Key Management Service とは

Classic/VPC環境で利用できます。

Key Management Serviceを円滑に利用するために暗号化と暗号化キーに関する様々な基本概念を説明します。

• データ暗号化
• キーライフサイクル
• 封筒暗号化

データ暗号化

データ暗号化とは、任意のキーを利用して平文データを解析不可能な暗号文データに変換することを意味します。ユーザーは暗号文データに適したキーを使用して復号化した後、元の平文データが得られます。この時、最も重要な要素は他ならぬ「キー」です。キーが安全に保護されると、認可されていない方法による平文表示はほとんど不可能であると知られています。データをやり取りする送信・受信の両側が安全に共有されたキーをお互い知っている場合、キーを利用して暗号化・復号化通信を行うとデータの機密性を保障できます。通信において送信・受信間でキーを安全に共有してデータを暗号化・復号化する方法はいろいろありますが、一般的にはよく知られているSSL/TLSプロトコルを利用します。

キーライフサイクル

データの暗号化時に使用する暗号化キーは作成から消滅される一連のライフサイクルを持ちます。ライフサイクルに応じて使用可能、使用停止、削除リクエスト、削除の状態で区分できます。キーの状態は、そのキーのすべてのバージョンに継承されます。例えば、3つのバージョンを持つキーの状態が使用停止に切り替えられると、3つのバージョンがすべて使用停止状態になります。再び有効化して使用可能状態になると、バージョンの状態は自動で以前持っていた状態に戻ります。

Key Management Serviceでは、キー別に最大100のバージョンを作成して管理できます。キーの状態はそのキーのすべてのバージョンに継承されます。例えば、3つのバージョンを持つキーの状態が使用停止に切り替えられると、3つのバージョンがすべて使用停止状態になります。再び有効化して使用可能状態になると、バージョンの状態は自動で以前持っていた状態に戻ります。ライフサイクルの各状態についての説明は以下のとおりです。

• 作成
  キーの作成をリクエストすると、キー管理推奨によるキー作成手順に従って安全に作成され、固有の識別子が付与されます。識別子が付与されたキーは暗号化された保存場所に安全に保存され、有事の際に備えたバックアップ地点が作成されます。

• 使用可能
  すべての暗号化・復号化リクエストに利用できるキーです。作成されたキーは自動で有効化して使用可能状態に切り替えられ、いつでも無効化して使用を停止できます。使用可能状態のキーは管理課金の対象になります。

• 使用停止
  無効化して使用が停止されたキーで、いつでも有効化して使用可能状態に切り替えられます。いつでも使用可能な状態で維持するために、使用停止状態のキーは回転周期に従います。即ち、使用停止状態のキーの場合でも、次の回転日に予定通りに回転を行って新しいバージョンに更新されます。使用停止状態のキーは、暗号化・復号化リクエストに利用できません。使用停止状態のキーは管理課金の対象になります。

• 削除リクエスト
  使用しなくなったため、誤使用や不要なメンテナンスを減らすように、ユーザーにより削除がリクエストされたキーです。削除リクエスト状態のキーは、ユーザーのキー削除リクエストが発生した72時間後に完全に削除されます。ユーザーのリクエストにより削除されたキーは復旧できません。削除リクエストの際は、使用しているユーザーがいないか確認してから慎重に行ってください。ただし、最終削除前まで削除リクエストはキャンセルできます。削除リクエストがキャンセルされたキーは、直ちに使用停止状態に切り替えられます。使用停止状態と同様に、削除リクエスト状態のキーは回転周期に従います。また、管理課金の対象になります。このキーのユーザーがもういない場合は、 [即時削除] ボタンをクリックしてすぐさま完全削除することもできます。

• 削除
  完全に削除されたキーで、ユーザーは直接確認できません。Key Management Service内でもキーは削除された状態であり、キーの情報と使用履歴など管理情報の照会のみ、NAVERクラウドプラットフォームの サポート > お問い合わせ を介してリクエストできます。削除されたキーの管理情報は、1年間維持した後に削除されます。

封筒暗号化

キーを使用してデータを暗号化する方式は様々です。中でも封筒暗号化(Envelope Encryption)方式は、キーの階層的管理を通じてデータ機密性と統制権をすべて満足させるために推奨しています。ここでは、封筒暗号化の概念を紹介し、Key Management Serviceを利用して封筒暗号化を使用する場合、知っておくべきのキーの階層構造とポリシーについて説明します。

キーの階層的な管理

一般的にデータを保護するためには暗号化を利用しますが、暗号化を適用したからってデータが完璧に保護されるわけではありません。データ保護がどれほどうまく機能しているかの基準は、単に暗号化を適用したかどうかではなく、暗号化キーがどのように管理されているのかにかかっています。キーは、安全なキー管理ソリューションを利用して管理することが最も望ましいです。この場合、考慮すべき重要要素はデータ統制権の保障です。データ統制権の保障とは、必要な時点にデータにアクセスできることはもちろん、許可されていないアクセスを根本的に遮断するアクセス制御原則の遵守を意味します。キーを外部に委託して保管する場合、データ復号化が可能な外部接点が増えてしまうので、データ統制権に対する脅威が増加します。最もよく知られている安全な暗号化キー管理方法の一つは、キーを階層的に管理することです。即ち、データ暗号化に直接利用されるキーを、別のキーで暗号化して保護します。この時、暗号化するもう一つのキーを、一般的にマスターキーと呼びます。マスターキーを組織内部・外部のキー管理ソリューションを利用して管理すると、データ統制権への脅威を減少できます。このようにキーを階層的に管理する暗号化方式を封筒暗号化(Envelope Encryption)といいます。データを直接暗号化して保護するのではなく、データを暗号化した暗号方式を保護することでデータの機密性と統制権をすべて満足させる方式です。

封筒暗号化で実際にデータを暗号化・復号化するキーは、データキーです。Key Management Serviceを利用して封筒暗号化方式を利用すると、データキーは封印して管理できます。ただし、実際にデータを暗号化・復号化する時点では封印が解除されたデータキーを使用することになります。Key Management Serviceを介して封印が解除されたキーを伝達してもらってからは、そのキーの管理責任はユーザーにあります。伝達されたキーを使用してデータの暗号化・復号化を行った後、そのキーは直ちに削除して封印されたデータキーのみ保管することをお勧めします。

キー管理ポリシー

Key Management Serviceではキーを階層的な構造で管理するので、階層別主要キーに対する概念と役割を理解しておく必要があります。

データ暗号化キー(Data Encryption Key)

データの暗号化・復号化に直接利用されるキーでユーザー管理領域に安全に保管する必要があります。Key Management Serviceを利用してデータ暗号化キーを保護すると、管理面での負担を減らすことができます。Key Management Serviceを利用してデータ暗号化キーを保護する方法には、ユーザーが直接キーを作成してユーザー管理キーで暗号化することで「封印」する方法と、Key Management Serviceのカスタムキー作成API Create User Custom Keyを利用する方法があります。APIを利用すると、安全に作成された任意のキーとこれをユーザー管理キーで暗号化した形を一度に得られるので、有用です。

ユーザー管理キー(User Managed Key)

ユーザーがKey Management Serviceで作成したキーです。作成と回転、削除に至るまで、すべてユーザーの管理下で運用されます。キーストア内のすべてのキーを管理するKey Management Service管理者や割り当てられたキーのみ管理するキーマネージャー権限を持つユーザーは、NAVERクラウドプラットフォームコンソールでキーを手軽に管理できます。ユーザー管理キーがデータ暗号化キーを保護するために使用される場合、これをキー暗号化キー(Key Encryption Key)またはマスターキーと呼びます。

ルートキー(Root Key)

ユーザー管理キーは、システム運用キーまたはルートキーと呼ばれるキーで暗号化され、Key Management Service内部のストレージに保存されます。ルートキーは安全なキー作成手順により作成されます。その後はルートキーも同様にユーザーのキーと同じ管理ポリシーで運用されます。例えば、ルートキーも1年周期で回転して更新され、厳しいキーアクセス権限管理が行われます。ユーザー管理キーと唯一の違いは、キーの有効化手続きがオフラインで行われるということです。

ルートキーの紛失またはルートキー管理者のもしもの悪意のある行為に備え、ルートキーは複数の欠片に分割され物理的なセキュリティ媒体にそれぞれ保存されます。このキーの欠片を管理する3人の管理者は、物理的セキュリティ媒体を封印し、システムが運用されるIDCに設置された耐火データ金庫に地域別に隔離して保管します。一度封印されたキーにアクセスするためには、多数責任者の承認を得て録画装置を持つ第三者が同伴するなどの厳しい手続きを経ることになります。