウントを指定します。追加される各プリンシパルは、インスタンスの アクセス管理クォータ を消費します。既存のリソース共有からプリンシパルを追加または削除すると、その共有内の すべてのリソース に影響します。以下の 3 種類のプリンシパルがサポートされています：

     プリンシパルタイプ	範囲
     Alibaba Cloud アカウント	指定されたアカウント ID のみとリソースを共有
     リソースディレクトリ組織	リソースディレクトリ内のすべてのメンバーアカウント（今後追加されるメンバーアカウントを含む）とリソースを共有
     フォルダ（組織単位）	指定されたフォルダ（形式：fd-xxxxxxxx）内のすべてのメンバーアカウント（今後追加されるメンバーアカウントを含む）とリソースを共有。フォルダ ID の確認方法については、「フォルダの基本情報を表示」をご参照ください。

     細かい制御を行うには、フォルダまたは Alibaba Cloud アカウント単位でプリンシパルを追加します。

   • 権限 — AliyunRSDefaultPermissionKMSInstance を選択することを推奨します（2 つのバージョン v1 および v2 が利用可能で、新規共有では v2 がデフォルトです）。使用中のバージョンを確認するには、「権限の詳細を表示」をご参照ください。AliyunRSPermissionKMSInstanceReadWrite は非推奨であり、新規共有には使用しないでください。

   既存のリソース共有を選択する場合：

   • リソース共有の選択 — コンソールには、アカウント内のすべてのリソース共有が一覧表示されます。「リソース共有の作成」を参考にしてください。

   • 共有リソース — 読み取り専用です。選択した共有に既に存在するリソースを表示します。この操作完了後、現在の KMS インスタンスが追加されます。

   • プリンシパル および 権限 — 新規共有作成時と同じオプションです。ただし、AliyunRSPermissionKMSInstanceReadWrite は非推奨です。以前に使用していた場合は、その共有に限り継続して使用できます。

リソース共有のプリンシパルの変更

KMS コンソールから：

1. インスタンス所有者としてKey Management Service コンソールにログインします。リージョンを選択し、左側ナビゲーションウィンドウで インスタンス をクリックします。

2. インスタンス ページで、インスタンスタイプに応じて ソフトウェアキー管理 タブまたは ハードウェアキー管理 タブを開きます。

3. 対象のインスタンスを見つけ、リソースの共有 を 操作 列からクリックします。

4. RD 複数アカウント共有設定 パネルで、リソース共有 を選択します。プリンシパル セクションで 編集 をクリックしてプリンシパルを追加または削除し、OK をクリックします。

リソース共有コンソールから：

詳細な手順については、「リソース共有の変更」をご参照ください。

KMS インスタンスの共有の停止

共有の停止とは、リソース共有を削除することを意味します。削除後、すべてのプリンシパルはその共有内のリソースへのアクセスを失います。

この操作は、リソース共有コンソールからのみ実行できます：

1. 管理アカウントでリソース共有コンソールにログインします。

2. 左側ナビゲーションウィンドウで、リソース共有 > 私が共有するリソース を選択します。対象のリソース共有を見つけ、その ID をクリックします。

3. 右上隅の リソース共有の削除 をクリックします。確認ダイアログボックスで OK をクリックします。

ネットワーク接続性

プリンシパルのアプリケーションが VPC 内で実行され、プライベートゲートウェイ経由で KMS にアクセスする必要がある場合、インスタンス所有者は、プリンシパルの VPC を共有 KMS インスタンスにアタッチする必要があります。手順については、「同一リージョン内の複数の VPC からの KMS インスタンスへのアクセス」をご参照ください。

監査およびコンプライアンス

• リソース所有者： ActionTrail を有効化して、共有インスタンスに対するすべての管理操作およびプリンシパルによるすべてのキー操作を記録します。

• プリンシパル： ActionTrail を有効化して、自社アカウント内のすべての API 呼び出しを記録します。

変更管理

• 共有の停止： 共有を停止する前に、プリンシパルは共有インスタンス内で作成したすべてのキーおよびシークレットを削除する必要があります。リソースが残っている場合、共有の停止は失敗します。手順については、「KMS インスタンスの共有の停止」をご参照ください。

• プリンシパルの変更： リソース共有からプリンシパルを追加または削除すると、その共有内のすべてのリソースに影響します。権限の競合を回避するため、異なるビジネスシナリオまたはチームごとに個別のリソース共有を作成してください。手順については、「リソース共有のプリンシパルの変更」をご参照ください。