メインコンテンツまでスキップ

保存時暗号化

VeloDB Cloudは保存時のデータを2つの層で保護します：

  • ストレージ層: クラウドオブジェクトストレージとディスクの常時暗号化で、クラウドプラットフォームがクラウド管理キーで管理します。
  • Warehouse層: warehouseごとに有効にする追加の暗号化層であるTransparent Data Encryption (TDE)で、お客様の顧客管理KMSキーでバックアップできます。

ストレージ層暗号化​

キャッシュに使用されるクラウドオブジェクトストレージとディスクは、クラウドプラットフォームがクラウド管理キーを使用して暗号化します。この保護はデフォルトで有効で、設定は不要です：

  • オブジェクトストレージ暗号化は、オブジェクトストレージや物理ディスクからデータが直接読み取られることを防ぎます。
  • ディスク暗号化は、キャッシュデータがディスクから直接読み取られることを防ぎます。

クラウドプラットフォームがこれらのキーとそのライフサイクル（ローテーションを含む）を所有します。暗号化キーを自分で制御するには、以下のwarehouse層暗号化（TDE）を使用してください。

Warehouse層暗号化（TDE）​

Transparent Data Encryption (TDE)は、warehouseサービスデータに適用される、ストレージ層の上に追加の暗号化層を加えます。warehouseを作成する際にTDEを有効にできます。拡張暗号化は現在AWSのwarehouseで利用可能です。

enable-tde

デフォルトでは、TDEはwarehouseが提供するキーを使用します。お客様独自の顧客管理KMSキーにアップグレードすることで、キーとそのローテーションを制御できます。

顧客管理KMSキーの使用​

デフォルトのwarehouseキーを顧客管理KMSキーに置き換える：

tde-settings

  1. AWS KMSコンソールで、新しい対称暗号化キーを作成します。

  2. VeloDB CloudでwarehouseのSettingsページを開き、Rotate KMSをクリックし、Encryption Role IDをコピーします。

    tde-rotate-key

  3. 作成したKMSキーのキーポリシーに以下のポリシーステートメントを追加します。YOUR_ENCRYPTION_ROLE_IDをVeloDB CloudからコピーしたEncryption Role IDに置き換えてください。

    {
        "Sid": "Allow VeloDB Access",
        "Effect": "Allow",
        "Principal": {
            "AWS": [ "YOUR_ENCRYPTION_ROLE_ID" ]
        },
        "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:DescribeKey"
        ],
        "Resource": "*"
    }

  4. VeloDB Cloudに戻り、ウェアハウス設定のTransparent Data EncryptionセクションにKey ARNを貼り付け、Rotateをクリックします。

注記

顧客管理KMSキーを削除から保護してください。ウェアハウスの動作はキーの可用性に依存します。

関連ドキュメント​