Google Workspace 向け Cloud HSM にオンボーディングする

このページでは、Cloud Key Management Service（Cloud KMS）が提供する Google Workspace の暗号鍵サービスである Cloud HSM for Google Workspace（CHGWS）をオンボーディングする方法について説明します。Cloud HSM for Google Workspace は、Google Workspace のプライバシー管理を強化し、DISA IL5 などの規制基準の達成とデータ セキュリティの強化に役立ちます。Cloud HSM は、標準に準拠した高可用性のフルマネージド鍵管理サービスです。クラウド規模で運用され、FIPS 140-2 レベル 3 に準拠した HSM（ハードウェア セキュリティ モジュール）にハードウェア格納型鍵が保存されます。

CHGWS は、マルチテナント Cloud HSM 鍵とシングルテナント Cloud HSM 鍵の両方と互換性があります。

詳細については、Google Workspace 向け Cloud HSM をご覧ください。

始める前に

Google Workspace 向け Cloud HSM をオンボーディングする前に、次の前提条件を満たしてください。

  • Google Workspace を設定します。
  • Google Workspace で Google Workspace クライアントサイド暗号化（CSE）を有効にします。
  • Google Workspace CSE で ID プロバイダ（IdP）を構成します。IdP のクライアント ID をメモします。Google Identity Platform を使用している場合は、 Google Cloud プロジェクトでクライアント ID を確認します。
  • 省略可: ウェブ以外のプラットフォーム アプリケーション（モバイルやデスクトップなど）で CSE で暗号化されたコンテンツへのアクセスを許可する場合は、Google Workspace 管理コンソールの IdP 設定で、それらのプラットフォームのクライアント ID を追加します。この IdP のすべてのクライアント ID をメモします。Google Identity Platform を使用している場合は、 Google Cloud プロジェクトでこれらのクライアント ID を確認します。他の ID プロバイダの場合は、これらのクライアント ID を個別に作成します。

対応する地域

Cloud KMS 鍵は、米国またはヨーロッパの地理的領域内の任意のリージョンまたはマルチリージョン ロケーションに保存できます。Google Workspace 向け Cloud HSM は、マルチテナント Cloud HSM とシングルテナント Cloud HSM の両方の鍵をサポートしています。特定のロケーションを見つけるには、Cloud KMS のロケーションにアクセスして、HSM タイプでフィルタします。

Google Workspace 向け Cloud HSM は、鍵の場所に最も近い次のいずれかのマルチリージョンにエンドポイントを自動的に提供します。

  • us
  • eur3

Cloud KMS 用の Google Cloud プロジェクトを設定する

Google Workspace 用 Cloud HSM エンドポイントは、暗号オペレーションに Cloud KMS 鍵を使用します。Cloud KMS 鍵をホストする新しい Google Cloud プロジェクトを設定します。

  1. Google Cloud プロジェクトを作成します。これが鍵のプロジェクトになります。プロジェクト ID とプロジェクト番号をメモしておきます。これらは設定を完了するために必要です。

  2. 作成したプロジェクトで課金を有効にします。

  3. Google Cloud 鍵プロジェクトで Cloud KMS API を有効にします。

    API の有効化

  4. Google Cloud コンソールで、ターミナル Cloud Shell をアクティブにするをクリックします。

  5. プロジェクト ID を Cloud Shell プロンプトのプロジェクト ID と比較して、正しいプロジェクトにいることを確認します。

  6. Cloud Shell を使用して、Cloud HSM for Google Workspace サービス アカウントを作成します。

    gcloud beta services identity create \
    --service=cloudkmskacls-pa.googleapis.com

    このコマンドで作成されたサービス ID をメモします。次のステップでサービス ID 名が必要になります。

  7. 作成したサービス アカウントに CHGWS キー サービス エージェント ロールを付与します。

    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudkmskacls.iam.gserviceaccount.com \
    --role=roles/cloudkmskacls.serviceAgent

    次のように置き換えます。

    • PROJECT_ID: 鍵プロジェクトのプロジェクト ID。
    • PROJECT_NUMBER: 鍵プロジェクトのプロジェクト番号。

CHGWS サービス エンドポイントを管理する

以降のセクションでは、CHGWS エンドポイントの設定と管理の方法について説明します。

Cloud KMS 鍵を設定する

CHGWS 鍵サービス エンドポイントの Cloud KMS リソースを設定します。

  1. サポートされているリージョンのいずれかにキーリングを作成します。

    gcloud kms keyrings create KEY_RING --location LOCATION
    • KEY_RING は、CHGWS キーリングに使用する名前に置き換えます（CHGWS_KEY_RING など）。
    • LOCATION は、キーリングを作成するロケーション（us など）に置き換えます。

  2. Cloud HSM 鍵を作成します。

    マルチテナント Cloud HSM

    保護レベル hsm の鍵を作成するには:

    gcloud kms keys create KEY_NAME \
    --protection-level "hsm" \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose "encryption" \
    --rotation-period ROTATION_PERIOD \
    --next-rotation-time NEXT_ROTATION_TIME

    次のように置き換えます。

    • KEY_NAME: 鍵に使用する名前（例: CHGWS_KEY）。
    • KEY_RING: キーリングの名前（例: CHGWS_KEY_RING）。
    • LOCATION: キーリングを作成したロケーション（例: us）。
    • ROTATION_PERIOD: 鍵をローテーションする頻度（例: 7d）。
    • NEXT_ROTATION_TIME: 次の鍵のローテーションが行われる日時（例: 2024-03-20T01:00:00）。

    単一テナント Cloud HSM

    保護レベル hsm_single_tenant の鍵を作成するには、まず同じロケーションにシングルテナント Cloud HSM インスタンスをプロビジョニングする必要があります。

    1. 単一テナント Cloud HSM インスタンスを作成してプロビジョニングする: 単一テナント Cloud HSM インスタンスの作成と管理ガイドの手順に沿って操作します。プロビジョニングされたインスタンス ID をメモします。次のステップで使用します。

    2. キーを作成します。

      gcloud kms keys create KEY_NAME \
    --protection-level "hsm_single_tenant" \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose "encryption" \
    --crypto-key-backend "projects/PROJECT_ID/locations/LOCATION/singleTenantHsmInstances/INSTANCE_NAME" \
    --rotation-period ROTATION_PERIOD \
    --next-rotation-time NEXT_ROTATION_TIME

      次のように置き換えます。

      • KEY_NAME: 鍵に使用する名前（例: CHGWS_KEY）。
      • KEY_RING: キーリングの名前（例: CHGWS_KEY_RING）。
      • LOCATION: キーリングを作成したロケーション（例: us）。
      • PROJECT_ID: 鍵プロジェクトのプロジェクト ID。
      • INSTANCE_NAME: 鍵を作成するシングルテナント Cloud HSM インスタンスの名前。
      • ROTATION_PERIOD: 鍵をローテーションする頻度（例: 7d）。
      • NEXT_ROTATION_TIME: 次の鍵のローテーションが行われる日時（例: 2024-03-20T01:00:00）。

    鍵の作成オプションの詳細については、鍵を作成するをご覧ください。

オンボーディングとエンドポイントの作成をリクエストする

オンボーディングとエンドポイントの作成をリクエストするには、アカウント担当者に連絡して、エンドポイント オンボーディング リクエストの送信についてサポートを依頼してください。リクエストには、次の情報を含めます。

  • Google Workspace の詳細

    • Google Workspace ID: Google Workspace ID。お客様 ID を確認するの手順に沿って、Google Workspace ID を確認します。

    • Google Workspace 管理者のメールアドレス: 管理者のメールアドレスをカンマ区切りのリストで指定します。

  • ID プロバイダ（IdP）の詳細

    • プライマリ ID プロバイダ（IdP）の詳細:

      • IdP JSON Web Key Set（JWKS）URL: Google Identity Platform の場合は、https://www.googleapis.com/oauth2/v3/certs を使用します。
      • JSON Web Token（JWT）トークン発行者: Google Identity Platform の場合は、https://accounts.google.com を使用します。
      • JWT オーディエンス: ウェブ アプリケーションの IdP のクライアント ID。
      • 追加の JWT オーディエンス: 省略可。構成されている場合は、ウェブ以外のプラットフォーム アプリケーションのクライアント ID を指定します。Google Identity Platform の場合は、CSE で Google ID を使用する場合に記載されているクライアント ID を使用します。

    • ゲスト IdP の詳細: 省略可。ゲスト IdP を使用している場合は、このセクションを完了してください。

      • ゲスト IdP JWKS URL: ゲスト IdP の JWKS URL。
      • ゲスト JWT トークン発行者: ゲスト IdP の JWT トークン発行者。
      • ゲスト JWT オーディエンス: Google Meet 以外のウェブ アプリケーションのゲスト IdP のクライアント ID。
      • ゲストの追加 JWT オーディエンス: 省略可。Google Meet ウェブ クライアント ID またはウェブ以外のプラットフォーム アプリケーション クライアント ID を構成する場合は、それぞれのクライアント ID を指定します。Google Identity Platform の場合は、CSE で Google ID を使用する場合に記載されているクライアント ID を使用します。

  • CSE のキーの詳細

    • Google Cloud プロジェクト ID: PROJECT_ID
    • Google Cloud プロジェクト番号: PROJECT_NUMBER
    • Cloud KMS 鍵リング名: KEY_RING
    • Cloud KMS 鍵リングのロケーション: LOCATION
    • Cloud KMS 鍵名: KEY_NAME
    • Cloud KMS 鍵の保護レベル: hsm または hsm_single_tenant
    • CHGWS ベース URL: 省略可。鍵の移行を有効にする URL のリスト。この Google Workspace で CHGWS を初めて設定する場合は、このフィールドを空白のままにします。

  • 詳細情報

    • お客様の名前: お客様の名前を入力します。
    • 推定ユーザー数: Google Workspace インスタンスの推定ユーザー数を入力します。

Google Workspace CSE で CHGWS エンドポイントを構成する

CHGWS エンドポイントの作成時に生成された CHGWS URL を使用するように Google Workspace CSE を構成します。クライアントサイド暗号化で使用する鍵サービスを追加、管理するの手順に沿って操作します。

鍵サービスの移行

CHGWS は、鍵サービスを CHGWS に移行したり、CHGWS から移行したりする柔軟性を提供します。鍵サービスの移行を開始するには、移行リクエストの送信についてアカウント担当者にお問い合わせください。リクエストには、次の情報を含めます。

  • Endpoint ID: CHGWS のエンドポイント ID。

  • 鍵サービスの URL: 鍵サービスの移行を有効にする URL のリスト。

    • Cloud HSM for Google Workspace に移行する場合は、移行元の各キー サービス エンドポイントのベース URL を指定します。
    • Cloud HSM for Google Workspace から移行する場合は、移行先の鍵サービス エンドポイントのベース URL を指定します。

エンドポイントを削除または無効にする

Cloud HSM for Google Workspace エンドポイントに対する削除または無効化オペレーションは直接サポートされていません。ただし、すべてのバックアップ Cloud KMS 鍵バージョンを無効にすることで、Google Workspace 用 Cloud HSM エンドポイントを無効にできます。

  • エンドポイントをバックアップする各 Cloud KMS 鍵バージョンに対して、次のコマンドを実行します。

    gcloud kms keys versions disable KEY_VERSION --keyring \
    KEY_RING --location LOCATION --key KEY_NAME

    次のように置き換えます。

    • KEY_VERSION: 無効にするキーのバージョン（例: 1）。
    • KEY_RING: キーリングの名前（例: CHGWS_KEY_RING）。
    • LOCATION: 無効にするロケーション（例: us）。
    • KEY_NAME: 鍵の名前（例: CHGWS_KEY）。

エンドポイントを有効にする

基盤となる Cloud KMS 鍵のすべての鍵バージョンを無効にして CHGWS エンドポイントを無効にした場合は、CHGWS エンドポイントを再度有効にできます。エンドポイントを再度有効にするには、次の gcloud CLI コマンドを使用して、基盤となる Cloud KMS 鍵のアクティブなバージョンをすべて有効にします。

  • エンドポイントをバックアップする各 Cloud KMS 鍵バージョンに対して、次のコマンドを実行します。

    gcloud kms keys versions enable KEY_VERSION --keyring \
    KEY_RING --location LOCATION --key KEY_NAME

    次のように置き換えます。

    • KEY_VERSION: 有効にするキーのバージョン（例: 1）。
    • KEY_RING: キーリングの名前（例: CHGWS_KEY_RING）。
    • LOCATION: 有効にするロケーション（例: us）。
    • KEY_NAME: 鍵の名前（例: CHGWS_KEY）。

CHGWS の請求を管理する

オンボーディング リクエストでリクエストされた CHGWS エンドポイントが提供されると、すぐに課金が開始されます。それ以降、CHGWS エンドポイントを無効にしても、 Google Cloud プロジェクトで課金が有効になっている限り、Google Workspace 向け Cloud HSM の定期購入料金は継続して請求されます。このセクションでは、Google Workspace 向け Cloud HSM の料金の発生を停止する方法と、料金の発生を再開する方法について説明します。

プロジェクトの課金を無効にする/有効にする

Cloud HSM for Google Workspace の Cloud KMS 鍵を含むプロジェクトの課金を無効にできます。課金を無効にすると、プロジェクト内のすべての課金対象サービスが停止します。プロジェクト レベルの課金を無効にすると、24 時間以内に Cloud HSM for Google Workspace のサブスクリプション料金の請求が停止します。

Google Workspace で Cloud HSM の使用を再開する場合は、プロジェクトの課金を再度有効にすることができます。課金が再度有効になると、サブスクリプション料金が再開され、CHGWS エンドポイントと Cloud KMS 鍵が再び正常に機能します。

手動による無効化または有効化をリクエストする

他のプロジェクト リソースを有効にしたまま CHGWS エンドポイントを無効にする必要がある場合は、オンボーディング リクエストと同様のリクエストを送信してください。Google Workspace の詳細、CHGWS エンドポイント ID、その他の関連情報を入力し、要件を説明します。手動チケットは、CHGWS チームが完了するまでに 48 時間かかることがあります。リクエストが完了すると、24 時間以内に Google Workspace の Cloud HSM のサブスクリプション料金の請求が停止します。

同様のリクエストを作成することで、CHGWS エンドポイントとその課金を再度有効にできます。

プロジェクトを削除または復元する

Google Workspace 用 Cloud HSM の Cloud KMS 鍵を含むプロジェクトを削除できます。プロジェクトを削除すると、プロジェクト内のすべてのサービスが停止します。削除したプロジェクトは、削除後 30 日以内であれば復元できます。ただし、プロジェクト内の Cloud KMS 鍵は復元できないため、復元されたプロジェクトの鍵で暗号化されたすべてのドキュメントやその他のデータは、完全に暗号シュレッダー処理されたままになります。削除されたプロジェクトを復元すると、Cloud KMS 鍵が復元できない状態でも、Google Workspace 向け Cloud HSM のサブスクリプション料金が再開されます。

次のステップ