顧客管理の暗号鍵（CMEK）でデータベースを保護する

このページでは、Spanner 用に顧客管理の暗号鍵（CMEK）を使用する方法について説明します。

CMEK の詳細については、顧客管理の暗号鍵（CMEK）をご覧ください。

CMEK 対応データベースを作成する

Cloud Key Management Service（Cloud KMS）で鍵を作成します。Cloud Spanner では、以下がサポートされます。
鍵は Cloud Spanner インスタンスと同じロケーションにあることが必要です。たとえば、Spanner インスタンス構成が us-west1 の場合は、キーリングのロケーションも us-west1 でなければなりません。

すべての Cloud Spanner マルチリージョンインスタンス構成で、Cloud KMS に対応するキーリングロケーションが存在するわけではありません。そうした Spanner インスタンスでは、CMEK 対応データベースを作成できません。

すでに適切な場所に Cloud KMS 鍵を配置している場合は、このステップをスキップできます。

詳しくは、次のリソースをご覧ください。
- Cloud KMS のロケーション
- Cloud Spanner のロケーション
Spanner に鍵へのアクセス権を付与します。
1. Cloud Shell で、Google が管理するサービスアカウントを作成して表示します。アカウントがすでに存在する場合は表示します。
```
gcloud beta services identity create --service=spanner.googleapis.com \
    --project=my-spanner-project
```
  gcloud ベータ版コマンド コンポーネントのインストールを求められたら、「Y」と入力します。インストール後、コマンドが自動的に再開されます。
  
  gcloud services ID コマンドは、ユーザーに代わって Spanner が Cloud KMS 鍵にアクセスする際に使用する特別な Google 管理のサービスアカウントを作成または取得します。
  
  サービスアカウント ID は、メールアドレスに類似した形式です。
```
Service identity created: service-xxx@gcp-sa-spanner.iam.gserviceaccount.com
```
2. サービスアカウントに cloudkms.cryptoKeyEncrypterDecrypter ロールを付与します。
```
gcloud kms keys add-iam-policy-binding my-kms-key \
    --location my-kms-key-location \
    --keyring my-kms-key-ring \
    --project=my-kms-project \
    --member serviceAccount:service-xxx@gcp-sa-spanner.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter
```
  完了したら以下のように表示されます。
```
Updated IAM policy for key [my-kms-key]
```
  このロールにより、サービスアカウントには Cloud KMS 鍵による暗号化と復号の両方が許可されます。詳細については、Cloud KMS の権限とロールをご覧ください。

データベースを作成し、Cloud KMS 鍵を指定します。

Console

1. Google Cloud Console で、Cloud Spanner の [インスタンス] ページに移動します。

Cloud Console に移動

2. データベースを作成するインスタンス名をクリックします。

3. [データベースを作成] をクリックし、必須のフィールドを入力します。

4. [暗号化オプションを表示する] をクリックします。

5. [顧客管理の暗号鍵（CMEK）を使用する] を選択します。

6 プルダウンリストから鍵を選択します。

鍵のリストは、現在の Google Cloud プロジェクトに限定されます。別の Google Cloud プロジェクトの鍵を使用するには、Google Cloud コンソールではなく gcloud を使用してデータベースを作成します。

データベースが作成されたら、[データベースの詳細] ページを表示すると、データベースが CMEK 対応であることを確認できます。

gcloud

gcloud spanner databases create example-db \
     --project=my-spanner-project \
    --instance=my-spanner-instance \
    --ddl="CREATE TABLE Users (Id INT64 NOT NULL, FirstName STRING(100) NOT NULL, LastName STRING(100) NOT NULL,) PRIMARY KEY (Id)" \
    --kms-project=my-kms-project \
    --kms-location=my-kms-key-location \
    --kms-keyring=my-kms-key-ring \
    --kms-key=my-kms-key

データベースが CMEK 対応であることを確認するには:

gcloud spanner databases describe example-db \
    --project=my-spanner-project \
    --instance=my-spanner-instance

CMEK 対応データベースには、次の例のように encryptionConfig のフィールドが含まれます。

encryptionConfig:
        kmsKeyName:projects/my-kms-project/locations/eur5/keyRings/my-kms-key-ring/cryptoKeys/my-kms-key
    name: projects/my-spanner-project/instances/my-instance/databases/my-db
state: READY

C#

using Google.Cloud.Spanner.Admin.Database.V1;
using Google.Cloud.Spanner.Common.V1;
using System;
using System.Threading.Tasks;

public class CreateDatabaseWithEncryptionKeyAsyncSample
{
    public async Task<Database> CreateDatabaseWithEncryptionKeyAsync(string projectId, string instanceId, string databaseId, CryptoKeyName kmsKeyName)
    {
        // Create a DatabaseAdminClient instance that can be used to execute a
        // CreateDatabaseRequest with custom encryption configuration options.
        DatabaseAdminClient databaseAdminClient = DatabaseAdminClient.Create();
        // Define create table statement for table #1.
        var createSingersTable =
        @"CREATE TABLE Singers (
                     SingerId INT64 NOT NULL,
                     FirstName STRING(1024),
                     LastName STRING(1024),
                     ComposerInfo BYTES(MAX)
                 ) PRIMARY KEY (SingerId)";
        // Define create table statement for table #2.
        var createAlbumsTable =
        @"CREATE TABLE Albums (
                     SingerId INT64 NOT NULL,
                     AlbumId INT64 NOT NULL,
                     AlbumTitle STRING(MAX)
                 ) PRIMARY KEY (SingerId, AlbumId),
                 INTERLEAVE IN PARENT Singers ON DELETE CASCADE";

        // Create the CreateDatabase request with encryption configuration and execute it.
        var request = new CreateDatabaseRequest
        {
            ParentAsInstanceName = InstanceName.FromProjectInstance(projectId, instanceId),
            CreateStatement = $"CREATE DATABASE `{databaseId}`",
            ExtraStatements = { createSingersTable, createAlbumsTable },
            EncryptionConfig = new EncryptionConfig
            {
                KmsKeyNameAsCryptoKeyName = kmsKeyName,
            },
        };
        var operation = await databaseAdminClient.CreateDatabaseAsync(request);

        // Wait until the operation has finished.
        Console.WriteLine("Waiting for the operation to finish.");
        var completedResponse = await operation.PollUntilCompletedAsync();
        if (completedResponse.IsFaulted)
        {
            Console.WriteLine($"Error while creating database: {completedResponse.Exception}");
            throw completedResponse.Exception;
        }

        var database = completedResponse.Result;
        Console.WriteLine($"Database {database.Name} created with encryption key {database.EncryptionConfig.KmsKeyName}");

        return database;
    }
}

顧客管理の暗号鍵（CMEK）でデータベースを保護する

CMEK 対応データベースを作成する

Console

gcloud

C#

C++

Go

Java

ノード

PHP

Python

Ruby

使用している鍵バージョンを表示する

Console

gcloud

鍵を無効にする

鍵を有効にする

データベースのバックアップ

Console

gcloud

C#

C++

Go

Java

ノード

PHP

Python

Ruby

バックアップから復元する

Console

gcloud

C#

C++

Go

Java

ノード

PHP

Python

Ruby

Cloud KMS 鍵の監査ログを表示する