キー管理フレームワークのインスタンスレベルのキー

  • リリースバージョン: Washingtondc
  • 更新日 2024年02月01日
  • 読む2読むのに数分

    • (KMF) アーキテクチャではKey Management Framework、セキュリティを念頭に置いて構築されたキー構造が導入されています。KMF はハードウェアセキュリティモジュール (HSM) を使用してエンベロープ暗号化で KMF の管理下にあるすべてのプラットフォームキーがキーのチェーンによって保護されるようにします。 KMF によって作成された顧客データ暗号化キー (CDEK) も含まれています。

    インスタンスレベルでは、KMF は Now Platform 全体でさまざまな暗号化の目的で内部的に使用される複数のキーを定義します。

    エンベロープ暗号化は、キーを別のキーで暗号化する手法です。次の図は、エンベロープ暗号化の例を示しています。ここで、CDEK は IKEK によってエンベロープ暗号化され、IKEK は IRK によってエンベロープ暗号化され、最終的に IRK が RK によってエンベロープ暗号化されます。HSM のみが IRK にアクセスできるため、復号化のために IKEK をアップロードする必要があります。

    この表は、KMFによって管理および保護されている利用可能な顧客/アプリキーのサブセットの例です。

    キー ロケーション 説明
    ルートキー (RK) ハードウェアセキュリティモデル (HSM) IRK の復号化に使用されるルートキー
    インスタンスルートキー (IRK) HSM 複数のインスタンス内部キーをエンベロープ暗号化するために使用される、インスタンスに固有のキーです。
    インスタンス HMAC キー (IHK) インスタンス インスタンスごとに固有の IHK は、ハッシュ ベース メッセージ認証コード (HMAC) の目的で内部的に使用されます。

    IHK は、モジュールキーの信頼性と整合性を保証するのに役立ち、KeySecure またはファイルキーストアのいずれかにラップされます。
    インスタンスキー暗号化キー (IKEK) インスタンス

    IKEK はモジュールキーをラップし、KeySecure またはファイルキーストアのいずれかでラップされます。
    インスタンス非対称暗号化キー (IAEK) インスタンス 非対称暗号化のために内部的に使用される、インスタンスに固有のキー。

    IAEKは、消費者の承認中にKey Exchangeインスタンスデータレプリケーション (IDR)インスタンス間で機密メッセージを送信するために使用されます。
    インスタンス署名キー (ISK) インスタンス 署名のために内部的に使用される、インスタンスに固有のキー。
    Password2 (PW2) インスタンス KMF では、PW2 フィールドのキーは KMF によって完全に管理されます。
    顧客データ暗号化キー (CDEK) インスタンス によって作成された KMF 暗号化キーは、IKEK によってエンベロープ暗号化されます。
    Instance Data Replication (IDR) データ暗号化キー (DEK) インスタンス IDR プロセスに使用される特定の暗号化キー