KMaaS を使用してマルチクラウドのキー管理の課題に対処する方法

今日のアプリケーションは暗号化テクノロジーで実行されており、クラウドでアプリケーションを実行するには、仮想マシンにアクセスするための SSH キー、外部サービスとやり取りするための API キー、Web サーバー用の X.509v3 証明書が必要です。組織は、Web サービスの安全なクライアント証明書、暗号化されて保存されたデータの暗号化キー、中間またはバックエンド データ ストアのパスワードを検証する必要があります。

データを安全に保存することは、特に今日のクラウド コンピューティングの世界では、組織にとって大きな課題です。また、マルチクラウドが一般的になるにつれて、組織が直面する課題は深刻化します。

[[360474]]

クラウドコンピューティングは従来の暗号化管理方法に挑戦する

これまで、組織内で使用されるハードウェア セキュリティ モジュール (HSM) は、改ざん防止の物理的セキュリティを提供することでデータを保護してきました。同様に、暗号化キー管理 (通常はサービスの形式) は、キーとキー ストレージのための集中化された安全なリポジトリを提供するのに役立ちます。

しかし、クラウド コンピューティングでは暗号化管理の課題がさらに深刻化します。クラウド コンピューティングでは基盤となるテクノロジの抽象化レベルが低いため、従来の暗号化方式はあまり適用できません。

たとえば、アプリケーションを IaaS にデプロイすることを検討します。オペレーティング システムより下のすべては、クラウド コンピューティング プロバイダーによって提供されます。物理的な追加サービス (HSM など) の実装は、顧客が直接管理するものではありません。そのため、お客様はクラウド サービス プロバイダーが提供するハードウェア セキュリティ モジュール (HSM) 製品を使用できます。

PaaS および SaaS の場合、クラウド サービス プロバイダーがこれらのサービスを提供し、そのインフラストラクチャが範囲外である場合を除き、ハードウェア セキュリティ モジュール (HSM) はオプションではありません。つまり、顧客の観点から見ると、API を使用するクラウド プロバイダーを通じてキー管理サービスを利用することはできません。

多くのクラウド サービス プロバイダーは、クラウド コンピューティングの暗号化管理を支援するオプションを提供しています。たとえば、Microsoft Azure はキー ボールトを提供し、AWS はキー管理サービスを提供しており、Google Cloud Platform はクラウド キー管理サービスを提供しています。これらの製品はすべて、クラウド コンピューティング プロバイダーが提供するクラウド サービスにおける安全なストレージの問題を解決するのに役立ちます。

これらのクラウド プロバイダーが提供するサービスは適切に機能しますが、クラウド プロバイダーに固有のものであり、顧客に提示されるインターフェイスはすべて異なります。

では、顧客が複数のクラウド プロバイダーまたはハイブリッド環境にわたって管理された暗号化サービスを必要とする場合はどうなるでしょうか? IT リーダーは、マルチクラウド キー管理がこれらの課題にどのように対処するか、またハイブリッドおよびマルチクラウド インフラストラクチャを保護するためにそれをどのように実装するかを理解する必要があります。

マルチクラウドキー管理サービス機能

マルチクラウド キー管理では、複数の異なるクラウド プラットフォームを使用するためにキー管理機能を拡張します。クラウド コンピューティング ベースのサービスを迅速にプロビジョニングするために、Cloud Key Management as a Service (KMaaS) モデルが登場しました。

クラウド KMaaS オファリングによっては、キー管理サービスを使用する公開キー暗号化標準など、クラウド プロバイダーが提供するスタブ モジュールを使用する REST API を使用して、キー管理サーバーからキーを要求するための標準であるキー管理相互運用性プロトコル (KMI) を通じてキーを要求できます。

これを行う利点の 1 つは、キー管理メカニズムとのインターフェースが標準化されることです。その結果、基盤となるキー マネージャーを使用するアプリケーションの移植性が向上します。たとえば、アプリケーション コンポーネントがキーやその他のシークレットへのアクセスを要求するために使用するメカニズムは、そのコンポーネントがクラウド プラットフォームに移行されている場合でも、現在データ センターでホストされているアプリケーションの場合と同じです。これは、災害復旧やセキュリティ上のニーズのためにパブリック クラウドに移行する場合やパブリック クラウド間で移行する場合にも当てはまります。これにより、ランタイム環境間の移動を最小限に抑えたり、データが別の場所にエクスポートされるときに再暗号化したりすることで、セキュリティを強化できます。

KMaaS は、プログラミング インターフェイスの標準化に加えて、管理も標準化します。会計、承認プロセス、重要な在庫の維持、その他のタスクなどの管理要素は集中化されています。これにより、一元的な可視性が可能になり、管理ワークフローの管理に関連するコストが削減されます。

マルチクラウド KMaaS 実装における 4 つの考慮事項

IT リーダーは、KMaaS ツールを使用することが組織の使用が安全であることを意味しないことを認識する必要があります。 KMaaS オプションを徹底的に調査し、検証することが重要です。

KMaaS 市場に参入する際に留意すべき 4 つの点は次のとおりです。

（1）鍵を保存および取得するためのメカニズムが組織の使用に適したアーキテクチャであることを確認する。たとえば、Java アプリケーションの導入を計画している組織では、Java 暗号化拡張機能を提供するベンダーを優先する場合があります。

（２）顧客の使用に関連するパフォーマンスとセキュリティの要件を考慮するだけでなく、コンポーネントとアプリケーションがサービスにどのように接続するかについても考慮します。 REST API (サービスとインターフェイスするための最も一般的なメカニズム) を使用する場合でも、キーが必要な場所からキー管理サービスに接続します。それ以外の場合には、これは必要ありません。たとえば、直接のアウトバウンド接続のない保護された仮想プライベート クラウドなどです。この場合、クライアントは、接続、プロキシ要求、キャッシュ可能なベンダー提供のコンポーネントの使用、または代替アプローチの検討を可能にするメカニズムを見つける必要があります。

（３）KMaaSに保存される既存データをインベントリ化する。オンプレミスのキー管理サービスを既に利用している場合は、そこに何が保存され、データがどのように使用されているかを調べる必要があります。この事前評価により、IT リーダーは期待値を設定し、使用方法の移行の難しさを理解し、どのアクセス方法が最も効果的かを判断することができます。その他の特別な要件の中でも、アクセス要求の認証と承認の方法、およびキーのローテーションと有効期限の処理方法に特別な注意を払う必要があります。

（4）現在のマルチクラウドの鍵管理プロセスが異なる可能性があることを認識する。既存のコンポーネントを交換することが不可能または望ましくない状況に注意してください。たとえば、現在物理 HSM を使用している組織では、そこに保存されているキーをエクスポートできない場合があります。暗号化操作はデバイス自体内で実行されるため、これはほとんどの HSM のデフォルト設定です。これは、キーが HSM の境界を離れることがなく、キー マネージャー (KMaaS など) が同じように動作しないことを意味します。一部の組織では、これが有利な正当なセキュリティまたは使用要件がある場合があります。キーがなぜそのように保護されているかを理解することは、ビジネス リスクと要件に基づいて適切なアプローチを決定する際に重要な要素となります。