Key Management Service (KMS) は、クラウドベースの暗号化サービスです。Cloud Hardware Security Module (HSM) と連携して、キーの管理、シークレットの保護、データセキュリティ要件への対応を支援します。
概要
Key Management Service (KMS) は、安全でコンプライアンスに準拠したキーおよびシークレット管理を SaaS ソリューションとして提供します。クラウドプロダクトのサーバー側暗号化をサポートし、中国の国家標準に準拠した暗号化サービスを提供します。また、KMS は機密データをシークレットとして保存することで、認証情報のハードコーディングを排除し、データ漏えいのリスクを低減します。KMS を使用することで、独自の暗号化インフラストラクチャを構築・維持するオーバーヘッドを回避できます。
Cloud Hardware Security Module (HSM) は、ハードウェアセキュリティモジュールを介してクラウドベースの暗号化と復号を提供する IaaS ソリューションです。中国本土のコンプライアンス要件や、FIPS 140-3 などの国際基準を満たしています。
利用シーン
Key Management Service (KMS)
機密データの暗号化と保護
Alibaba Cloud は、クラウドで生成または保存される機密データを保護するために、複数の暗号化メソッドを提供しています。
情報システムのセキュリティコンプライアンス要件への対応
企業や組織が情報システムのコンプライアンス評価を行う際には、通常、次の 2 つの状況が考えられます。
規制により、情報システムに暗号技術の使用が義務付けられている場合。この場合、暗号技術とキー管理システムは、特定の技術基準とセキュリティ規制を満たす必要があります。
規制で暗号技術が義務付けられていないが、それを使用することでコンプライアンス対応が迅速化される場合。たとえば、スコアベースの評価でより多くのポイントを獲得できます。
KMS シークレットと ISV サービスの統合
ユーザーは KMS でシークレットを管理し、ISV サービスにそのシークレットへのアクセスを許可します。KMS はセキュリティの中間役として機能し、両者がそれぞれの役割を維持しながら、システムのセキュリティを確保できます。
Cloud Hardware Security Module (HSM)
オンプレミスの HSM ワークロードのクラウドへの移行
データセンターの HSM ワークロードを Elastic Compute Service (ECS) に移行する際、オンプレミスのハードウェアを Cloud HSM に置き換えて、暗号化、復号、署名、署名検証を行い、クラウドデータを保護します。
暗号化アプリケーションへのコンプライアンス準拠の暗号化・復号機能の提供
例えば、Cloud HSM は、Alibaba Cloud 専用 KMS と連携して機密性の高いアプリケーションデータの暗号化と復号、データベース暗号化アプリケーションと連携してデータベースデータの暗号化と復号、およびファイル暗号化アプリケーションと連携してファイルストレージの暗号化と復号に使用できます。
HTTPS Web サイトの SSL オフロード
中国本土の GVSM は SSL オフロードをサポートしており、サーバーの CPU 負荷を軽減し、クライアントの応答時間を改善します。また、Cloud HSM は証明書の秘密鍵を生成することで、秘密鍵の保護を強化し、サーバーからの秘密鍵の漏えいを防ぎます。
証明書の秘密鍵の保護
認証局 (CA) が発行したデジタル証明書について、証明書の秘密鍵を HSM に保存し、HSM を使用して署名操作を行うことで、証明書の秘密鍵を保護できます。
Oracle TDE との統合
Cloud HSM は Oracle データベースと統合し、透過的データ暗号化 (TDE) を提供します。TDE は、暗号鍵をデータベースの外部にある HSM に保存し、そのキーを使用してデータベースファイル内の機密データを暗号化することで、機密データのセキュリティを確保します。
機密データの暗号化
公共サービス、E コマース、金融業界では、Cloud HSM をアプリケーションと統合して、ユーザーの機密データを暗号化または保存し、セキュリティとコンプライアンスの要件を満たすことができます。
特徴
Key Management Service (KMS)
キーの管理と使用
キーのライフサイクル管理：キーの作成、保存、配布、使用、破棄といったライフサイクル全体を管理します。
キーのローテーション：自動および手動でのキーのローテーションをサポートします。
Bring Your Own Key (BYOK)：独自のキーマテリアルをインポートして、データセキュリティに対するコントロールを強化します。
暗号化操作：対称キーと非対称キーを使用した暗号化、復号、署名、検証をサポートします。
シークレットの管理と使用
シークレットのライフサイクル管理：シークレットの作成、保存、配布、使用、破棄といったライフサイクル全体を管理します。
シークレットの使用：アプリケーションに機密データをハードコーディングする代わりに、KMS からシークレットを取得します。
マルチアカウントのリソース共有：KMS インスタンスの所有者 (リソース所有者) は、インスタンスを他の Alibaba Cloud アカウント (プリンシパル) と共有できます。プリンシパルは、キーとシークレットを作成したり、キーを使用してサーバー側暗号化や自己管理アプリケーションでのデータ暗号化を行ったり、シークレットを保存してハードコーディングされた認証情報を排除したりできます。
バックアップ管理：バックアップクォータを購入後、KMS データをバックアップします。他の KMS インスタンスへのクロスリージョンバックアップもサポートされています。
アクセス制御：キーに対するアクセス制御と監査機能を提供し、許可されたユーザーとシステムのみがアクセスできるようにします。
ログ記録：キーとシークレットのアクセスログを記録し、監査とモニタリングに利用します。
Cloud Hardware Security Module (HSM)
共有仮想 HSM と専用 HSM：すべての HSM は、中国の暗号法および FIPS 140-3 などの国際基準を満たしています。中小企業や低パフォーマンスのシナリオでは共有仮想 HSM を、大企業、金融機関、または高いセキュリティとパフォーマンスが求められるシナリオでは専用 HSM を選択できます。
キー管理：デバイス管理とキー管理の権限は分離されています。Alibaba Cloud は HSM の可用性とアクティベーションを管理し、お客様はすべてのキーを管理します。Alibaba Cloud がお客様のキーにアクセスすることはありません。
暗号化と復号：HSM ベンダーの API を使用して、暗号化、復号、署名、検証を行います。
データのバックアップと復元：HSM インスタンスのデータを復元して、誤操作から回復したり、別のインスタンスにデータを複製したりできます。
セキュリティ監査：HSM の運用ログは、コンプライアンス対応のために監査フォーマットで Object Storage Service (OSS) に自動的に保存されます。