鍵バージョンには以下の状態があります。
生成を保留中（
PENDING_GENERATION）: 非対称鍵にのみ適用されます。このバージョンの鍵はまだ生成中です。使用、有効化、無効化、破棄はできません。使用準備が完了すると、この状態は自動的に有効に変わります。インポート保留中（
PENDING_IMPORT）: インポートされた鍵にのみ適用されます。このバージョンの鍵はまだインポート中です。使用、有効化、無効化、破棄はできません。使用準備が完了すると、この状態は自動的に有効に変わります。有効（
ENABLED）: この鍵バージョンは使用可能な状態です。無効（
DISABLED）: この鍵バージョンは使用できませんが、鍵マテリアルは現在も使用可能であり、バージョンを再度有効にすることができます。破棄予定（
DESTROY_SCHEDULED）: この鍵バージョンは破棄がスケジュールされており、まもなく破棄されます。鍵バージョンがこの状態にある間は、暗号オペレーションに使用できず、鍵を使用するリクエストは失敗します。鍵バージョンは、スケジュールされた破棄予定期間内に無効な状態に復元できます。この状態は、データ削除パイプラインのステージ 2 - 削除（復元可能）に対応しています。破棄（
DESTROYED）: この鍵バージョンは破棄されており、鍵マテリアルは Cloud KMS に残っていません。鍵バージョンが非対称暗号化や対称暗号化に使用されていた場合、このバージョンで暗号化された暗号テキストは復号できません。鍵バージョンがデジタル署名に使用されていた場合、新しい署名は作成できません。また、非対称鍵バージョンの公開鍵はダウンロードできません。破棄状態になった鍵バージョンを他の状態にすることはできません。この状態は、データ削除パイプラインのステージ 3 - アクティブ システムからの論理削除に対応します。つまり、鍵マテリアルがすべてのアクティブな Cloud KMS システムから削除されます。鍵マテリアルが Google のすべてのアクティブなシステムとバックアップシステムから削除されるまでは、破棄の時間から 45 日かかります。詳細については、Cloud KMS の削除タイムラインをご覧ください。インポートに失敗しました（
IMPORT_FAILED）: この鍵バージョンはインポートできませんでした。インポートが失敗する原因の詳細については、失敗したインポートのトラブルシューティングをご覧ください。
鍵バージョンの状態の変更
鍵バージョンの状態を変更する方法を次に示します。
非対称鍵の鍵バージョンを作成すると、生成保留中になります。Cloud KMS による鍵バージョンの生成が完了すると、状態は自動的に有効に変わります。
対称鍵の鍵バージョンを作成すると、有効な状態になります。
鍵バージョンの有効と無効を切り替えるには、
UpdateCryptoKeyVersionやこのメソッドのインターフェースを使用します。例については、鍵バージョンの有効化と無効化をご覧ください。有効または無効の鍵バージョンの破棄をスケジュールするには、
DestroyCryptoKeyVersionやこのメソッドのインターフェースを使用します。例については、鍵バージョンの破棄をスケジュールするをご覧ください。破棄がスケジュールされている鍵バージョンを無効にするには、
RestoreCryptoKeyVersionやこのメソッドのインターフェースを使用します。例については、鍵バージョンを復元するをご覧ください。
次の図に、鍵バージョンの状態遷移を示します。
非対称鍵の鍵バージョンは生成保留状態から始まります。対称鍵の鍵バージョンは有効な状態から始まります。
鍵バージョンの状態が暗号オペレーションに及ぼす影響
鍵バージョンの状態が暗号オペレーションに及ぼす影響は、次の目的で鍵が使用されているかどうかによって異なります。
- 対称暗号化
- 非対称暗号化またはデジタル署名
対称暗号化
それぞれの対称暗号鍵には、その時点でデータ暗号化に使用されるメイン バージョンが指定されています。データの暗号化に鍵を使用するには、有効になっているメインの鍵バージョンが必要です。
鍵を使用して平文を暗号化する場合、そのメインの鍵バージョンがそのデータの暗号化に使用されます。データの暗号化に使用されたバージョンの情報は、データの暗号テキストに格納されます。いずれの時点においても、メインにできる鍵バージョンは 1 つのみです。
メインの鍵バージョンが無効になっている場合、その鍵を使用してデータを暗号化することはできません。有効になっているメインの鍵バージョンを無効にしたり、破棄をスケジュールしたりできること、および有効になっていないバージョンをメイン バージョンにできることに注意してください。
どの鍵バージョンがメインであるかは、データ復号機能には影響しません。 その鍵バージョンが有効になっている限り、データの復号に使用できます。
非対称暗号化またはデジタル署名
暗号化またはデジタル署名に非対称鍵を使用する場合、鍵バージョンを指定する必要があります。非対称暗号化またはデジタル署名で鍵バージョンを使用するには、鍵バージョンを有効にする必要があります。 鍵バージョンが有効な場合のみ、鍵バージョンの公開鍵を取得できます。
破棄がスケジュールされている状態の可変期間
デフォルトでは、Cloud KMS の鍵は破棄がスケジュールされている（削除済み）状態で 30 日経過した後、鍵マテリアルがシステムから論理的に削除されます。この期間は構成可能ですが、次の点に注意してください。
- 期間は鍵の作成時にのみ構成できます。
- 指定すると、鍵の期間は変更できません。
- この期間は、今後作成される鍵のすべてのバージョンに適用されます。
- 最小期間は 24 時間です。ただし、インポート専用鍵の期間は最小で 0 です。
- 期間の最大値は 120 日です。
この値は、CreateCryptoKeyRequest の CryptoKey の destroy_scheduled_duration フィールドを使用して構成されます。
別の値を要求する特定のアプリケーションまたは規制の要件がある場合を除き、すべての鍵にデフォルトの期間である 30 日を使用することをおすすめします。