Vision API における CMEK コンプライアンス

Google Cloud では、デフォルトで、Google が管理する暗号鍵を使用して、自動的に保存されているデータを暗号化します。

Vision API には、AsyncBatchAnnotateImages と AsyncBatchAnnotateFiles という 2 つのバッチ非同期アノテーションリクエストがあります。これらのメソッドでは、データは処理中に内部的にディスクに保存されます（詳細については、データ使用に関するよくある質問をご覧ください）。この後は、Vision API での CMEK コンプライアンスと、この一時データの保存中の保護方法について説明します。CMEK の詳細については、CMEK に関する Cloud Key Management Service のドキュメントをご覧ください。

Vision API における CMEK コンプライアンスの仕組み

Vision API では、バッチアノテーションリクエストのメソッドは、同期または非同期のどちらかです。

同期 Vision API メソッドでは、データをディスクに保持しないため、自動的に CMEK に準拠し、構成は不要です。
- BatchAnnotateImages
- BatchAnnotateFiles
非同期 Vision API メソッドでは、データを一時的にディスクに保持します（データ使用に関するよくある質問をご覧ください）。これらのメソッドは、自動的に CMEK に準拠し、構成は不要です。
- AsyncBatchAnnotateImages
- AsyncBatchAnnotateFiles

データは、Vision API でディスクに書き込まれる前に、データ暗号鍵（DEK）と呼ばれるエフェメラルキーで自動的に暗号化されます。新しい DEK は、非同期アノテーションリクエストごとに自動的に生成されます。

DEK 自体は、鍵暗号鍵（KEK）と呼ばれる別の鍵で暗号化されています。KEK には、Google のエンジニアやサポートスタッフはアクセスできません。

一時データの暗号化に使用されたエフェメラルキー（DEK）が破棄されると、データが削除されていない場合でも、一時データにアクセスできなくなります。

Vision API は、バッチアノテーションリクエストの結果を、Cloud Storage バケットに書き込みます。これも CMEK をサポートしています。入力バケットと出力バケットに、デフォルトの暗号鍵を設定することをおすすめします。

Vision API のデータ使用の詳細については、データ使用に関するよくある質問をご覧ください。