鍵のローテーション

鍵には、自動的にローテーションするかどうかとそのタイミングを決定するローテーション スケジュールを設定できます。

ローテーション期間を設定して鍵を自動的にローテーションする(鍵を更新する)か、手動で鍵をローテーションする(新しい鍵バージョンを作成する)場合は、IAM 役割の roles/cloudkms.adminroles/owner、または roles/editor が必要です。

鍵をローテーションした後、以前の鍵バージョン(メインではなくなった)は無効になったり破棄されたりすることなく、引き続きデータの復号に使用できます。

自動ローテーション: 鍵のローテーション期間の設定

鍵の自動ローテーションを有効にするには、次の gcloud コマンドライン構文を使用して、ローテーション スケジュールを設定します。

コマンドライン

gcloud kms keys update KEY_NAME \
  --location LOCATION \
  --keyring KEYRING_NAME \
  --rotation-period ROTATION_PERIOD \
  --next-rotation-time NEXT_ROTATION_TIME

Windows の cmd.exe

gcloud kms keys update KEY_NAME ^
  --location LOCATION ^
  --keyring KEYRING_NAME ^
  --rotation-period ROTATION_PERIOD ^
  --next-rotation-time NEXT_ROTATION_TIME

PowerShell

gcloud kms keys update KEY_NAME `
  --location LOCATION `
  --keyring KEYRING_NAME `
  --rotation-period ROTATION_PERIOD `
  --next-rotation-time NEXT_ROTATION_TIME

ローテーション スケジュールの構文

ローテーション スケジュールの形式は、使用するクライアント ライブラリによって異なります。gcloud コマンドライン ツールの場合、次回のローテーション時刻は ISO 形式または RFC 3339 形式で指定し、ローテーション期間は INTEGER[UNIT] 形式にする必要があります。単位は秒(s)、分(m)、時間(h)、日(d)のいずれかを使用します。たとえば、gcloud コマンドで使用する有効なローテーション スケジュールは次のようになります。

--rotation-period=30d
--next-rotation-time=2016-10-12T12:34:56.1234Z

ローテーション スケジュールを含む鍵の作成

鍵リングの新しい鍵を作成する手順は次のとおりです。

コマンドライン

gcloud kms keys create KEY_NAME \
  --location LOCATION \
  --keyring KEYRING_NAME \
  --purpose ENCRYPTION \
  --rotation-period ROTATION_PERIOD \
  --next-rotation-time NEXT_ROTATION_TIME

Windows の cmd.exe

gcloud kms keys create KEY_NAME ^
  --location LOCATION ^
  --keyring KEYRING_NAME ^
  --purpose ENCRYPTION ^
  --rotation-period ROTATION_PERIOD ^
  --next-rotation-time NEXT_ROTATION_TIME

PowerShell

gcloud kms keys create KEY_NAME `
  --location LOCATION `
  --keyring KEYRING_NAME `
  --purpose ENCRYPTION `
  --rotation-period ROTATION_PERIOD `
  --next-rotation-time NEXT_ROTATION_TIME

上記の各コマンドでは、次のパラメータを使用しています。KEY_NAME: 新しい鍵の名前、KEYRING_NAME: 鍵リングの名前、ROTATION_PERIODNEXT_ROTATION_TIME: ローテーション スケジュールの定義

手動ローテーション: 新しい鍵バージョンの生成

gcloud で、鍵リング KEYRING_NAME の鍵 KEY_NAME に対して新しい鍵バージョンを作成し、それをメインにするには、次のコマンドを実行します。

コマンドライン

gcloud kms keys versions create --location LOCATION \
  --keyring KEYRING_NAME \
  --key KEY_NAME --primary

Windows の cmd.exe

gcloud kms keys versions create --location LOCATION ^
  --keyring KEYRING_NAME ^
  --key KEY_NAME --primary

PowerShell

gcloud kms keys versions create --location LOCATION `
  --keyring KEYRING_NAME `
  --key KEY_NAME --primary

これは、メインではない新しい鍵バージョンを作成し、そのバージョンをメインにすることと同じです。このためには、新しく作成された鍵バージョンのバージョン番号 VERSION_ID が必要です。このことは次の gcloud コマンドと同等です。

コマンドライン

gcloud kms keys versions create \
  --location LOCATION \
  --keyring KEYRING_NAME \
  --key KEY_NAME
gcloud kms keys update KEY_NAME \
  --primary-version VERSION_ID \
  --location LOCATION \
  --keyring KEYRING_NAME

Windows の cmd.exe

gcloud kms keys versions create ^
  --location LOCATION ^
  --keyring KEYRING_NAME ^
  --key KEY_NAME
gcloud kms keys update KEY_NAME ^
  --primary-version VERSION_ID ^
  --location LOCATION ^
  --keyring KEYRING_NAME

PowerShell

gcloud kms keys versions create `
  --location LOCATION `
  --keyring KEYRING_NAME `
  --key KEY_NAME
gcloud kms keys update KEY_NAME `
  --primary-version VERSION_ID `
  --location LOCATION `
  --keyring KEYRING_NAME

自動ローテーションの無効化

自動ローテーションを無効にするには、鍵のローテーション スケジュールをクリアします。

コマンドライン

gcloud kms keys update KEY_NAME \
  --remove-rotation-schedule \
  --location LOCATION \
  --keyring KEYRING_NAME

Windows の cmd.exe

gcloud kms keys update KEY_NAME ^
  --remove-rotation-schedule ^
  --location LOCATION ^
  --keyring KEYRING_NAME

PowerShell

gcloud kms keys update KEY_NAME `
  --remove-rotation-schedule `
  --location LOCATION `
  --keyring KEYRING_NAME

既存のバージョンをメインの鍵バージョンとして設定

バージョン 42(有効になっている)を鍵リング hitchhiker の鍵 dont-panic のメイン バージョンにする手順は次のとおりです。

コマンドライン

gcloud kms keys update dont-panic \
  --primary-version 42 \
  --location global \
  --keyring hitchhiker

Windows の cmd.exe

gcloud kms keys update dont-panic ^
  --primary-version 42 ^
  --location global ^
  --keyring hitchhiker

PowerShell

gcloud kms keys update dont-panic `
  --set-=primary-version 42 `
  --location global `
  --keyring hitchhiker

このページは役立ちましたか?評価をお願いいたします。

フィードバックを送信...

Cloud KMS ドキュメント