翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
保管時の暗号化: Amazon での仕組み QLDB
QLDB 保存時の暗号化は、256 ビットの Advanced Encryption Standard (AES-256) を使用してデータを暗号化します。この機能は、ストレージへの不正アクセスからデータを保護するのに役立ちます。QLDB 台帳に保存されているすべてのデータは、デフォルトで保管時に暗号化されます。サーバー側の暗号化は透過的です。つまり、アプリケーションに対する変更は必要ありません。
保管時の暗号化は AWS Key Management Service （AWS KMS) と統合され、QLDB台帳の保護に使用される暗号化キーを管理します。新しい台帳を作成するとき、または既存の台帳を更新するときに、次のタイプの AWS KMS キーのいずれかを選択できます。
-
AWS 所有のキー– デフォルトの暗号化タイプ。キーは によって所有されています QLDB (追加料金なし）。
-
カスタマーマネージドキー – キーは AWS アカウント に保存され、ユーザーによって作成、所有、管理されます。キーを完全に制御できます (AWS KMS 料金が適用されます）。
AWS 所有のキー
AWS 所有のキー は に保存されません AWS アカウント。これらは、複数の で使用するために AWS を所有および管理しているKMSキーのコレクションの一部です AWS アカウント。 AWS のサービス を使用してデータ AWS 所有のキー を保護します。
AWS 所有のキーを作成または管理する必要はありません。ただし、 を表示または追跡したり AWS 所有のキー、その使用を監査したりすることはできません。の月額料金や使用料は請求されず AWS 所有のキー、アカウントのクォータには AWS KMS カウントされません。
詳細については、「AWS Key Management Service デベロッパーガイド」の 「AWS 所有のキー」を参照してください。
カスタマーマネージドキー
カスタマーマネージドキーは、 AWS アカウント で作成、所有、管理するKMSキーです。これらのKMSキーを完全に制御できます。QLDB は対称暗号化KMSキーのみをサポートします。
カスタマーマネージドキーを使用して次の機能を取得します。
-
キーへのアクセスを制御するためのキーポリシー、IAMポリシー、および許可の設定と維持
-
キーの有効化と無効化を行う
-
キーの暗号化マテリアルをローテーションする
-
キーのタグとエイリアスを作成する
-
キーの削除をスケジュールする
-
独自のキーマテリアルをインポートする、または所有し管理しているカスタムキーストアを使用する
-
AWS CloudTrail および Amazon CloudWatch Logs を使用して、 AWS KMS ユーザーに代わって QLDB に送信するリクエストを追跡する
詳細については、「AWS Key Management Service デベロッパーガイド」の「カスタマーマネージドキー」を参照してください。
カスタマーマネージドキーには通話ごとに料金が発生し
カスタマーマネージドキーを台帳のKMSキーとして指定すると、ジャーナルストレージとインデックス付きストレージの両方のすべての台帳データは、同じカスタマーマネージドキーで保護されます。
アクセスできないカスタマーマネージドキー
カスタマーマネージドキーを無効にしたり、キーの削除をスケジュールしたり、キーに対する許可を取り消したりすると、台帳の暗号化のステータスは KMS_KEY_INACCESSIBLE になります。この状態のとき、台帳には障害が発生し、台帳は読み取りリクエストまたは書き込みリクエストを受け付けないようになります。アクセスできないキーを使用すると、すべてのユーザーとQLDBサービスがデータを暗号化または復号したり、台帳で読み取りおよび書き込み操作を実行したりできなくなります。QLDB は、台帳へのアクセスを継続し、データ損失を防ぐために、 KMS キーにアクセスできる必要があります。
重要
障害のある台帳は、キーの許可を復元した後、または無効化されたキーを再度有効にした後に、自動的にアクティブ状態に戻ります。
ただし、カスタマーマネージドキーの削除は元に戻せません。キーを削除すると、そのキーで保護されている台帳にアクセスできなくなり、データが完全に回復不可能になります。
台帳の暗号化ステータスを確認するには、 AWS Management Console または DescribeLedgerAPIオペレーションを使用します。
Amazon が で許可QLDBを使用する方法 AWS KMS
QLDB では、カスタマーマネージドキーを使用するための 許可が必要です。カスタマーマネージドキーで保護されている台帳を作成すると、 は にCreateGrantリクエストを送信することで、ユーザーに代わって QLDB許可を作成します AWS KMS。の付与 AWS KMS は、カスタマー のKMSキーQLDBへのアクセスを許可するために使用されます AWS アカウント。詳細については、「AWS Key Management Service デベロッパーガイド」の「許可の使用」を参照してください。
QLDB では、次の AWS KMS オペレーションにカスタマーマネージドキーを使用するための 許可が必要です。
-
DescribeKey – 指定された対称暗号化KMSキーが有効であることを確認します。
-
GenerateDataKey – 台帳に保存されているデータを暗号化するために QLDB を使用する一意の対称データキーを生成します。
-
Decrypt — カスタマーマネージドキーで暗号化されたデータキーを復号化します。
-
Encrypt — カスタマーマネージドキーを使用して、プレーンテキストを暗号文に暗号化します。
いつでも許可を取り消して、カスタマーマネージドキーに対するサービスからのアクセス権を削除できます。そうすると、キーにアクセスできなくなり、カスタマーマネージドキーで保護された台帳データへのアクセスQLDBが失われます。この状態のとき、台帳には障害が発生し、キーの許可を復元するまで台帳は読み取りリクエストまたは書き込みリクエストを受け付けないようになります。
AWS KMSでの許可の復元
カスタマーマネージドキーの許可を復元し、 の台帳へのアクセスを復元するにはQLDB、台帳を更新して同じKMSキーを指定できます。手順については、既存の台帳の AWS KMS key を更新する を参照してください。
保管時の暗号化に関する考慮事項
で保管中の暗号化を使用している場合は、次の点を考慮してくださいQLDB。
-
保管中のサーバー側の暗号化は、すべてのQLDB台帳データでデフォルトで有効になっており、無効にすることはできません。台帳内のデータのサブセットのみを暗号化することはできません。
-
保管時の暗号化は、永続的ストレージメディアの静的 (保管時) のデータのみを暗号化します。転送中のデータあるいは使用中のデータでデータの安全性が考慮される場合には、次のように追加の対策を実行する必要がある場合があります。
-
転送中のデータ : 内のすべてのデータは転送中に暗号化QLDBされます。デフォルトでは、 との通信はHTTPSプロトコルQLDBを使用します。これにより、Secure Sockets Layer (SSL)/Transport Layer Security (TLS) 暗号化を使用してネットワークトラフィックを保護します。
-
使用中のデータ: クライアント側の暗号化QLDBを使用して、送信前にデータを保護します。
-
台帳に対してカスタマーマネージドキーを実装する方法については、「Amazon でのカスタマーマネージドキーの使用 QLDB」を参照してください。
