Cloud EKM の最新情報

※この投稿は米国時間 2022 年 4 月 12 日に、Google Cloud blog に投稿されたものの抄訳です。

Google Cloud External Key Manager（Cloud EKM）では、サードパーティ製の鍵管理システムを使用して Google Cloud のインフラストラクチャの外部で暗号鍵を保存および管理し、クラウド上のデータを保護できます。暗号鍵とクラウド上に保存されたデータを完全に分離することで、ご自身のデータへのアクセスを完全に管理できます。Google Cloud は、Cloud EKM の機能の革新と開発に継続して取り組んでいます。ここでは最近発表した新機能をご紹介します。

新機能

本日より、かねてからご要望いただいていた Cloud EKM の新機能の提供を開始いたしました。お客様の要件を満たすためにお役立ていただけます。

Cloud EKM が VPC 経由で利用可能に

多くのお客様が、鍵マネージャーをクラウドに接続する上で、セキュリティと信頼性の一層の強化策を必要とされています。このニーズに応えるために、このたび Cloud EKM は Virtual Private Cloud（VPC）ネットワークをサポートいたします。Cloud EKM を安全なプライベート ネットワークを介して接続することで、外部鍵マネージャーへのネットワーク アクセスの管理を今まで以上に厳格化できます。詳しくは、VPC と Cloud EKM の使用をご覧ください。

非対称鍵に対応

Cloud EKM は、対称暗号鍵に加えて、サポート対象の外部鍵マネージャーで作成された RSA 非対称鍵と楕円曲線非対称鍵を認識できるようになりました。非対称鍵への対応により、アクセス承認により付与された承認に署名できます。また、顧客データの管理者権限を付与する際の保証を強化できます。さらに、クラウド ネイティブな鍵と同様に外部非対称鍵を使用したデータへの署名が可能です。詳しくは、非対称署名鍵をご覧ください。

組織の保護レベルポリシー

Cloud KMS で、新たに組織のポリシーをご利用いただけるようになりました。使用する鍵の種類をきめ細かく管理できます。この組織のポリシーを使用すると、EXTERNAL や EXTERNAL_VPC など特定の KMS 鍵タイプのみを作成するよう指定できます。また、データの分離やデータ主権に関する特定の要件を満たすためのサポートを提供するとともに、特定のワークロードに外部管理鍵のみを使用できます。詳しくは、組織のポリシーの制約をご覧ください。

通常、Google Cloud サービスには特に機密性の高いお客様のデータ資産が保存されています。Cloud EKM は、この Google Cloud サービスをサポートしており、引き続きサポート対象のサービスを拡大する予定です。たとえば最近では、Cloud EKM が Cloud Storage に対応しました。Google 規模のストレージを活用しながら、地域の規制を遵守し、任意の鍵マネージャーで鍵を保管いただけます。サポート対象の全サービスについては、サポートされる CMEK 統合サービスをご覧ください。また、Cloud EKM を使用したい GCP サービスが現在サポート対象外の場合は、機能のリクエストをご覧ください。

Cloud EKM のベスト プラクティス

新たに公開した Reference architectures for reliable deployment of Cloud EKM services（Cloud EKM サービスを確実にデプロイするためのリファレンス アーキテクチャ）ガイドでは、可用性と信頼性の高い外部鍵マネージャーを Cloud EKM に統合して運用するための推奨案をご紹介しています。このページの推奨案は、お客様から寄せられた特に一般的な疑問や懸念の一部に回答するものであるとともに、外部鍵マネージャーの運用担当者向けに作成されています。お客様の EKM がサポート対象のパートナーによって運用されている場合でも、パートナーのプロダクトの設計や、そのプロダクトが Cloud EKM とどのように統合されているかによって、お客様も運用責任の一部を担う場合があるためです。

自社管理できる暗号化

Google Cloud で機密データを保護するには、暗号化について慎重に検討することが不可欠です。Google Cloud は、お客様のニーズを満たすとともに、お客様がビジネス目標を達成できるよう、暗号化サービスの進化に常に取り組んでいます。このブログでご紹介した新機能により、メインとして使用している管理インフラストラクチャを有効にご活用いただければ幸いです。Cloud EKM の利用を開始するには、まず Google Cloud のドキュメントで詳細を確認されるか、GCP Console から直接お試しください。