Key Management Service:Key rotation

課金

デフォルトキーは Alibaba Cloud サービスによるサーバーサイド暗号化に使用され、無料です。ただし、デフォルトキーのキーローテーションは付加価値サービスです。

費用：USD 9/年/リージョン。サービスを購入すると、指定されたリージョン内のすべてのデフォルトキー (サービスキーとデフォルト CMK を含む) がローテーションの対象となります。

ローテーション方法と日付

定期的な自動ローテーションのみがサポートされています。即時の手動ローテーションはサポートされていません。

ローテーション期間は 365 日に固定されており、変更できません。ローテーションを有効にすると、最初のローテーションはキーバージョンが作成されてから 365 日後に発生します。その後のローテーションは 365 日ごとに行われます。

ローテーションの有効化 (定期的な自動ローテーション)

1. キーローテーション付加価値サービスを購入します。

   1. Key Management Service コンソールにログインします。トップメニューバーでリージョンを選択します。左側のナビゲーションペインで、リソース > キー管理 を選択します。

   2. [デフォルトキー] タブで、[ロータリーサービスの購入] をクリックし、設定を完了します。

      1. インスタンスタイプ：[付加価値プラン] を選択します。

      2. 付加価値プラン：[デフォルトキーローテーション] を選択します。

      3. リージョン：デフォルトキーが配置されているリージョンを選択します。

      4. 購入数量：リージョンごとに 1 つ購入するだけで十分です。

   3. [今すぐ購入] をクリックし、利用規約をよく読み、[支払い] をクリックして購入を完了します。

2. キーローテーションを有効にします。

   • サービスキー

     設定は不要です。KMS が自動的にローテーションを有効にします。

   • デフォルト CMK

     コンソール

     1. 「デフォルトキー」タブの「キー管理」で、キーの ID をクリックします。

     2. 詳細ページで、Key Version タブをクリックし、Configure Rotation をクリックします。

     3. Configure Rotation Policy ダイアログボックスで、Rotation Status スイッチをオンにし、OK をクリックします。キー詳細ページで、Rotation Status が Enabled に変わり、Rotation Period が Days 単位で表示されます。

キーのローテーションの使用

デフォルトキーは、Alibaba Cloud サービスによるサーバーサイド暗号化にのみ使用できます。ローテーションを有効にすると、Alibaba Cloud サービスが自動的にローテーションを管理します。手動操作は不要です。詳細については、「クラウド製品での暗号化のための KMS 統合の概要」をご参照ください。

ローテーション詳細の表示

クォータ消費

キーローテーションは、KMS インスタンスのキークォータを消費します。キーの各バージョンは 1 つのキークォータを消費します。たとえば、キーに 3 つのバージョン (V1、V2、V3) がある場合、3 つのキークォータを消費します。クォータを増やすには、「KMS インスタンスのアップグレード」をご参照ください。

ローテーション方法と日付

KMS は、定期的な自動ローテーションと即時の手動ローテーションをサポートしています。

• 定期的な自動ローテーション：7 日から 365 日のカスタムローテーション期間を設定して、定期的に新しいキーバージョンを生成します。

• 即時の手動ローテーション：すぐに新しいキーバージョンを生成します。

ローテーションの有効化

• 定期的な自動ローテーションの有効化

  コンソール

  • キー作成時にキーローテーションを有効にします。詳細については、「キーの管理」をご参照ください。

    1. 「キー」タブの「キー管理」からインスタンス ID を選択し、「キーの作成」をクリックします。

    2. キーの作成 パネルで、設定を完了します。自動ローテーション を有効にし、ローテーション期間 を設定してから、OK をクリックします。

  • キー作成後にキーローテーションを有効にします。

    1. 「キー」タブの「キー管理」で、インスタンス ID を選択し、その後、対象キーの ID をクリックします。

    2. キー詳細ページの Key Version エリアで、Configure Rotation をクリックします。Set Rotation Policy ダイアログボックスで、定期的な自動ローテーションを有効にし、ローテーション期間を設定してから、OK をクリックします。

  API

  • キー作成時にキーローテーションを有効にします。

    CreateKey 操作を呼び出します。EnableAutomaticRotation および RotationInterval パラメーターを設定します。

  • キー作成後にキーローテーションを有効にします。

    UpdateRotationPolicy 操作を呼び出します。EnableAutomaticRotation および RotationInterval パラメーターを設定します。

• 即時の手動ローテーション

  • KMS によって生成されたキーマテリアルを持つキーの場合。

    コンソール

    1. キー管理 の キー タブで、インスタンス ID を選択し、対象キーの ID をクリックします。

    2. キー詳細ページの Key Version エリアで、Configure Rotation をクリックします。Set Rotation Policy ダイアログボックスで、Rotate Now を選択し、OK をクリックします。

    API

    CreateKeyVersion 操作を呼び出します。

  • インポートされたキーマテリアルを使用する BYOK キーの場合。

    1. 新しいキーマテリアルをインポートします。

       1. Key Management Service コンソールにログインします。トップメニューバーでリージョンを選択します。左側のナビゲーションペインで、リソース > キー管理 を選択します。

       2. Keys タブで、インスタンス ID を選択し、対象キーの [アクション] 列にある Details をクリックします。

       3. キー素材とバージョン タブで、左上隅にある 新しいキー素材をインポートする をクリックします。「対称キーマテリアルのインポート」の指示に従ってキーマテリアルをインポートします。

       4. 新しいキーマテリアルがインポートされると、ステータスが [ローテーション保留中] の新しいキーバージョンが生成されます。キーバージョンリストで新しいキーバージョンを表示できます。

          重要

          現在の新しいバージョンがローテーションされるまで、別のキーバージョンをインポートすることはできません。

    2. ローテーションを実行します。

       1. ステップ 1 で生成されたキーバージョンの [アクション] 列で、ロータリー をクリックします。

       2. Rotate Now ダイアログボックスで、キーマテリアル ID が正しいことを確認し、OK をクリックします。

ローテーション済みキーの使用

キーが Alibaba Cloud サービスによるサーバーサイド暗号化に使用される場合、ローテーションを有効にすると、サービスが自動的にキーローテーションを管理します。手動操作は不要です。自社開発アプリケーションで暗号化にキーを使用する場合は、次の API 操作を使用して暗号化操作を行います。デフォルトでは、操作はローテーションされたキーの最新バージョンを使用します。

ローテーション詳細の表示