鍵のインポート

このトピックでは、新しい鍵バージョンとして Cloud Key Management Service に鍵をインポートするコンセプトについて説明します。詳しい手順については、鍵バージョンのインポートをご覧ください。

はじめに

オンプレミスまたは外部鍵マネージャーで作成した既存の暗号鍵を利用している可能性があります。アプリケーションを Google Cloud に移行する場合、または既存の Google Cloud アプリケーションに暗号サポートを追加する場合は、関連する鍵を Cloud KMS にインポートできます。

Cloud KMS 内の Cloud HSM 鍵またはソフトウェア鍵にインポートできます。
鍵マテリアルは転送中に保護をするためにラッピングされます。Google Cloud CLI を使用して鍵を自動的にラップすることも、鍵を手動でラップすることもできます。
Google Cloud は、インポートジョブのスコープ内でのみラッピング鍵にアクセスできます。Cloud HSM 鍵の場合、ラッピング鍵は Cloud HSM の外部に存在しません。

このトピックでは、鍵のインポートに関する制限事項と要件について詳細に説明し、鍵のインポートの仕組みについて概要を説明します。

制限事項と要件

このセクションでは、鍵を Cloud KMS または Cloud HSM 鍵にインポートできることを確認します。

サポートされている鍵の形式

暗号化の対称鍵は 16 バイト（未加工の対称暗号化の場合のみ）または 32 バイトのバイナリデータである必要があり、エンコードはできません。鍵が 16 進数または Base-64 でエンコードされている場合、インポートを試みる前にデコードする必要があります。
署名用の対称鍵（MAC 鍵）は、使用する暗号ハッシュ関数の出力の長さと等しくする必要があり（HMAC-SHA256 鍵の長さは 32 バイトでなければなりません）、エンコードする必要はありません。鍵が 16 進数または Base-64 でエンコードされている場合、インポートを試みる前にデコードする必要があります。
暗号化または署名用の非対称鍵は、PKCS #8 形式であり、DER エンコードされている必要があります。PCKS #8 形式は、RFC 5208 で定義されています。DER エンコードは、国際電気通信連合 X.680で定義されています。非対称鍵では、Cloud KMS でサポートされている長さとアルゴリズムの組み合わせのいずれかを使用する必要があります。

鍵の長さなど、鍵の一部の要素は鍵の作成後に変更できません。この場合、鍵を Cloud KMS にインポートすることはできません。

インポート用に鍵を確認して再フォーマットするには、インポート用の鍵のフォーマットをご覧ください。

サポートされる保護レベル

鍵の保護レベルを SOFTWARE または HSM に設定することで、Cloud KMS 鍵または Cloud HSM 鍵に鍵をインポートできます。Cloud HSM 鍵では追加の費用が発生します。Cloud External Key Manager 鍵（保護レベルが EXTERNAL の鍵）にインポートすることはできません。

サポートされるラッピング鍵のサイズ

インポートジョブの作成時に、インポートジョブのインポートメソッドを構成することで、Google に転送中の鍵を保護するために使用するラッピング鍵のサイズを管理できます。ラッピング鍵のデフォルトのサイズは 3072 です。特定の要件がある場合は、代わりに 4096 ビットの鍵を使用するようにインポートジョブを構成できます。

鍵のラッピングに使用されるアルゴリズムや、インポートジョブの構成を確認できます。