概要

このトピックでは、Key Access Justifications の概要について説明します。外部鍵の作成と管理については、Cloud EKM の概要をご覧ください。

Key Access Justifications は、Cloud EKM リクエストに各リクエストの理由を表示できるフィールドを追加することによって機能します。一部の外部鍵管理パートナーでは、この理由に基づいてこれらのリクエストを自動的に承認または拒否できます。

保存データの暗号化の仕組み

Google Cloud で保存されているデータの暗号化は、Google Cloud に保存されているデータを、データが保存されているサービスの外部にある暗号化鍵で暗号化することで行われます。たとえば、Cloud Storage でデータを暗号化した場合、サービスでは暗号化された情報のみが保存されます。データの暗号化に使用した鍵は、顧客管理の暗号鍵（CMEK）の場合は Cloud KMS に、また Cloud External Key Manager の場合は外部鍵マネージャーに保存されます。

Google Cloud サービスを使用する場合、アプリケーションを説明どおりに動作させ続けるには、データを復号する必要があります。たとえば、BigQuery を使用してクエリを実行する場合、BigQuery サービスは分析のためにデータを復号する必要があります。これを行うために、BigQuery はデータを復号するためにキー マネージャーを呼び出します。

鍵にアクセスする理由

暗号鍵には、Google Cloud で独自のリクエストとワークロードを処理しながら、自動化されたシステムからアクセスできます。

お客様が開始したアクセスに加えて、Google の社員は、次の理由により、暗号鍵を使用するオペレーションを開始しなければならない場合があります。

  • データの構造や品質の最適化: Google システムでは、データのインデックス登録、構造化、事前計算、ハッシュ、シャード、キャッシュを行うために暗号鍵へのアクセスが必要になる場合があります。

  • データのバックアップ: 障害復旧のために、データをバックアップするために暗号鍵にアクセスする必要がある場合があります。

  • サポート リクエストを解決する: Google の社員は、契約上、サポートの義務を果たすためにデータを復号する必要がある場合があります。

  • システムの管理とトラブルシューティング: Google の担当者は、暗号鍵を使用して複雑なサポート リクエストや調査に必要な技術的なデバッグを行うオペレーションを開始できます。また、ストレージ障害やデータ破損を修正するためにアクセスが必要になる場合があります。

  • データの整合性とコンプライアンスを確保し、不正行為や不正使用から保護する: Google は以下の理由でデータを復号する必要がある場合があります。

    • データとアカウントの安全性とセキュリティの確保
    • Google 利用規約に準拠して Google サービスを使用していることを確認します。
    • 他のユーザーやお客様からの申し立て、または不正行為の兆候を調査する
    • Google サービスが、マネーロンダリング防止規制などの関連するコンプライアンス制度に従って使用されていることを確認する。

  • システムの信頼性の維持: Google の担当者は、疑わしいサービス停止がご自身に影響を与えないかどうかを調査するためのアクセス権をリクエストできます。また、サービスの停止やシステム障害からのバックアップと復旧を確保するために、アクセス権がリクエストされる場合があります。

正当化コードの一覧については、Key Access Justifications の正当化理由コードをご覧ください。

外部で管理する鍵へのアクセスを管理する

Key Access Justifications は、外部で管理する鍵がアクセスされるたびに理由を生成します。理由は、鍵が外部で管理されている場合にのみ表示されます。Cloud KMS または Cloud HSM に保存されている鍵にアクセスしても理由はありません。鍵が外部のキー マネージャーに保存されると、サービスベースのアクセス（サポートされるサービスの場合）と API の直接アクセスの両方の理由が表示されます。

Key Access Justifications に登録し、外部管理の鍵を使用すると、すべての鍵アクセスで正当化の理由がすぐに表示されます。

外部顧客管理の鍵を使用して Key Access Justifications と Access Approval を使用している場合、署名リクエストに対する Key Access Justifications ポリシーのチェックをパスした後に外部管理の鍵を使って承認が署名されない限り、管理者権限リクエストは処理されません。鍵によって署名されたすべてのアクセス承認は、アクセスの透明性ログに表示されます。

Key Access Justifications の有効化

組織で Key Access Justification を有効にするには、Assured Workloads に登録する必要があります。Assured Workloads のすべてのお客様は、Key Access Justifications がデフォルトで有効になっています。

Assured Workloads の使用を開始する方法については、Assured Workloads の使用方法をご覧ください。

Key Access Justifications の除外

Key Access Justifications は以下にのみ適用されます。

  • 暗号化されたデータに対するオペレーション。外部で管理する鍵で暗号化されるサービス内のフィールドについては、使用しているサービスのドキュメントをご覧ください。
  • 保存データから使用中のデータへの移行。Google は使用中のデータに引き続き保護を適用します。Key Access Justification は、保存データから使用中のデータへの移行を管理します。
  • Compute Engine/永続ディスクの CMEK の除外:
    • ローカル SSD と自動再起動は除外されます。
    • マシンイメージ オペレーションは除外されます。

次のステップ