Cloud Key Management Service（Cloud KMS）を使用すると、互換性のある Google Cloud サービスと独自の アプリケーションで使用する暗号鍵 を作成し、管理できるようになります。Cloud KMS を使用すると、次のことができます。
- ソフトウェアまたはハードウェアの鍵を生成するか、既存の鍵を Cloud KMS にインポートします。または、互換性のある外部鍵管理（EKM）システムで外部鍵をリンクします。
- マルチテナント Cloud HSM 鍵を生成し、 Google Workspace 向け Cloud HSM で使用して、Google Workspace でクライアントサイド暗号化（CSE）を有効にします。
- Single-tenant Cloud HSM インスタンスを作成して維持し、 またはインポートして Single-tenant Cloud HSM 鍵を使用します。
- CMEK 統合により、 プロダクトで顧客管理の暗号鍵（CMEK）を使用します。 Google CloudCMEK 統合では、Cloud KMS 鍵を使用してデータ 暗号鍵（DEK）を暗号化または「ラップ」します。DEK を鍵暗号鍵（KEK）でラップすることは、 エンベロープ暗号化と呼ばれます。
- Cloud KMS Autokeyを使用して、プロビジョニングと割り当てを 自動化します。Autokey を使用する場合、キーリング、鍵、サービス アカウントを事前にプロビジョニングする必要はありません。これらは、リソースの作成中にオンデマンドで生成されます。
- 暗号化と復号のオペレーションに Cloud KMS 鍵を使用します。たとえば、Cloud KMS API またはクライアント ライブラリを使用して、クライアントサイド暗号化に Cloud KMS 鍵を使用できます。
- Cloud KMS 鍵を使用して、 デジタル署名または メッセージ認証コード（MAC） 署名を作成または検証します。
- Cloud KMS 鍵を使用して、鍵カプセル化メカニズムを使用して共有シークレットを確立します。
ニーズに合った暗号化を選択する:
次の表を使用して、各ユースケースのニーズを満たす暗号化の種類を特定できます。ニーズに最適なソリューションは、複数の暗号化方法の組み合わせである場合があります。 たとえば、最も機密性の低いデータにはソフトウェア鍵を使用し、最も機密性の高いデータにはハードウェア鍵または外部鍵を使用することが考えられます。 このセクションで説明する暗号化オプションの詳細については、このページの Google Cloudのデータを保護するをご覧ください。 Cloud KMS、 Cloud HSM、Cloud EKM 鍵を使用する場合に適用される サービスレベル契約（SLA）の詳細については、 サービスレベル契約をご覧ください。
| 暗号化のタイプ | 費用 | 互換性のあるサービス | 機能 |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud デフォルトの暗号化) | 含まれる | 顧客データを保存するすべての Google Cloud サービス |
|
| 顧客管理の
暗号鍵 \- ソフトウェア （Cloud KMS 鍵） |
鍵バージョンあたり $0.06 | 40 種類以上のサービス |
|
| 顧客管理
の暗号鍵 - ハードウェア （Cloud HSM 鍵） |
鍵バージョンあたり月額 $1.00～$2.50 | 40 種類以上のサービス |
|
| 顧客管理の
暗号鍵 - 外部 （Cloud EKM 鍵） |
鍵バージョンあたり月額 $3.00 | 30 種類以上のサービス |
|
| クライアントサイド暗号化 Cloud KMS 鍵を使用した | アクティブな鍵バージョンの費用は、鍵の保護レベルによって異なります。 | アプリケーションでクライアント ライブラリ を使用する |
|
| Google Workspace 向け Cloud HSM | インスタンスごとの月額フラットレート料金と、アクティブな鍵バージョンと暗号オペレーションの費用。 | Google Workspace でクライアントサイド暗号化にマルチテナント Cloud HSM 鍵を使用する |
|
| 顧客指定の暗号鍵 | Compute Engine または Cloud Storage に関連する費用が増加する場合がある |
|
|
| Confidential Computing | Confidential VMs ごとの追加費用。ログ使用量と関連費用が増加する可能性があります |
|
でデータを保護する Google Cloud
Google-owned and Google-managed encryption keys (Google Cloud デフォルトの暗号化)
デフォルトでは、 Google Cloud の保存データは、キーストア Google Cloudの内部鍵管理サービスである鍵によって保護されます。キーストアの鍵は Google Cloudによって自動的に管理されるため、 ユーザーによる構成は不要です。ほとんどの サービスで鍵が自動的にローテーションされます。キーストアは、主キーのバージョンと、限られた数の古い鍵バージョンをサポートしています。主キーのバージョンは、新しいデータ暗号鍵の暗号化に使用されます。 古いバージョンの鍵は既存のデータ暗号鍵の復号に依然として使用できます。 これらの鍵の表示や管理、鍵の使用状況ログの確認はできません。複数のお客様のデータが同じ鍵暗号鍵を使用することがあります。
このデフォルトの暗号化では、FIPS 140-2 レベル 1 に準拠していることが検証された暗号モジュールが使用されます。
顧客管理の暗号鍵（CMEK）
CMEK 統合サービスでリソースを保護するために使用される Cloud KMS 鍵は、顧客管理の暗号鍵（CMEK）です。 鍵の作成と割り当てのタスクを Cloud KMS Autokey に委任しながら、CMEK を所有、制御できます。CMEK のプロビジョニングの自動化の詳細については、Autokey を使用した Cloud Key Management Service をご覧ください。
互換性のある サービスで Cloud KMS 鍵を使用すると、次の目標を達成できます。
暗号鍵を所有する。
ロケーション、保護レベル、作成、アクセス制御、ローテーション、使用、破棄の選択など、暗号鍵を制御、管理する。
オフボーディングが発生した場合や、セキュリティ イベントを修復（クリプト シュレッディング）する場合に、鍵で保護されたデータを選択して削除する。
データの周囲に暗号境界を確立する専用の単一テナント鍵を作成する。
暗号鍵への管理とデータアクセスをログに記録する。
これらの目標のいずれかを必要とする現在または将来の規制に対応できます。
CMEK 統合サービスで Cloud KMS 鍵を使用する場合、組織のポリシーを使用して、ポリシーの指定に従って CMEK が使用されるようにできます。たとえば、 互換性のある Google Cloud リソースが暗号化に Cloud KMS 鍵を使用するように、組織のポリシーを設定できます。組織のポリシーでは、鍵リソースを配置する必要があるプロジェクトを指定することもできます。
提供される機能と保護レベルは、鍵の保護レベルによって異なります。
ソフトウェア鍵 - Cloud KMS でソフトウェア鍵を生成し、 すべての Google Cloud ロケーションで使用できます。自動ローテーションで対称鍵を作成できます。または、手動ローテーションで非対称鍵を作成することもできます。顧客管理のソフトウェア鍵は、FIPS 140-2 レベル 1 検証済みのソフトウェア暗号モジュールを使用します。また、ローテーション期間、Identity and Access Management（IAM）のロールと権限、鍵を管理する組織のポリシーを制御することもできます。ソフトウェア鍵は、多くの互換性のある Google Cloud リソースで使用できます。
インポートされたソフトウェア鍵 - Cloud KMS で使用するために他の場所に作成したソフトウェア鍵をインポートできます。新しい鍵バージョンをインポートして、インポートした鍵を手動でローテーションできます。IAM のロールと権限と組織のポリシーを使用して、インポートした鍵の使用を管理できます。
マルチテナント Cloud HSM を使用したハードウェア鍵 - FIPS 140-2 レベル 3 ハードウェア セキュリティ モジュール（HSM）のクラスタでハードウェア鍵を生成できます。ユーザーは、ローテーション期間、IAM のロールと権限、鍵を管理する組織のポリシーを制御できます。Cloud HSM を使用して HSM 鍵を作成する場合、 によって HSM クラスタが管理されるため、お客様が Google Cloud する必要はありません。HSM 鍵は、ソフトウェア鍵をサポートする同じ サービスである、多くの互換性のある Google Cloud リソースで使用できます。最高レベルのセキュリティ コンプライアンスを実現するには、ハードウェア鍵を使用します。
Single-tenant Cloud HSM を使用したハードウェア鍵 - 制御する FIPS 140-2 レベル 3 ハードウェア セキュリティ モジュール（HSM）の専用パーティションのクラスタでハードウェア鍵を生成できます。ユーザーは、ローテーション期間、IAM のロールと権限、鍵を管理する組織のポリシーを制御できます。Single-tenant Cloud HSM インスタンスを作成すると、 Google Cloud によって HSM クラスタがホストされるため、お客様が する必要はありません。ただし、インスタンスへのアクセスを制御し、指定された管理者の クォーラムでインスタンスを維持します。インスタンス オペレーションには、 の外部で所有するセキュリティ キーを使用した 2 要素認証が必要です Google Cloud。単一テナント HSM 鍵は、ソフトウェア鍵をサポートする同じサービスである、多くの 互換性のある Google Cloud リソースで使用できます。暗号化の分離による最高レベルのセキュリティ コンプライアンスを実現するには、ハードウェア鍵を使用します。
外部鍵と Cloud EKM - 外部鍵マネージャー（EKM）に存在する鍵を使用できます。Cloud EKM によって、 サポートされている鍵マネージャーに保持されている鍵を使用して、 Google Cloud リソースを保護できます。 インターネット上または Virtual Private Cloud（VPC）上で EKM に接続できます。 Cloud KMS 鍵をサポートする一部の サービスは、Cloud EKM 鍵をサポートしていません。 Google Cloud
Cloud KMS 鍵
Cloud KMS クライアント ライブラリまたは Cloud KMS APIを使用して、カスタム アプリケーションで Cloud KMS 鍵を使用できます。クライアント ライブラリと API を使用すると、データの暗号化と復号、データの署名、署名の検証を行うことができます。
Google Workspace 向けマルチテナント Cloud HSM
Google Workspace 向け Cloud HSM でマルチテナント Cloud HSM 鍵を使用して、Google Workspace でクライアントサイド暗号化（CSE）に使用される鍵を管理できます。Google Workspace 向け Cloud HSM にオンボーディングできます。
顧客指定の暗号鍵（CSEK）
Cloud Storage と Compute Engine は、 顧客指定の暗号鍵（CSEK）を使用できます。 顧客指定の暗号鍵の場合は、鍵マテリアルを保存し、必要に応じて Cloud Storage または Compute Engine に提供します。 Google Cloud は、いかなる方法でも CSEK を保存しません。Confidential Computing
Confidential Computing プラットフォームを使用して、使用中のデータを暗号化できます。 Confidential Computing により、データは処理中であっても暗号化されてプライバシーが確保されます。