Warehouse暗号化

Premiumプラン機能

TDEおよびEBS暗号化のカスタマー管理キーにはPremiumプランが必要です。アップグレードについては、Plansを参照してください。

VeloDB Cloudは、ストレージ層暗号化と、オプションでwarehouse層暗号化により、保存時のwarehouseデータを保護します。

暗号化層	保護対象	適用方法
Transparent Data Encryption (TDE)	ストレージに書き込まれる前のwarehouseサービスデータ。	AWSwarehouseのオプションwarehouse層暗号化。
EBS暗号化	キャッシュ関連のブロックストレージを含む、warehouseノードで使用されるEBSボリューム。	Customer InfrastructureモードのAWS BYOCwarehouseでサポート。
S3暗号化	Amazon S3に保存されるwarehouseデータ。	S3サーバーサイド暗号化により有効化。

注記

Transparent Data Encryption (TDE)は現在AWSwarehouseでのみサポートされています。EBS暗号化は現在Customer InfrastructureモードのAWS BYOCwarehouseでのみサポートされています。

Transparent Data Encryption

*Transparent Data Encryption (TDE)を有効にしてサービスデータの追加保護層を追加するか、独自のキーを提供してCustomer Managed Keys (CMK)*を実装します。拡張暗号化はAWSwarehouseで利用できます。

enable-tde

キー管理オプション

VeloDB CloudはTDEに2つのキー管理モードをサポートします：

モード	動作方法	使用場面
VeloDB管理キー	TDE有効化後、VeloDB Cloudはデフォルトでクラウドプロバイダーのキーを使用します。追加設定は不要です。	デフォルト。ほとんどのワークロードに適しています。
カスタマー管理キー	AWS KMSキーを提供します。VeloDB Cloudはデータの暗号化と復号化に使用しますが、保存やエクスポートは行いません。	カスタマーキー所有権を義務付けるコンプライアンスプログラム（SOC 2、HIPAA、PCI DSS）に必要、またはキーを無効化または削除してVeloDBのデータアクセスを取り消す機能が必要な場合。

両モードとも保存時のwarehouse層暗号化を提供します。違いはキーライフサイクルを誰が制御するかです。

カスタマー管理KMSキーの使用

TDE有効化後、いつでもVeloDB管理キーから独自のAWS KMSキーにローテーションできます。

tde-settings

KMSキーを作成します。 AWS KMSコンソールで、新しい対称暗号化キーを作成します。Key ARNをメモしておいてください。ステップ4で必要になります。
Encryption Role IDをコピーします。 VeloDB CloudコンソールでSettingsを開き、Rotate KMSをクリックして、Encryption Role IDをコピーします。

キーポリシーを更新します。 KMSキーポリシーに以下のステートメントを追加します。<Encryption Role ID>を前のステップでコピーした値に置き換えてください。

{
    "Sid": "Allow VeloDB Access",
    "Effect": "Allow",
    "Principal": {
        "AWS": [ "<Encryption Role ID>" ]
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

キーを適用する。 VeloDB Cloudに戻り、Key ARNをSettingsのTransparent Data Encryptionセクションに貼り付け、Rotateをクリックします。

警告適用後にKMSキーを無効化または削除しないでください。VeloDB Cloudはウェアハウスを操作するためにキーへの継続的なアクセスが必要です。アクセスを失うとウェアハウスが利用できなくなり、そのデータが読み取れなくなります。

キーローテーション

キーマテリアルをローテーションするには、新しいKMSキーを作成し、上記の手順を繰り返します。VeloDB Cloudはダウンタイムなしで自動的にデータ暗号化キーを再暗号化します。

監査

AWS KMSはAWS CloudTrailでキーの使用をすべてログに記録し、暗号化と復号化操作の完全な監査証跡を提供します。

EBS暗号化

EBS暗号化は、キャッシュ関連ストレージを含むウェアハウスノードで使用されるブロックストレージボリュームを保護します。基盤となるEBSボリュームから直接データが読み取られることを防ぐのに役立ちます。

SaaSウェアハウスの場合、EBS暗号化はVeloDB Cloudによって管理され、デフォルトで有効になっています。

Customer Infrastructure ModeのBYOCウェアハウスの場合、ウェアハウス作成時にEBSキーを設定できます。ウェアハウス作成フローで、Advanced Encryption Settingsを開き、ウェアハウスのEBSボリュームに使用するEBSキーを指定します。

S3バケット暗号化

S3バケット暗号化は、Amazon S3に保存されているウェアハウスデータを保護します。S3サーバーサイド暗号化を使用して、基盤となるバケットから直接データが読み取られることを防ぐのに役立ちます。

SaaSウェアハウスの場合、S3バケット暗号化はVeloDB Cloudによって管理され、デフォルトで有効になっています。基盤となるバケット暗号化設定を設定または管理する必要はありません。

BYOCウェアハウスの場合、ウェアハウスデータはお客様のAWSアカウントのウェアハウス用に設定されたS3バケットに保存されます。このバケットのサーバーサイド暗号化を有効に保ってください。

Transparent Data Encryption​

キー管理オプション​

カスタマー管理KMSキーの使用​

キーローテーション​

監査​

EBS暗号化​

S3バケット暗号化​

関連ドキュメント​