CMEK 鍵のローテーション

顧客管理の暗号鍵（CMEK）を使用すると、Cloud KMS で管理する暗号鍵を使用して、サポートされているCloud de Confiance サービス内のデータを保護できます。鍵の自動ローテーションは、設定されたスケジュールで構成することも、手動でローテーションすることもできます。このドキュメントでは、基盤となる Cloud KMS 鍵がローテーションされたときに、CMEK 統合サービスで何が起こるかについて説明します。

CMEK での鍵のローテーションの仕組み

Cloud KMS で鍵をローテーションすると、Cloud KMS はその鍵の新しいバージョンを作成します。新しい鍵バージョンがプライマリ バージョンになり、データの保護に使用されるデータ暗号鍵（DEK）の暗号化に使用できるようになります。以前の鍵バージョンはアクティブな状態が維持され、それらで暗号化された DEK の復号に使用できます。このプロセスにより、古いデータにいつでもアクセスできるようになります。

CMEK 統合サービスによって鍵のローテーションの処理方法は異なりますが、主に次の 3 つのパターンがあります。

• 新しい鍵バージョンがすべてのデータを保護する: サービスが新しい鍵バージョンがプライマリになったことを検出すると、サービスは以前の鍵バージョンで暗号化された DEK を自動的に再暗号化します。新しいデータと既存のデータの両方を保護する DEK は、現在のプライマリ鍵バージョンで暗号化されます。既存の DEK の再暗号化には時間がかかる場合がありますが、完了すると以前の鍵バージョンは使用されなくなります。
• 新しい鍵バージョンが今後使用される: サービスが新しい鍵バージョンがプライマリになったことを検出すると、以降の暗号化リクエストでは新しい鍵バージョンが使用されます。このリソースのデータを保護する DEK は、現在の鍵バージョンと以前の鍵バージョンを組み合わせて使用します。
• 新しい鍵バージョンが使用されない: 新しいプライマリ鍵バージョンが存在するかどうかにかかわらず、リソースの作成時に構成された元の鍵バージョンで DEK の暗号化が続行されます。

鍵のローテーション後のサービス固有の動作

次の表に、 Cloud de Confiance by S3NSで使用可能なサービス（ Cloud de Confiance by S3NSで使用できないリソースを含む）のサービス固有のローテーション動作を示します。 次の表に、リソースタイプまたはリソースタイプのセットごとのローテーションの詳細を示します。

• キーを継承できる: リソースが親リソースからキーを継承できるかどうか。
• 一意のキーを使用できる: リソースが親リソースから継承されたものではなく、独自の一意のキーを使用できるかどうか。
• 鍵を変更できる: リソースの更新中に、リソースを保護する新しい CMEK を選択できるかどうか。
• 新しいデータ: 新しい DEK が、プライマリ鍵バージョンで暗号化されるか、リソースに CMEK が構成されたときにプライマリだった元の鍵バージョンで暗号化されるか。
• 既存のデータ: 既存の DEK が主キーのバージョンで再暗号化されるか、リソースに CMEK が構成されたときにプライマリだった元のキーのバージョンで暗号化されたままになるか。

次のステップ

• 鍵をローテーションする方法を確認する。
• 顧客管理の暗号鍵（CMEK）の概要を読む。