Google Distributed Cloud（GDC）エアギャップは、保存データの自動暗号化など、データを保護するための包括的なセキュリティ戦略を提供します。保存データの暗号化は、ディスク（SSD を含む）やバックアップ メディアなどの不揮発性ストレージ（電源が切れてもデータを保持するストレージ）に保存されているデータへの不正アクセスを防ぐセキュリティ対策です。 GDC は、お客様の操作を必要とせずに、保存されているコンテンツを暗号化します。
このドキュメントでは、GDC のデフォルトの保存データの暗号化メカニズムについて説明し、保存データを保護する暗号鍵を制御できる顧客管理の暗号鍵（CMEK）機能について説明します。
このドキュメントは、暗号化と暗号化データ型について基本的な知識があることを前提としており、GDC 内のセキュリティを管理するユーザー（IT 管理者やセキュリティ エンジニアなど）を対象としています。詳細については、 以下をご覧ください GDC エアギャップ ドキュメントの対象読者。
保護される顧客データの種類
顧客データとは、お客様またはエンドユーザーがアカウントのサービスを通じて GDC に提供するデータを指します。 GDC は、次の 2 つのカテゴリの顧客データを処理します。
顧客コンテンツ: 保存データ、ディスク スナップショット、 Identity and Access Management（IAM）ポリシーなど、お客様自身で生成または GDC に提供するデータ。このドキュメントで説明するデフォルトの保存データの暗号化は、主に顧客コンテンツを保護します。
顧客メタデータ: その他のすべての顧客データ。顧客メタデータには、自動生成されたプロジェクト番号、タイムスタンプ、IP アドレス、オブジェクトのバイトサイズ、仮想マシンタイプなどがあります。GDC は、進行中のパフォーマンスやオペレーションに対して妥当な範囲で顧客メタデータを保護します。
保存データの暗号化のメリット
保存データの暗号化には、次のようなメリットがあります。
- ディスクに保存されているデータへの不正な物理アクセスによる影響を軽減します。 攻撃者がストレージ デバイスに物理的にアクセスできたとしても、ディスクには暗号化されたデータしか公開されないため、暗号鍵がなければデータを読み取ったり復号したりすることはできません。
- セキュリティ戦略を鍵管理に集中させます。データは暗号化されているため、暗号鍵を保護することは、不正なデータアクセスを防ぐための重要なセキュリティ対策となります。
- 重要なプライバシー メカニズムを提供します。GDC が保存データを暗号化すると、システムとエンジニアがデータにアクセスできる範囲が制限されます。
デフォルトの暗号化レイヤ
GDC は、複数の暗号化レイヤを使用して、保存されているすべての顧客コンテンツを自動的に暗号化します。この階層型アプローチにより、1 つのレイヤが侵害されてもデータが公開される可能性は低くなります。これらのレイヤは、顧客ワークロードで使用される主要なストレージ タイプ全体に実装されています。たとえば、次のようなものがあります。
ブロック ストレージ
- ハードウェア レベルの暗号化: FIPS 140-2 準拠の自己暗号化ドライブ（SED）を利用します。これらの SED の暗号鍵は外部のハードウェア セキュリティ モジュール（HSM）に保存され、FIPS 140-3 準拠のストレージを提供します。
- ソフトウェア レベルの暗号化: ボリューム暗号化（VE）と呼ばれる追加のレイヤを実装します。各ブロック ストレージ ボリュームは、一意の XTS-AES-256 鍵で暗号化されます。これらのボリューム固有の鍵も外部 HSM に保存され、CMEK として管理されます。
顧客管理の暗号鍵
顧客管理の暗号鍵（CMEK）を使用すると、GDC で保存データを保護する鍵を制御できます。デフォルトでは、GDC 内に保存されるすべてのデータは、FIPS 140 検証済みの暗号モジュールと HSM でバックアップされた鍵を使用して保存時に暗号化されます。設定や構成は必要ありません。
CMEK には、コンプライアンス要件を満たすのに役立つ次のような利点があります。
- 制御: 鍵を制御できます。鍵を削除することもできます。
- 透明性: 鍵へのアクセスを監査して、データが保護されていることを確認できます。
- 暗号化消去: CMEK を採用すると、データ漏洩の修復とオフボーディングに、この高保証のデータ破棄方法を使用できます。保護するデータの帯域外で鍵を削除できます。
- 一元的な適用: 一元管理された暗号鍵により、アクセス ポリシーの適用と鍵の使用状況の監査を 1 か所で行えます。
CMEK リソースの種類
CMEK は、プラットフォーム管理者グループがモニタリング、監査、削除できる暗号鍵です。これらの鍵は、HSM API または Key Management System（KMS）を使用して、Kubernetes リソースを介して管理します。
CMEK Kubernetes リソースには、次の 2 種類があります。
CTMKey: Thales CipherTrust Manager（CTM）を使用して HSM 内で直接作成および管理される Kubernetes リソース。kubectlを使用して HSM API とやり取りすることで、CTMKeyリソースを管理できます。ブロック ストレージなどのサービスは、
CTMKeyリソースを CMEK として使用します。AEADKey: KMS によって管理される Kubernetes リソース。KMS を使用すると、独自の暗号鍵と署名鍵を作成して管理できます。KMS は、HSM でバックアップされたルート鍵を使用してAEADKeyマテリアルをラップし、保存時に暗号化されるようにします。信頼のルート オブ トラストは HSM ですが、KMS は鍵管理の追加レイヤを提供します。kubectlを使用して KMS API とやり取りすることで、AEADKeyリソースを管理できます。オブジェクト ストレージ バケットの暗号化などのサービスは、
AEADKeyリソースを CMEK として使用します。
GDC でサポートされている CMEK
GDC サービス内にデータを保存するリソースを作成すると、サービスはデータを保護する暗号鍵を自動的に生成し、CMEK リソースとして使用できるようにします。
CMEK ローテーションをサポートしているサービスは一部のみです。鍵のローテーションの手順については、各サービスのドキュメントをご覧ください。
次の GDC サービスは CMEK をサポートしています。
- ブロック ストレージ: 各ブロック ストレージ デバイスを暗号化します。
- 仮想マシン（VM）ディスク: VM ディスクを暗号化します。
- データベース サービス: データベース インスタンスのデータを暗号化します。データベースのバックアップは CMEK の対象外であり、バックアップ ストレージ システムの設定を使用して暗号化されます。
- ユーザー コンテナ ワークロード: Kubernetes メタデータと
etcdクラスタを暗号化します。コンテナ ワークロードで使用される永続ボリューム（PV）は、ブロック ストレージの暗号化の一部として暗号化されます。 - ストレージ: バケットレベルの KMS AEAD 鍵でラップされた 一意の AES-256-GCM 鍵を使用して、各オブジェクトを暗号化します。