デフォルトでは、 Google Cloud は、Google が管理する暗号鍵を使用して、保存されているデータを自動的に暗号化します。データを保護する鍵について特定のコンプライアンスや規制の 要件がある場合は、 顧客管理の暗号鍵（CMEK）を使用できます。
CMEK を使用すると、Cloud Key Management Service で制御する暗号鍵を使用して、Backup and DR データを保護できます。CMEK を使用する場合、鍵は Cloud Key Management Service で管理し、鍵に対する Identity and Access Management 権限を管理してアクセスを制御します。CMEK 鍵を一時的に無効にするか、完全に破棄すると、その鍵で保護されたデータにアクセスできなくなります。
Backup and DR で CMEK を使用する方法
Backup and DR は、ワークロード タイプに応じて、次の 2 つの方法のいずれかで CMEK を使用してバックアップを保護します。
Vault レベルの CMEK: Backup Vault で直接構成された Cloud Key Management Service 鍵を使用して、バックアップ データを暗号化します。
ソースレベルの CMEK: ソース ワークロードの暗号鍵を継承して使用し、既存の CMEK 保護を維持します。
CMEK を使用して Backup Vault コンテナを構成する
Backup Vault は、バックアップの保存と管理に使用される安全で隔離された論理コンテナです。CMEK 鍵を使用して Backup Vault を構成すると、Backup and DR はその鍵を使用して Vault 内に保存されたバックアップを保護します。
一部のリソースタイプでは、CMEK 対応の Backup Vault は、Vault の Cloud Key Management Service 鍵を使用してバックアップ データを暗号化します。
たとえば、Compute Engine インスタンスにアタッチされた 1 つ以上のディスクで CMEK を使用している場合、Backup and DR はそのインスタンスを CMEK で保護されていると見なします。このようなインスタンスは、CMEK 対応の Backup Vault にバックアップする必要があります。インスタンスにアタッチされたすべてのディスクで Google 管理の暗号化を使用している場合は、コンソールで、CMEK 以外の Backup Vault にバックアップを保存する必要があります。Google Cloud ただし、gcloud CLI、API、Terraform を使用すると、 Google 管理の暗号化を使用するインスタンスのバックアップを構成して、CMEK 対応の Backup Vault を使用できます。CMEK 対応の Backup Vault にバックアップを保存すると、インスタンスのディスク暗号化ステータスに関係なく、Vault の Cloud Key Management Service 鍵によってバックアップ データが暗号化されます。
継承された設定
バックアップは、リソースタイプに応じて、ソース ワークロード鍵を継承するか、Backup Vault の CMEK 鍵を使用して CMEK でバックアップを保護します。
ソースリソースの CMEK を使用した暗号化
バックアップでソース ワークロードとは異なる鍵を使用できないワークロード タイプの場合、Backup and DR は、ソース ワークロード独自の暗号鍵を使用してバックアップを保護することで、ソースリソースの暗号化を維持します。
これは、次のワークロード タイプに適用されます。
Compute Engine ディスクと Persistent Disk のバックアップ: ソース ワークロードで CMEK を使用している場合、バックアップでも同じ CMEK 鍵が使用されます。Google 管理の暗号化を使用している場合、バックアップでも Google 管理の暗号化が使用されます。 これらのバックアップは、CMEK で構成されていない Backup Vault に保存する必要があります。
Cloud SQL インスタンスのバックアップ: Backup and DR は、元の データベース インスタンスの鍵を使用してバックアップを暗号化します。
これらのオペレーションを実行してソースリソースの Cloud Key Management Service 鍵にアクセスするために、Backup and DR はサービス エージェントを使用します。サービス エージェントにソース鍵に対する必要な IAM 権限を付与する必要があります。
次の表に、さまざまなワークロード タイプのバックアップに使用される暗号鍵をまとめます。
| ワークロード | バックアップに使用される暗号鍵 | CMEK のサポート状況 |
|---|---|---|
| Compute Engine インスタンス | Backup Vault の CMEK 鍵 | サポート対象 |
| Compute Engine ディスク | ソースディスクの暗号鍵 | サポート対象 |
| Cloud SQL | ソース インスタンスの暗号鍵 | サポート対象 |
| AlloyDB クラスタ | - | 対象外 |
| Filestore インスタンス | - | 対象外 |
| Google Cloud VMware Engine、Oracle データベース、SQL Server データベース | - | 対象外 |
制限事項
Backup and DR の CMEK サポートには、次の制限があります。
CMEK 保護は、Backup Vault に保存されている Compute Engine インスタンス、Persistent Disk、Cloud SQL のバックアップでサポートされています。
Backup Vault で CMEK を構成できるのは、作成時のみです。
既存の Backup Vault で CMEK を有効、無効、変更することはできません。
Cloud Key Management Service 鍵は、Backup Vault と同じロケーションにある必要があります。 リージョン内の Backup Vault は、同じリージョンの鍵を使用する必要があります。 マルチリージョン Backup Vault は、同じマルチリージョンの鍵を使用する必要があります。
リージョンをまたぐバックアップでは、Backup Vault と同じリージョンの鍵を使用する必要があります。
CMEK で保護された Compute Engine インスタンスのリージョンをまたぐ復元は、gcloud CLI、API、Terraform でのみサポートされています。手順については、CMEK 対応の Backup Vault から復元するをご覧ください。
Backup and DR は、顧客指定の暗号鍵（CSEK）をサポートしていません。
デフォルトの Backup Vault とデフォルトのバックアップ プランでは、Google 管理の暗号化が使用されます。CMEK を使用するには、新しい Backup Vault を作成して、CMEK を明示的に有効にする必要があります。
鍵の取り消しと拡張バックアップ
拡張バックアップの場合、ソース ワークロードと Backup Vault は、異なるサービス エージェントを使用して CMEK 鍵にアクセスします。
Cloud SQL サービス エージェント: Cloud SQL サービス エージェントから CMEK 鍵 へのアクセスを取り消すと、ソース インスタンスが一時停止します。
Backup and DR サービス エージェント: 既存の拡張バックアップは、Backup and DR サービス エージェントが CMEK 鍵へのアクセスを保持している限り、 復元可能です 。Backup and DR サービス エージェントからのアクセスを取り消すと、新しいバックアップを作成できなくなり、既存のバックアップを復元できなくなります。
料金
Backup and DR では、CMEK の使用に追加料金はかかりません。ただし、Cloud Key Management Service での鍵の使用には料金が発生します。詳細については、Cloud Key Management Service の料金をご覧ください。
次のステップ
- Backup and DR サービスで CMEK を使用する方法を確認する