CMEK 鍵のローテーション

顧客管理の暗号鍵（CMEK）を使用すると、サポートされている Google Cloud サービスのデータを、 Cloud KMS で管理する暗号鍵を使用して保護できます。鍵の自動ローテーションをスケジュールに基づいて構成することも、鍵を手動でローテーションすることもできます。このドキュメントでは、基盤となる Cloud KMS 鍵がローテーションされたときに、CMEK 統合サービスで何が起こるかについて説明します。

CMEK での鍵のローテーションの仕組み

Cloud KMS で鍵をローテーションすると、Cloud KMS はその鍵の新しいバージョンを作成します。新しい鍵バージョンがプライマリ バージョンになり、データを保護するデータ暗号鍵（DEK）の暗号化に使用できます。以前の鍵バージョンは有効な状態に保たれ、それらで暗号化された DEK の復号に使用できます。このプロセスにより、古いデータに常にアクセスできるようになります。

CMEK 統合サービスによって鍵のローテーションの処理は異なりますが、主に次の 3 つのパターンがあります。

• 新しい鍵バージョンがすべてのデータを保護する: サービスが新しい 鍵バージョンがプライマリになったことを検出すると、以前の鍵バージョンで暗号化された DEK が自動的に再暗号化されます。新しいデータと既存のデータの両方を保護する DEK は、現在のプライマリ鍵バージョンで暗号化されます。既存の DEK の再暗号化には時間がかかる場合がありますが、完了すると以前の鍵バージョンは使用されなくなります。
• 新しい鍵バージョンが今後使用される: サービスが 新しい鍵バージョンがプライマリになったことを検出すると、以降の暗号化リクエストでは 新しい鍵バージョンが使用されます。このリソースのデータを保護する DEK では、現在の鍵バージョンと以前の鍵バージョンが混在して使用されます。
• 新しい鍵バージョンが使用されない: 新しいプライマリ鍵バージョンが存在するかどうかに関係なく、 リソースの作成時に構成された元の鍵バージョンで DEK が暗号化されます。

鍵のローテーション後のサービス固有の動作

次の表に、CMEK で保護できるリソースのサービス固有のローテーション動作を示します。 次の表に、各リソースタイプまたはリソースタイプのセットのローテーションの詳細を示します。

• 鍵を継承できる: リソースが親 リソースから鍵を継承できるかどうか。
• 一意の鍵を使用できる: リソースが親リソースから継承されたものではなく、独自の一意の鍵を使用できるかどうか。
• 鍵を変更できる: リソースの更新時に、リソースを保護する新しい CMEK を選択できるかどうか。
• 新しいデータ: 新しい DEK がプライマリ鍵バージョンで暗号化されるか、 リソースに CMEK が構成されたときにプライマリだった元の鍵バージョンで暗化されるか。
• 既存のデータ: 既存の DEK がプライマリ 鍵バージョンで再暗号化されるか、リソースに CMEK が構成されたときに プライマリだった元の鍵バージョンで暗号化されたままになるか。

フィルタ条件: ローテーション パターン すべて 新しい鍵バージョンがすべてのデータを保護する 新しい鍵バージョンが今後使用される 新しい鍵バージョンが使用されない 鍵の継承パターン すべて リソースは鍵を継承できる 継承された鍵または一意の鍵を使用する リソースは鍵のみを継承する リソースは鍵を継承できない 更新時に CMEK を変更する すべて CMEK を変更できる CMEK を変更できない すべてクリア

サービスとリソース	鍵を継承できる	一意の鍵を使用できる	鍵を変更できる	新しいデータ	既存のデータ
エージェントの取得 vectorsearch.googleapis.com/Collection vectorsearch.googleapis.com/Index	いいえ	はい	いいえ	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
アプリケーションの統合 integrations.googleapis.com/IntegrationVersion integrations.googleapis.com/AuthConfig integrations.googleapis.com/Execution integrations.googleapis.com/Suspension integrations.googleapis.com/TestCase integrations.googleapis.com/Template	いいえ	はい	はい	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
Cloud Storage storage.googleapis.com/Bucket	いいえ	はい	はい	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
Cloud Storage storage.googleapis.com/Object	はい	はい	いいえ	該当なし: このリソースは不変です。	元の鍵バージョンを使用する
カスタマー エクスペリエンスのインサイト contactcenterinsights.googleapis.com/* 注: カスタマー エクスペリエンスのインサイトでは、リージョンごとにプロジェクトごとに 1 つの鍵を使用します。この鍵は、そのリージョン内のすべてのリソースに継承されます。	はい	いいえ	いいえ	不明	不明
Dataflow dataflow.googleapis.com/Job	いいえ	はい	いいえ	新しいプライマリ鍵バージョンを使用する	新しいプライマリ鍵バージョンを使用する
Eventarc Advanced eventarc.googleapis.com/MessageBus eventarc.googleapis.com/Pipeline eventarc.googleapis.com/GoogleApiSource	いいえ	はい	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Eventarc Standard eventarc.googleapis.com/Channel	いいえ	はい	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Eventarc Standard eventarc.googleapis.com/Trigger	はい	いいえ	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Filestore file.googleapis.com/instance file.googleapis.com/backup	いいえ	はい	いいえ	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
Firestore firestore.googleapis.com/Database datastore.googleapis.com/Database	いいえ	はい	いいえ	新しいプライマリ鍵バージョンを使用する	新しいプライマリ鍵バージョンを使用する
Gemini Code Assist cloudaicompanion.googleapis.com/CodeRepositoryIndex	いいえ	はい	いいえ	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Pub/Sub pubsub.googleapis.com/Topic	いいえ	はい	はい	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
Secure Source Manager securesourcemanager.googleapis.com/Instance	いいえ	はい	いいえ	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Speech-to-Text speech.googleapis.com/Config	いいえ	はい	はい	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する
Speech-to-Text speech.googleapis.com/CustomClass speech.googleapis.com/Endpoint speech.googleapis.com/Model speech.googleapis.com/PhraseSet speech.googleapis.com/Recognizer	はい	いいえ	はい	新しいプライマリ鍵バージョンを使用する	元の鍵バージョンを使用する

次のステップ

• 鍵をローテーションする方法を確認する。
• 顧客管理の暗号鍵（CMEK）の概要を読む。