Tablestore:データ暗号化

KMSキーベースの暗号化

1. Tablestoreコンソールにログインします。

2. 上部のナビゲーションバーで、リージョンを選択します。

3. 概要ページで、管理するインスタンスの名前をクリックするか、インスタンスの操作列のインスタンスの管理をクリックします。

4. インスタンスの詳細 タブで、テーブルの作成 をクリックします。

5. テーブルの作成 ダイアログボックスで、パラメーターを構成します。

   説明

   パラメータの詳細については、Tablestoreコンソールでワイドカラムモデルを使用するトピックの「手順3：データテーブルを作成する」セクションを参照してください。

   1. テーブル名、プライマリキー、更新を許可するなどのパラメータを設定します。

   2. 暗号化を有効にし、暗号化タイプ パラメーターでKMS の CMK を選択します。

   

6. OK をクリックします。

   データテーブルの作成後、テーブル名をクリックします。基本情報タブのテーブルの管理ページで、暗号化パラメーターの値がはい - KMS の CMKであることを確認します。これは、データテーブルに対してデータ暗号化機能が有効になっていることを示します。

   

BYOKベースの暗号化

1. KMSコンソールでソフトウェア保護キーを作成します。詳細については、鍵管理の概要トピックの「ソフトウェア保護キー」セクションを参照してください。

2. Resource Access Management (RAM) ロールを作成し、RAMロールに権限を付与します。

   1. RAMロールを作成します。詳細については、信頼できるAlibaba CloudアカウントのRAMロールを作成するを参照してください。

      ロール名をAliyunOTSAccessingKMSに設定します。

   2. KMSの暗号化と復号化の権限を含むカスタムポリシーを作成します。カスタムポリシーの作成方法については、カスタムポリシーを作成するトピックの「JSONタブでカスタムポリシーを作成する」セクションを参照してください。

      ポリシー名をotskmspolicytestに設定します。ポリシーの例：

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "kms:Decrypt",
                      "kms:GenerateDataKey"
                  ],
                  "Resource": [
                      "*"
                  ]
              }
          ]
      }

   3. otskmspolicytestポリシーをAliyunOTSAccessingKMSロールにアタッチします。詳細については、RAMロールに権限を付与するを参照してください。

      承認が完了したら、RAMロールのAlibaba Cloudリソース名 (ARN) を記録します。ARNはRAMロールのIDを示します。

      

   4. RAMロールの信頼ポリシーを変更します。詳細については、RAMロールの信頼ポリシーを編集するを参照してください。

      信頼ポリシーの例：

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "ots.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

3. データテーブルを作成し、暗号化関連のパラメータを設定します。

   1. Tablestoreコンソールにログインします。

   2. 上部のナビゲーションバーで、リージョンを選択します。

   3. 概要ページで、管理するインスタンスの名前をクリックするか、インスタンスの操作列のインスタンスの管理をクリックします。

   4. インスタンスの詳細タブで、テーブルの作成をクリックします。

   5. テーブルの作成 ダイアログボックスで、パラメーターを構成します。

      説明

      パラメータの詳細については、Tablestoreコンソールでワイドカラムモデルを使用するトピックの「手順3：データテーブルを作成する」セクションを参照してください。

      1. テーブル名、プライマリキー、更新を許可するなどのパラメータを設定します。

      2. 暗号化を有効にし、暗号化の種類パラメーターでBYOK ベースのキーを選択します。

         

   6. OK をクリックします。

      データテーブルの作成後、テーブル名をクリックします。基本情報タブのテーブルの管理ページで、暗号化パラメーターの値がはい (BYOK ベースのキー)であることを確認します。これは、データテーブルに対してデータ暗号化機能が有効になっていることを示します。

      

KMSキーベースの暗号化

データテーブルのKMSキーベースの暗号化を有効にするには、KMSをアクティブ化する必要があります。ただし、KMSインスタンスを作成する必要はありません。データテーブルを作成した後、DescribeTableオペレーションを呼び出して、テーブルの暗号化設定をクエリできます。

次のサンプルコードは、データテーブルの作成時にデータテーブルのKMSキーベースの暗号化を有効にする方法を示しています。データテーブルのプライマリキーはpkで、STRING型です。属性列の値については、最新バージョンのデータのみが保持され、データは期限切れになりません。

private static void createTable(SyncClient client) {
    // データテーブルの名前を指定します。
    TableMeta tableMeta = new TableMeta("<TABLE_NAME>");
    // データ暗号化を設定する場合、CreateTableリクエストで暗号化関連のパラメータを設定します。KMSキーベースの暗号化とBYOKベースの暗号化という以下の暗号化方式がサポートされています。この例では、KMSキーベースの暗号化が有効になっています。
    SSESpecification sseKms = new SSESpecification(true, SSEKeyType.SSE_KMS_SERVICE);
    // データテーブルにプライマリキー列を追加します。
    tableMeta.addPrimaryKeyColumn(new PrimaryKeySchema("pk", PrimaryKeyType.STRING)); 
    // データの有効期限を指定します。-1の値は、データが期限切れにならないことを指定します。単位：秒。インデックステーブルを作成するデータテーブルの場合、timeToLiveパラメータを-1に設定する必要があります。
    int timeToLive = -1; 
    // 各列に保持できるデータバージョンの最大数を指定します。1の値は、各列の最新バージョンのデータのみが保持されることを指定します。インデックステーブルを作成するデータテーブルの場合、maxVersionsパラメータを1に設定する必要があります。
    int maxVersions = 1; 
    TableOptions tableOptions = new TableOptions(timeToLive, maxVersions);
    CreateTableRequest request = new CreateTableRequest(tableMeta, tableOptions);
    // 予約済み読み込みスループットと予約済み書き込みスループットを指定します。キャパシティインスタンスのデータテーブルの場合は値を0に設定する必要があり、高パフォーマンスインスタンスのデータテーブルの場合は0以外の値に設定できます。
    request.setReservedThroughput(new ReservedThroughput(new CapacityUnit(0, 0))); 
    request.setSseSpecification(sseKms);
    client.createTable(request);
}

BYOKベースの暗号化

1. KMSコンソールでソフトウェア保護キーを作成します。詳細については、鍵管理の概要トピックの「ソフトウェア保護キー」セクションを参照してください。

2. RAMロールを作成し、RAMロールに権限を付与します。

   1. RAMロールを作成します。詳細については、信頼できるAlibaba CloudアカウントのRAMロールを作成するを参照してください。

      ロール名をAliyunOTSAccessingKMSに設定します。

   2. KMSの暗号化と復号化の権限を含むカスタムポリシーを作成します。カスタムポリシーの作成方法については、カスタムポリシーを作成するトピックの「JSONタブでカスタムポリシーを作成する」セクションを参照してください。

      ポリシー名をotskmspolicytestに設定します。ポリシーの例：

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "kms:Decrypt",
                      "kms:GenerateDataKey"
                  ],
                  "Resource": [
                      "*"
                  ]
              }
          ]
      }

   3. otskmspolicytestポリシーをAliyunOTSAccessingKMSロールにアタッチします。詳細については、RAMロールに権限を付与するを参照してください。

      承認が完了したら、RAMロールのARNを記録します。ARNはRAMロールのIDを示します。

      

   4. RAMロールの信頼ポリシーを変更します。詳細については、RAMロールの信頼ポリシーを編集するを参照してください。

      信頼ポリシーの例：

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "ots.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

3. データテーブルを作成し、暗号化関連のパラメータを設定します。

   データテーブルを作成し、BYOKベースの暗号化を有効にします。データテーブルを作成した後、DescribeTableオペレーションを呼び出して、テーブルの暗号化設定をクエリできます。

   次のサンプルコードは、データテーブルの作成時にデータテーブルのBYOKベースの暗号化を有効にする方法を示しています。データテーブルのプライマリキーはpkで、STRING型です。属性列の値については、最新バージョンのデータのみが保持され、データは期限切れになりません。

   private static void createTable(SyncClient client) {
       // データテーブルの名前を指定します。
       TableMeta tableMeta = new TableMeta("<TABLE_NAME>");
       // データ暗号化を設定する場合、CreateTableリクエストで暗号化関連のパラメータを設定します。KMSキーベースの暗号化とBYOKベースの暗号化という以下の暗号化方式がサポートされています。
       // keyIdパラメータを、手順1でKMSコンソールに作成したソフトウェア保護キーのIDに設定します。
       String keyId="key-hzz65****************";
       // roleArnパラメータを、手順2で記録したRAMロールのARNに設定します。
       String roleArn="acs:ram::****************:role/aliyunotsaccessingkms";
       // この例では、BYOKベースの暗号化が有効になっています。
       // keyIdパラメータをKMSのカスタムキーのIDに設定します。roleArnパラメータを使用するRAMロールのARNに設定します。RAMロールを作成し、RAMロールのARNを記録する必要があります。
       SSESpecification sseByok = new SSESpecification(true, SSEKeyType.SSE_BYOK, keyId, roleArn);
       // データテーブルにプライマリキー列を追加します。
       tableMeta.addPrimaryKeyColumn(new PrimaryKeySchema("pk", PrimaryKeyType.STRING)); 
       // データの有効期限を指定します。-1の値は、データが期限切れにならないことを指定します。単位：秒。インデックステーブルを作成するデータテーブルの場合、timeToLiveパラメータを-1に設定する必要があります。
       int timeToLive = -1; 
       // 各列に保持できるデータバージョンの最大数を指定します。1の値は、各列の最新バージョンのデータのみが保持されることを指定します。インデックステーブルを作成するデータテーブルの場合、maxVersionsパラメータを1に設定する必要があります。
       int maxVersions = 1; 
       TableOptions tableOptions = new TableOptions(timeToLive, maxVersions);
       CreateTableRequest request = new CreateTableRequest(tableMeta, tableOptions);
       request.setReservedThroughput(new ReservedThroughput(new CapacityUnit(0, 0))); // 予約済み読み込みスループットと予約済み書き込みスループットを指定します。キャパシティインスタンスのデータテーブルの場合は値を0に設定する必要があり、高パフォーマンスインスタンスのデータテーブルの場合は0以外の値に設定できます。
       request.setSseSpecification(sseByok);
       client.createTable(request);
   }