CMEK 鍵のローテーション

顧客管理の暗号鍵（CMEK）を使用すると、Cloud KMS で管理する暗号鍵を使用して、サポートされているGoogle Cloud サービス内のデータを保護できます。鍵の自動ローテーションは、設定されたスケジュールで構成することも、手動でローテーションすることもできます。このドキュメントでは、基盤となる Cloud KMS 鍵がローテーションされたときに、CMEK 統合サービスで何が起こるかについて説明します。

CMEK での鍵のローテーションの仕組み

Cloud KMS で鍵をローテーションすると、Cloud KMS はその鍵の新しいバージョンを作成します。新しい鍵バージョンがプライマリ バージョンになり、データの保護に使用されるデータ暗号鍵（DEK）の暗号化に使用できるようになります。以前の鍵バージョンはアクティブな状態が維持され、それらで暗号化された DEK の復号に使用できます。このプロセスにより、古いデータにいつでもアクセスできるようになります。

CMEK 統合サービスによって鍵のローテーションの処理方法は異なりますが、主に次の 3 つのパターンがあります。

• 新しい鍵バージョンがすべてのデータを保護する: サービスが新しい鍵バージョンがプライマリになったことを検出すると、サービスは以前の鍵バージョンで暗号化された DEK を自動的に再暗号化します。新しいデータと既存のデータの両方を保護する DEK は、現在のプライマリ鍵バージョンで暗号化されます。既存の DEK の再暗号化には時間がかかる場合がありますが、完了すると以前の鍵バージョンは使用されなくなります。
• 新しい鍵バージョンが今後使用される: サービスが新しい鍵バージョンがプライマリになったことを検出すると、以降の暗号化リクエストでは新しい鍵バージョンが使用されます。このリソースのデータを保護する DEK は、現在の鍵バージョンと以前の鍵バージョンを組み合わせて使用します。
• 新しい鍵バージョンが使用されない: 新しいプライマリ鍵バージョンが存在するかどうかにかかわらず、リソースの作成時に構成された元の鍵バージョンで DEK の暗号化が続行されます。

鍵のローテーション後のサービス固有の動作

次の表に、CMEK で保護できるリソースのサービス固有のローテーション動作を示します。 次の表に、リソースタイプまたはリソースタイプのセットごとのローテーションの詳細を示します。

• キーを継承できる: リソースが親リソースからキーを継承できるかどうか。
• 一意のキーを使用できる: リソースが親リソースから継承されたものではなく、独自の一意のキーを使用できるかどうか。
• 鍵を変更できる: リソースの更新中に、リソースを保護する新しい CMEK を選択できるかどうか。
• 新しいデータ: 新しい DEK が、プライマリ鍵バージョンで暗号化されるか、リソースに CMEK が構成されたときにプライマリだった元の鍵バージョンで暗号化されるか。
• 既存のデータ: 既存の DEK が主キーのバージョンで再暗号化されるか、リソースに CMEK が構成されたときにプライマリだった元のキーのバージョンで暗号化されたままになるか。

フィルタ条件: 回転パターン すべて 新しい鍵バージョンがすべてのデータを保護する 新しい鍵バージョンが今後使用される 新しい鍵バージョンが使用されていない キーの継承パターン すべて リソースはキーを継承できる 継承されたキーまたは固有のキーを使用する リソースはキーのみを継承する リソースがキーを継承できない 更新時に CMEK を変更 すべて CMEK を変更できる CMEK を変更できない すべてクリア

サービスとリソース	キーを継承できる	一意キーを使用できる	鍵を変更できる	新しいデータ	既存のデータ
Agent Retrieval vectorsearch.googleapis.com/Collection vectorsearch.googleapis.com/Index	いいえ	はい	いいえ	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
アプリケーションの統合 integrations.googleapis.com/IntegrationVersion integrations.googleapis.com/AuthConfig integrations.googleapis.com/Execution integrations.googleapis.com/Suspension integrations.googleapis.com/TestCase integrations.googleapis.com/Template	いいえ	はい	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
BigQuery bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table	はい	はい	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Cloud Storage storage.googleapis.com/Bucket	いいえ	はい	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Cloud Storage storage.googleapis.com/Object	はい	はい	いいえ	N/A: このリソースは変更できません。	元の鍵バージョンを使用する
Conversational Analytics（会話分析）API geminidataanalytics.googleapis.com/Conversation geminidataanalytics.googleapis.com/DataAgent	いいえ	はい	いいえ	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
カスタマー エクスペリエンスのインサイト contactcenterinsights.googleapis.com/* 注: カスタマー エクスペリエンス インサイトでは、リージョンごとにプロジェクトごとに 1 つの鍵が使用されます。この鍵は、そのリージョンのすべてのリソースに継承されます。	はい	いいえ	いいえ	不明	不明
Dataflow dataflow.googleapis.com/Job	いいえ	はい	いいえ	新しい主キー バージョンを使用する	新しいメインの鍵バージョン を使用する
Eventarc Advanced eventarc.googleapis.com/MessageBus eventarc.googleapis.com/Pipeline eventarc.googleapis.com/GoogleApiSource	いいえ	はい	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Eventarc Standard eventarc.googleapis.com/Channel	いいえ	はい	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Eventarc Standard eventarc.googleapis.com/Trigger	はい	いいえ	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Filestore file.googleapis.com/instance file.googleapis.com/backup	いいえ	はい	いいえ	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Firestore firestore.googleapis.com/Database datastore.googleapis.com/Database	いいえ	はい	いいえ	新しい主キー バージョンを使用する	新しいメインの鍵バージョン を使用する
Gemini Code Assist cloudaicompanion.googleapis.com/CodeRepositoryIndex	いいえ	はい	いいえ	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Pub/Sub pubsub.googleapis.com/Topic	いいえ	はい	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Secure Source Manager securesourcemanager.googleapis.com/Instance	いいえ	はい	いいえ	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Spanner storage.googleapis.com/instances.databases storage.googleapis.com/instances.backups	はい	はい	いいえ	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Speech-to-Text speech.googleapis.com/Config	いいえ	はい	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Speech-to-Text speech.googleapis.com/CustomClass speech.googleapis.com/Endpoint speech.googleapis.com/Model speech.googleapis.com/PhraseSet speech.googleapis.com/Recognizer	はい	いいえ	はい	新しい主キー バージョンを使用する	元の鍵バージョンを使用する
Workflows workflows.googleapis.com/Workflow	いいえ	はい	はい	元の鍵バージョンを使用する	元の鍵バージョンを使用する
Workflows workflowexecutions.googleapis.com/Execution	はい	いいえ	いいえ	元の鍵バージョンを使用する	元の鍵バージョンを使用する

次のステップ

• 鍵をローテーションする方法を確認する。
• 顧客管理の暗号鍵（CMEK）の概要を読む。