キー管理フレームワークのインスタンスレベルのキー

  • リリースバージョン: Yokohama
  • 更新日 2025年01月30日
  • 所要時間：2分

    • キー管理フレームワーク (KMF) アーキテクチャは、セキュリティを念頭に置いてビルドされたキー構造を導入しています。KMF はハードウェアセキュリティモジュール (HSM) を使用してエンベロープ暗号化で KMF の管理下にあるすべてのプラットフォームキーがキーのチェーンによって保護されるようにします。 KMF によって作成された顧客データ暗号化キー (CDEK) も含まれています。

    インスタンスレベルでは、KMF は Now Platform 全体でさまざまな暗号化の目的で内部的に使用される複数のキーを定義します。

    エンベロープ暗号化は、キーを別のキーで暗号化する手法です。次の図は、エンベロープ暗号化の例を示しています。ここで、CDEK は IKEK によってエンベロープ暗号化され、IKEK は IRK によってエンベロープ暗号化され、最終的に IRK が RK によってエンベロープ暗号化されます。HSM のみが IRK にアクセスするため、復号化のために IKEK をアップロードする必要があります。

    この表は、KMFによって管理および保護されている利用可能な顧客/アプリキーのサブセットの例です。

    キー ロケーション 説明
    ルートキー (RK) ハードウェアセキュリティモデル (HSM) IRK の復号化に使用されるルートキー
    インスタンスルートキー (IRK) HSM 複数のインスタンス内部キーをエンベロープ暗号化するために使用される、インスタンスごとに固有のキー。
    インスタンス HMAC キー (IHK) インスタンス インスタンスごとに固有の IHK が、ハッシュベースのメッセージ認証コード (HMAC) のために内部的に使用されます。

    IHK は、モジュールキーの信頼性と整合性を検証するのに役立ち、KeySecure またはファイルキーストアのいずれかにラップされます。
    インスタンスキー暗号化キー (IKEK) インスタンス

    IKEK はモジュールキーをラップし、KeySecure またはファイルキーストアのいずれかでラップされます。
    インスタンス非対称暗号化キー (IAEK) インスタンス 非対称暗号化のために内部的に使用される、インスタンスごとに固有のキー。

    IAEK は、鍵交換 中またはインスタンスデータレプリケーション (IDR)のコンシューマー承認中に、インスタンス間で機密メッセージを送信するために使用されます。
    インスタンス署名キー (ISK) インスタンス 署名目的で内部的に使用される、インスタンスごとに固有のキー。
    Password2 (PW2) インスタンス KMF では、PW2 フィールドのキーは KMF によって完全に管理されます。
    顧客データ暗号化キー (CDEK) インスタンス KMF を介して作成された暗号化キーは、IKEK によってエンベロープ暗号化されます。
    インスタンスデータレプリケーション (IDR) データ暗号化キー (DEK) インスタンス IDR プロセスに使用される特定の暗号化キー