CMK の作成

項目一覧

Overview

始める前に
手順
次のステップ

Overview

このガイドでは、選択したキー管理システムでカスタマーマスターキーを生成する方法を学習します。 Queryable Encryption 対応のアプリケーションを作成する前に、カスタマーマスターキーを生成します。

Tip

CMK（カスタマーマスターキー）

カスタマーマスターキーの詳細については、暗号化キーとキーヴォールトを参照してください。

始める前に

続行する前に、前述のタスクを完了します。

手順

以下で、キープロバイダーのタブを選択します。

CMK の作成

AmazonAmazon Web Services Web Servicesマネジメントコンソールにログインします。
Amazon Web ServicesAmazon Web ServicesKMS KMS コンソールに移動します。

CMK の作成

対称キーの作成に関するの公式ドキュメントに従って、新しい対称キーを作成しますAmazon Web Services KMS。作成したキーが CMK です。それを識別するのに役立つ名前と説明を選択します。これらのフィールドは、 CMKの機能や構成には影響しません。

キー生成プロセスの Usage Permissionsステップで、カスタマーマスターキーへのアクセスを許可する ID およびアクセス管理（ IAM ）ポリシーを有効にする次のデフォルトのキーポリシーを適用します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Enable IAM User Permissions",
      "Effect": "Allow",
      "Principal": {
        "AWS": "<ARN of your AWS account principal>"
      },
      "Action": "kms:*",
      "Resource": "*"
    }
  ]
}

重要

カスタマーマスターキーの Amazon リソース名（ ARN ）とリージョンを記録します。これらはこのガイドの後の手順で使用します。

Tip

キーポリシー

キーAmazon Web ServicesKMS ポリシーの詳細については、「のキーポリシーAmazon Web Services 」を参照してください。の公式ドキュメントを参照してください。

Amazon Web Services IAM ユーザーの作成

Amazon Web ServicesAmazon Web Services IAM コンソールに移動します。
IAM ユーザーの作成
ユーザーの追加に関するの公式ドキュメントに従って、マネジメントコンソールに新しいプログラム IAM ユーザーを作成しますAmazon Web Services Amazon Web Services。このIAMユーザーは、Queryable Encryption 対応アプリケーションのサービスアカウントとして使用します。アプリケーションは、Amazon Web ServicesKMS IAM ユーザーを使用してで認証され、CMK（Customer Master Key）でデータ暗号化キー（DEK）を暗号化および復号化します。
重要
認証情報の記録
IAM ユーザーを作成する最後のステップで、次の IAM 認証情報を必ず記録してください。
- アクセスキー ID
- シークレットアクセスキー
これらの認証情報を記録する機会が 1 つあります。このステップの実行中にこれらの認証情報を記録しない場合は、別のIAMユーザーを作成する必要があります。

権限の付与

リモートマスターキーに対するIAMユーザー kms:Encryptおよびkms:Decryptの権限を付与します。

重要

新しいクライアントIAMユーザーには、マスターキーの管理権限があってはなりません。データを安全に保つには、最小特権の原則に従います。

次のインラインポリシーにより、 IAMユーザーは最小限の特権で CMK を使用して暗号化および復号化を実行できます。

注意

リモートマスターキー ARN

次のポリシーには、このガイドの「マスターキーの作成」ステップで生成したキーの ARN が必要です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["kms:Decrypt", "kms:Encrypt"],
      "Resource": "<the Amazon Resource Name (ARN) of your remote master key>"
    }
  ]
}

IAM Amazon Web Servicesユーザーに前述のポリシーを適用するには、次のようにします。 IAM ID 権限の追加ガイドを参照して。

重要

本番環境での IAM ロールによる認証

Queryable Encryption が有効なアプリケーションを本番環境に配置するときは、 IAM ユーザーではなく IAM ロールを使用してアプリケーションを認証します。

IAMロールの詳細については、 Amazon Web Servicesの公式ドキュメントの次のページを参照してください。

Azure にアプリケーションを登録する

Azureにログインします。
Azure Active Directory でアプリケーションを登録する
Azure Active Directory にアプリケーションを登録するには、Microsoft の公式「 Microsoft ID プラットフォームにアプリケーションを登録する」を参照してください。クイックスタート。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
このチュートリアルの後半では、 kmsProvidersオブジェクトを構築するためにこれらが必要になります。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
このチュートリアルの後半では、 kmsProvidersオブジェクトを構築するためにこれらが必要になります。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
このチュートリアルの後半では、 kmsProvidersオブジェクトを構築するためにこれらが必要になります。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
Azure Virtual Machines 内でクライアントを実行していない限り、このチュートリアルの後半でkmsProvidersオブジェクトを構築するためにこれらの認証情報が必要になります。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
このチュートリアルの後半では、 kmsProvidersオブジェクトを構築するためにこれらが必要になります。
重要
認証情報の記録
次の認証情報を必ず記録してください。
テナント ID
clientId
クライアントシークレット
このチュートリアルの後半では、 kmsProvidersオブジェクトを構築するためにこれらが必要になります。

CMK の作成

Azure Key Vault と CMK の作成
新しい Azure Key Vault インスタンスとカスタマーマスターキーを作成するには、Microsoft の公式のセットに従い、 Azure ポータルを使用して Azure Key Vault からキーを取得します。クイックスタート。
重要
認証情報の記録
次の認証情報を必ず記録してください。
- キー名
- キー識別子（このガイドの後半ではkeyVaultEndpointと参照されます）
- キーバージョン
このチュートリアルの後半では、 dataKeyOptsオブジェクトを構築するためにこれらが必要になります。
権限の付与
キーに対してクライアントアプリケーションのwrapとunwrap権限を付与します。

GCPサービスアカウントの登録

Google CloudGoogle Cloud Platform Platformで既存のアカウントに登録またはログします。
プロジェクトのサービスアカウントを作成する
でサービスアカウントを作成するGoogle Cloud Platform には、次の手順に従ってください: ガイドを参照してください。
サービスアカウントキーの追加
でサービスアカウントGoogle Cloud Platform キーを追加するには、「サービスアカウントキーの管理」を参照してください。ガイドを参照してください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。このチュートリアルの後半で使用するために、必ず PKCS12 または JSON 形式でこのファイルをダウンロードしてください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。このチュートリアルの後半で使用するために、必ず PKCS12 または JSON 形式でこのファイルをダウンロードしてください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。このチュートリアルの後半で使用するために、必ず PKCS12 または JSON 形式でこのファイルをダウンロードしてください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。添付のサービスアカウントを使用していない限り、このチュートリアルの後半で使用するために、このファイルを PKCS 12または JSON 形式で必ずダウンロードしてください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。このチュートリアルの後半で使用するために、必ず PKCS12 または JSON 形式でこのファイルをダウンロードしてください。
重要
サービスアカウントキーを作成すると、秘密キー情報の 1 回限りのダウンロードが行われます。このチュートリアルの後半で使用するために、必ず PKCS12 または JSON 形式でこのファイルをダウンロードしてください。

GCPカスタマーマスターキーの作成

新しい CMK の作成

キーの作成に従って、キーリングと対称キーを作成します。 Google の公式ドキュメントのガイドを参照してください。

このキーは CMK（ CMK ）です。

このチュートリアルの後のステップで使用するために、 CMKの次の詳細を記録します。

フィールド	必須	説明
key_name	はい	CMKの識別子。
key_string	はい	キーが属するキーのグループの識別子。
key_version	No	名前付きキーのバージョン。
ロケーション	はい	キーに指定されたリージョン。
エンドポイント	No	Google Cloud Platform KMSのホストとオプションポート。デフォルト値は`cloudkms.googleapis.com`です。

KMIP 準拠のキープロバイダーを設定する

MongoDB ドライバークライアントをKMIP準拠のキープロバイダーに接続するには、クライアントの TLS 証明書を受け入れるようにKMIP準拠のキープロバイダーを構成する必要があります。

クライアント証明書を受け入れる方法については、 KMIP準拠のキープロバイダーのドキュメントを参照してください。

証明書を指定する

クライアントは TLS 経由で KMIP 準拠のキープロバイダーに接続し、 KMIP準拠のキープロバイダーが受け入れるクライアント証明書を提示する必要があります。

const tlsOptions = {
  kmip: {
    tlsCAFile: process.env["KMIP_TLS_CA_FILE"], // Path to your TLS CA file
    tlsCertificateKeyFile: process.env["KMIP_TLS_CERT_FILE"], // Path to your TLS certificate key file
  },
};

var tlsOptions = new Dictionary<string, SslSettings>();
var sslSettings = new SslSettings();
var clientCertificate = new X509Certificate2(_appSettings["Kmip:TlsCertP12"]!); // Full path to your client certificate p12 file
sslSettings.ClientCertificates = new[] { clientCertificate };
tlsOptions.Add("kmip", sslSettings);

重要

クライアント証明書は pcks 12形式である必要があります。 OpenSSL を使用して証明書を変換できます次のコマンドを使用します。

openssl pcks12 -export -out "<new pcks12 certificate>" -in "<certificate to convert>" \
-name "<new certificate name>" -password "<new certificate password>"

tlsOpts := map[string]interface{}{
	"tlsCertificateKeyFile": os.Getenv("KMIP_TLS_CERT_ECDSA_FILE"), // Path to your client certificate file
	"tlsCAFile":             os.Getenv("KMIP_TLS_CA_ECDSA_FILE"),   // Path to your KMIP certificate authority file
}
kmipConfig, err := options.BuildTLSConfig(tlsOpts)
if err != nil {
	panic(fmt.Sprintf("Unable to retrieve certificates from your environment: %s\n", err))
}
tlsConfig := map[string]*tls.Config{
	"kmip": kmipConfig,
}

重要

ECDSA キーを持つ証明書を使用する必要があります Go ドライバーを PyKMIP で使用する場合

次の仮想マシンオプションを設定して、KMIP TLS 証明書を含むキーストアとトラストストアを指定し、Java アプリケーションの起動に使用するコマンドに追加します。

-Djavax.net.ssl.enabled=true
-Djavax.net.ssl.keyStoreType=pkcs12
-Djavax.net.ssl.keyStore=REPLACE-WITH-PATH-TO-PKC-KEYSTORE
-Djavax.net.ssl.keyStorePassword=REPLACE-WITH-KEYSTORE-PASSWORD
-Djavax.net.ssl.trustStoreType=jks
-Djavax.net.ssl.trustStore=REPLACE-WITH-PATH-TO-TRUSTSTORE
-Djavax.net.ssl.trustStorePassword=REPLACE-WITH-TRUSTSTORE-PASSWORD

注意

SSLContext を使用したクライアントの構成

SSL コンテキストを使用してクライアントアプリケーションを構成する場合は、 kmsProviderSslContextMap を使用します使用して複数のドキュメントを挿入できます。

const tlsOptions = {
  kmip: {
    tlsCAFile: process.env.KMIP_TLS_CA_FILE, // Path to your TLS CA file
    tlsCertificateKeyFile: process.env.KMIP_TLS_CERT_FILE, // Path to your TLS certificate key file
  },
};

tls_options = {
    "kmip": {
        "tlsCAFile": os.environ['KMIP_TLS_CA_FILE'], # Path to your TLS CA file
        "tlsCertificateKeyFile": os.environ['KMIP_TLS_CERT_FILE'] # Path to your TLS certificate key file
    }
}

次のステップ

ドライバーと依存関係をインストールし、CMK を作成したら、Queryable Encryption 対応アプリケーションを作成できます。

戻る

ライブラリのインストール

アプリケーションの作成

Overview

Tip

CMK（カスタマー マスター キー）

始める前に

手順

CMK の作成

重要

Tip

キー ポリシー

Amazon Web Services IAM ユーザーの作成

重要

認証情報の記録

重要

注意

リモート マスター キー ARN

重要

本番環境での IAM ロールによる認証

Azure にアプリケーションを登録する

重要

認証情報の記録

重要

認証情報の記録

重要

認証情報の記録

重要

認証情報の記録

重要

認証情報の記録

重要

認証情報の記録

CMK の作成

重要

認証情報の記録

GCPサービス アカウントの登録

重要

重要

重要

重要

重要

重要

GCPカスタマー マスター キーの作成

KMIP 準拠のキー プロバイダーを設定する

証明書を指定する

重要

重要

注意

SSLContext を使用したクライアントの構成

次のステップ

CMK（カスタマーマスターキー）

キーポリシー

リモートマスターキー ARN

GCPサービスアカウントの登録

GCPカスタマーマスターキーの作成

KMIP 準拠のキープロバイダーを設定する