デフォルトでは、データポータルはお客様のコンテンツを 保存時に暗号化します。データポータルは、お客様が追加の操作を行うことなく暗号化を処理します。このオプションは、Google のデフォルトの暗号化と呼ばれます。
暗号鍵を管理する場合は、データポータルなどの CMEK 統合サービスで Cloud KMS の顧客管理の暗号鍵（CMEK）を使用できます。Cloud KMS 鍵を使用すると、保護 レベル、ロケーション、ローテーション スケジュール、使用とアクセスの権限、暗号境界を制御できます。 Cloud KMS を使用すると、監査ログを表示し、鍵のライフサイクルを管理することもできます。データを保護する対称鍵暗号鍵（KEK）は Google が所有して管理するのではなく、ユーザーが Cloud KMS でこれらの鍵の制御と管理を行います。
CMEK を使用してリソースを設定した後は、 データポータル リソースへのアクセスは、Google のデフォルトの暗号化を使用する場合と同様です。 暗号化 オプションの詳細については、顧客管理の暗号鍵（CMEK）をご覧ください。
CMEK を使用すると、独自の暗号鍵を使用して、保存されているデータポータル Pro データを暗号化できます。 CMEK を使用すると、データをより詳細に制御でき、内部または外部のコンプライアンス規制に準拠できます。
CMEK と顧客管理のストレージ
CMEK を有効にする場合は、データポータル Pro の 顧客管理のストレージ オプションも有効にする必要があります。これにより、Cloud Storage と BigQuery を使用して、データポータル Pro Google Cloud プロジェクトにデータを保存できます。データポータル Pro は、Cloud Key Management Service 鍵を使用して、レポートやデータソースの構成、スケジュール設定されたメールなどのリソースを保護します。 プロジェクトに保存されているデータ抽出とファイル アップロードについては、ストレージ リソースに CMEK を適用してデータを保護できます。 Google Cloud Google Cloud
始める前に
CMEK を有効にして使用するには、次の前提条件を満たす必要があります。
- CMEK を有効にできるのは、新しいデータポータル Pro サブスクリプションを作成する場合のみです。
- CMEK を有効にするには、顧客管理のストレージを有効にして構成する必要があります 。顧客管理のストレージでは、 データポータル Pro がデータ抽出とファイル アップロードの保存に使用する Cloud Storage バケットと BigQuery データセットを プロジェクト内に用意する必要があります。 Google Cloud これらのリソースに保存されているデータを保護するには、CMEK 構成を適用します。
- CMEK を有効にするには、 データ ロケーションを有効にして構成する必要があります。
- CMEK に使用する対称暗号鍵が Cloud KMS に必要です。この鍵は、データ ロケーションに選択したリージョンに存在する必要があります。
- Cloud KMS で鍵を作成するには、必要な IAM ロールが必要です。詳細については、 必要なロールをご覧ください。
サブスクリプションの CMEK を有効にする
CMEK を有効にできるのは、新しいデータポータル Pro サブスクリプションを作成する場合のみです。既存の Pro サブスクリプションで CMEK を有効にすることはできません。
CMEK を有効にするには、新しいデータポータル Pro サブスクリプションを作成するときに、次の手順を行います。
- プロンプトが表示されたら、[顧客管理の暗号鍵を使用する] を選択します。
- [鍵のリソース名] フィールドに、鍵のリソース名を入力または貼り付けます。
- ユーザー インターフェースに表示されるデータポータル Pro サービス アカウントに、Cloud KMS のCloud KMS CryptoKey Encrypter/Decrypter ロールを付与します。
- [次へ] をクリックして、サブスクリプションの設定を続行します。
CMEK で暗号化されるもの
データポータル Pro サブスクリプションで CMEK を有効にすると、顧客コンテンツの暗号化は次の 2 つの方法で処理されます。
- Cloud KMS 鍵を使用してデータポータル Pro によって暗号化されるデータ: データポータル Pro は、指定された鍵を使用して、レポートやデータソースの構成、スケジュール設定されたメールなどのデータを暗号化します。
- プロジェクトに保存されているデータ: CMEK を有効にするには、
顧客管理のストレージを使用する必要があります。 Google Cloud 次のデータ型は、指定した Cloud Storage リソースと BigQuery リソースに保存されます。
- データ抽出
- CSV ファイルと Excel ファイルのアップロード これらのリソースは、Cloud Storage と BigQuery で適用する CMEK 構成を使用して暗号化されます。サブスクリプションで CMEK を有効にしても、データポータル Pro はこれらのリソースに CMEK を自動的に適用しません。
鍵管理
セキュリティ管理者またはコンプライアンス管理者は、Cloud KMS を使用して鍵管理タスクを実行できます。データポータル Pro は、すべての暗号化と復号のオペレーションで Cloud KMS を呼び出します。
次の鍵管理タスクを実行できます。
- 鍵の取り消し: 鍵へのデータポータル Pro のアクセスを取り消して、データをすぐに使用できなくすることができます。
- 監査: Cloud KMS で鍵アクセスログを調べて、鍵を使用してデータの暗号化または復号が行われたすべてのオペレーションを監査できます。
鍵のローテーション
鍵をローテーションすると、Cloud KMS は新しいアセットの暗号化に使用される鍵の新しいバージョンを作成します。既存のアセットは再暗号化されず、暗号化された鍵バージョンによって保護されます。 データポータル Pro は、新しい鍵バージョンを使用した既存のアセットの再暗号化をサポートしていません。
以前の鍵バージョンで暗号化された既存のアセットにアクセスするには、以前の鍵バージョンが引き続き必要となるため、これらのアセットへのアクセスを完全に削除する場合を除き、以前の鍵バージョンを削除または無効にしないでください。データを保護している鍵バージョンを削除または無効にすると、そのデータにアクセスできなくなります。
CMEK 鍵が使用できなくなった場合（鍵を無効にするか削除した場合など）、データポータル Pro は、暗号化されたデータを使用するレポートやデータソースを表示する代わりに、エラー メッセージを返します。メモリに保持されているデータは、無効な鍵が検出されてから 15 分以内に削除されます。データポータルのホームページには顧客コンテンツが含まれていないため、引き続きアクセスできます。
Cloud KMS の割り当てとデータポータル
データポータルで CMEK を使用する場合は、プロジェクトで Cloud KMS 暗号リクエストの割り当てを使用できます。データポータル Pro が鍵を使用してデータを暗号化または復号するたびに、そのオペレーションはプロジェクトの割り当てにカウントされます。
CMEK 鍵を使用する暗号化と復号のオペレーションは、次のように Cloud KMS の割り当てに影響します。
- Cloud KMS で生成されたソフトウェア CMEK 鍵の場合、Cloud KMS の割り当ては消費されません。
- ハードウェア CMEK 鍵（Cloud HSM 鍵とも呼ばれる）の場合、暗号化と復号のオペレーションは、その鍵が含まれるプロジェクトの Cloud HSM の割り当てにカウントされます。
- 外部 CMEK 鍵（Cloud EKM 鍵とも呼ばれる）の場合、暗号化と復号のオペレーションは、その鍵が含まれるプロジェクトの Cloud EKM の割り当てにカウントされます。
詳細については、 Cloud KMS の割り当てをご覧ください。
組織のポリシーで CMEK を適用する
データポータル Pro は、組織全体で暗号化設定を制御できる組織のポリシーをサポートしています。
次の制約を使用して CMEK を管理できます。
constraints/gcp.restrictNonCmekServices: すべての新しいデータポータル Pro サブスクリプションで CMEK を使用する必要があります。これを適用するには、この制約の拒否リストにdatastudio.googleapis.comを追加します。constraints/gcp.restrictCmekCryptoKeyProjects: データポータル Pro の Cloud KMS 鍵を提供できる Google Cloud プロジェクトを制限します。これを構成するには、この制約の許可リストに許可されたプロジェクトを追加します（例:under:projects/ALLOWED_PROJECT_ID）。
これらのポリシーの構成方法については、組織のポリシーで CMEK を適用するをご覧ください。
CMEK の制限事項
CMEK には次の制限があります。
- CMEK を有効にできるのは、新しいデータポータル Pro サブスクリプションを作成する場合のみです。既存のサブスクリプションで CMEK を有効または無効にすることはできません。
- CMEK 対応プロジェクトからコンテンツを移動できるのは、アクティブなデータポータル Pro サブスクリプションを持つ別のプロジェクトのみです。
- データポータル Pro からデータポータルの無料版にダウングレードした場合、またはサブスクリプションがキャンセルされた場合、CMEK 機能は 30 日間の猶予期間中も引き続き動作します。その後、CMEK を使用して作成されたデータソースは削除されます。
- データポータル Pro から データポータルの無料版にダウングレードした場合、またはサブスクリプションがキャンセルされた場合は、同じ Google Cloud プロジェクトを再利用して新しい データポータル Pro サブスクリプションを作成するまでに 30 日間待つ必要があります。