暗号化オプションの選択
Google Cloud Platform は顧客データを保存する際にデフォルトで暗号化します。追加で操作を行う必要はありません。さまざまな暗号鍵管理オプションが用意されており、ニーズに合わせて選ぶことができます。このページは、ストレージやコンピューティング、ビッグデータ ワークロード用など、鍵生成、保管、ローテーションの要件にどのソリューションが最適かを理解するのにお役立てください。暗号化は、広範囲なデータ セキュリティ戦略の一環として使う必要があります。
Google Cloud Platform のデータはストレージ用にサブファイルのチャンクに分割されます。各チャンクは個別の暗号鍵でストレージ レベルで暗号化されます。チャンクのデータを暗号化するための鍵は「データ暗号鍵(DEK)」と呼ばれています。Google で使用する鍵は膨大な数にのぼり、また低レイテンシと高可用性を実現する必要があるため、これらの鍵は暗号化対象のデータの近くに保存されます。DEK は「鍵暗号鍵(KEK)」を使用して暗号化(「ラップ」)されます。データを保護する DEK を保護する KEK を管理するために使用する鍵管理ソリューションは、お客様が選択できます。
保存データの暗号化オプション | |||
---|---|---|---|
ソリューション | 説明 | Google Cloud Platform での利用 | 一般的にこの方法で保護されるデータ |
デフォルトの暗号化 | |||
デフォルトの暗号化 |
追加で設定を行うことなく、世界クラスの暗号化を利用
|
保存データは、すべての Google Cloud Platform プロダクトでデフォルトで暗号化されます。 各プロダクトでの暗号化の粒度については、こちらをご覧ください | ほとんどのデータ |
Cloud KMS を使用した顧客管理の暗号鍵(CMEK) | |||
Cloud KMS を使用した顧客管理の暗号鍵(CMEK) |
クラウド サービスが直接利用できるよう、鍵をクラウドに保存
|
任意の Google Cloud Platform サービスで、Cloud KMS の鍵を使ってアプリケーション レイヤの暗号化が行えます | 独自の暗号鍵を管理する必要がある機密データ |
顧客指定の暗号鍵(CSEK) | |||
顧客指定の暗号鍵(CSEK) |
鍵をオンプレミスで保存し、クラウド サービスの暗号化に使用します
|
独自の暗号鍵を生成したり、オンプレミスで管理したりする必要がある機密データ |