プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

顧客管理の暗号鍵

デフォルトでは、Integration Connectors はお客様のコンテンツを保存時に暗号化します。暗号化は Integration Connectors が行うため、ユーザー側での操作は必要ありません。このオプションは、Google のデフォルトの暗号化と呼ばれます。

暗号鍵を管理する場合は、Cloud KMS の顧客管理の暗号鍵（CMEK）を、Integration Connectors などの CMEK 統合サービスで使用できます。Cloud KMS 鍵を使用すると、保護レベル、ロケーション、ローテーション スケジュール、使用とアクセスの権限、暗号境界を制御できます。Cloud KMS を使用すると、監査ログを表示し、鍵のライフサイクルを管理することもできます。データを保護する対称鍵暗号鍵（KEK）は Google が所有して管理するのではなく、ユーザーが Cloud KMS でこれらの鍵を制御および管理します。

CMEK を使用してリソースを設定した後は、Integration Connectors リソースへのアクセスは、Google のデフォルトの暗号化を使用する場合と同様です。暗号化オプションの詳細については、顧客管理の暗号鍵（CMEK）をご覧ください。

始める前に

インテグレーション コネクタで CMEK を使用する前に、次のタスクが完了していることを確認してください。

1. 暗号鍵を格納するプロジェクトの Cloud KMS API を有効にする。

   Cloud KMS API を有効にする

   ヒント: Integration Connectors と Cloud KMS は、同じ Google Cloud プロジェクトで実行することも、別のプロジェクトで実行することもできます。
2. 暗号鍵を保存するプロジェクトに Cloud KMS 管理者 IAM ロールを割り当てるか、次の IAM 権限を付与します。
   • cloudkms.cryptoKeys.setIamPolicy
   • cloudkms.keyRings.create
   • cloudkms.cryptoKeys.create

   追加のロールまたは権限の付与については、アクセス権の付与、変更、取り消しをご覧ください。

   注意: Cloud KMS 管理者のロールには、鍵のメンテナンスと鍵の破棄を行うための権限が含まれています。Cloud KMS リソースを保護するには、このロールを鍵管理を担当する個人にのみ割り当てる必要があります。
3. 鍵リングと鍵を作成します。
   注: キーリングは、Integration Connectors を設定したリージョンと同じリージョンに作成する必要があります。

CMEK キーにサービス アカウントを追加する

Integration Connectors で CMEK 鍵を使用するには、デフォルトのサービス アカウント（[e-mail] 形式）が追加され、その CMEK 鍵の 暗号鍵の暗号化/復号 IAM ロールが割り当てられていることを確認する必要があります。

注: 最初のリージョンをプロビジョニングしている場合、デフォルトのサービス アカウントが存在しないことがあります。サービス アカウントを生成するには、gcloud beta services identity create --service=connectors.googleapis.com --project=PROJECT_ID コマンドを実行します。

1. Google Cloud コンソールで、[主なインベントリ] ページに移動します。

   [鍵のインベントリ] ページに移動

2. 使用する鍵のチェックボックスをオンにします。

   右側のウィンドウの [権限] タブが有効になります。

3. [プリンシパルを追加] をクリックし、デフォルトのサービス アカウントのメールアドレスを入力します。
4. [ロールを選択] をクリックし、使用可能なプルダウン リストから [Cloud KMS 暗号鍵の暗号化/復号] ロールを選択します。
5. [Save] をクリックします。

既存の Integration Connectors リージョンで CMEK 暗号化を有効にする

注意:

• Integration Connectors リージョンの CMEK 暗号化を有効にすると、元に戻すことはできません。また、CMEK がすでに有効になっている場合、リージョンの暗号化方法は変更できません。
• Integration Connectors リージョンで CMEK を有効にできるのは、そのリージョン内のすべての接続が SUSPENDED の場合のみです。したがって、接続がある既存のリージョンで CMEK を有効にする前に、リージョン内のすべての接続を一時停止する必要があります。

CMEK を使用すると、リージョン（ロケーション）に保存されているサポートされているデータを暗号化および復号できます。既存の Integration Connectors リージョンで CMEK 暗号化を有効にするには、次の操作を行います。

1. Google Cloud コンソールで、[Integration Connectors] > [Connections] ページに移動します。

   [すべての接続] ページに移動します。

2. 必要なロケーションの接続をフィルタします。

   指定したロケーション（リージョン）のすべての接続のリストが表示されます。

3. リージョン内のすべての接続を停止します。
4. [Integration Connectors] > [Regions] ページに移動します。Integration Connectors が利用可能なすべてのリージョンが一覧表示されます。
5. CMEK を有効にするリージョンで、[アクション] メニューの [暗号化を編集] をクリックします。 [暗号化を編集] ペインが表示されます。
6. [顧客管理の暗号鍵（CMEK）] を選択し、[顧客管理の暗号鍵] プルダウン リストから必要な鍵を選択します。

   サービス アカウントに cloudkms.cryptoKeyEncrypterDecrypter ロールを付与するよう求められる場合があります。[付与] をクリックします。

7. [完了] をクリックします。

新しい Integration Connectors リージョンで CMEK 暗号化を有効にする

注意: Integration Connectors リージョンで CMEK 暗号化を有効にすると、元に戻すことはできません。

CMEK を使用すると、リージョン（ロケーション）に保存されているサポートされているデータを暗号化および復号できます。新しい Integration Connectors リージョンで CMEK 暗号化を有効にするには、次の操作を行います。

1. Google Cloud コンソールで、[Integration Connectors] > [Regions] ページに移動します。

   [リージョン] ページに移動します。

2. [Provision new region] をクリックします。 リージョンの作成ページが表示されます。
3. [リージョン] プルダウン リストから必要なリージョンを選択します。
4. [詳細設定] セクションで [顧客管理の暗号鍵（CMEK）] を選択し、[顧客管理の暗号鍵] プルダウン リストから必要な鍵を選択します。

   サービス アカウントに cloudkms.cryptoKeyEncrypterDecrypter ロールを付与するよう求められる場合があります。[付与] をクリックします。

5. [完了] をクリックします。

Cloud KMS の割り当てと Integration Connectors

Integration Connectors で CMEK を使用すると、プロジェクトで Cloud KMS 暗号リクエストの割り当てを使用できます。たとえば、CMEK 鍵は、暗号化と復号の呼び出しごとにこれらの割り当てを使用できます。

CMEK 鍵を使用する暗号化と復号のオペレーションは、次のように Cloud KMS の割り当てに影響します。

• Cloud KMS で生成されたソフトウェア CMEK 鍵の場合、Cloud KMS の割り当ては消費されません。
• ハードウェア CMEK 鍵（Cloud HSM 鍵とも呼ばれる）の場合、暗号化と復号のオペレーションは、その鍵が含まれるプロジェクトの Cloud HSM の割り当てにカウントされます。
• 外部 CMEK 鍵（Cloud EKM 鍵とも呼ばれる）の場合、暗号化と復号のオペレーションは、その鍵が含まれるプロジェクトの Cloud EKM の割り当てにカウントされます。

詳細については、Cloud KMS の割り当てをご覧ください。