顧客管理の暗号鍵（CMEK）を使用する

このページでは、顧客管理の暗号鍵にサービス アカウントと鍵を設定する方法と、手動で作成した顧客管理の暗号鍵を使用するインスタンスの作成方法について説明します。Cloud SQL で顧客管理の暗号鍵を使用する方法の詳細は、顧客管理の暗号鍵の概要を参照してください。

始める前に

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

10. ユーザー アカウントに Cloud SQL 管理者のロールがあることを確認します。

    IAM ページに移動

11. Enable the Cloud Key Management Service API.

    Enable the API

12. Enable the Cloud SQL Admin API.

    Enable the API

CMEK を使用して Cloud SQL インスタンスを作成するためのワークフロー

1. gcloud と API ユーザーのみ: 顧客管理の暗号鍵が必要なプロジェクトごとにサービス アカウントを作成します。
2. キーリングと鍵を作成し、鍵ごとにロケーションを設定します。ロケーションは Google Cloud リージョンです。
3. gcloud と API ユーザーのみ: サービス アカウントに鍵へのアクセス権を付与します。
4. 鍵 ID（KMS_KEY_ID）、鍵のロケーション（GCP_REGION）、キーリング ID（KMS_KEYRING_ID）をメモします。
5. プロジェクトに移動して、次のオプションを使用して Cloud SQL インスタンスを作成します。
   1. 顧客管理の暗号鍵と同じ場所
   2. 顧客管理の暗号鍵の構成
   3. 顧客管理の暗号鍵 ID

CMEK で Cloud SQL インスタンスが有効になります。

サービス アカウントを作成する

顧客管理の暗号鍵が必要なプロジェクトごとにサービス アカウントを作成する必要があります。

ユーザーがサービス アカウントを管理できるようにするには、次のいずれかのロールを付与します。

• サービス アカウント ユーザー（roles/iam.serviceAccountUser）: サービス アカウントを一覧表示する権限、サービス アカウントの詳細を取得する権限、サービス アカウントの権限借用の権限が含まれます。
• サービス アカウント管理者（roles/iam.serviceAccountAdmin）: サービス アカウントを一覧表示する権限、サービス アカウントの詳細を取得する権限が含まれます。サービス アカウントの作成、更新、削除に加え、サービス アカウントの Cloud SQL for SQL Server ポリシーを表示または変更する権限も含まれます。

現在、顧客管理の暗号鍵に必要なサービス アカウントを作成するには、gcloud CLI コマンドを使用する必要があります。Console を使用している場合は、Cloud SQL がこのサービス アカウントを自動的に作成します。

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

上記のコマンドはサービス アカウント名を返します。このサービス アカウント名は、サービス アカウントに鍵へのアクセス権を付与するの手順で使用します。

キーを作成

鍵は、Cloud SQL インスタンスと同じ Google Cloud プロジェクトで作成するか、別のユーザー プロジェクトで作成します。Cloud KMS キーリングの場所は、Cloud SQL インスタンスを作成するリージョンと一致する必要があります。マルチリージョンまたはグローバル リージョン鍵は使用できません。リージョンが一致しない場合、Cloud SQL インスタンスの作成リクエストは失敗します。

Cloud KMS 鍵を作成するには:

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

terraform apply

サービス アカウントにリソースへのアクセス権を付与する

CMEK を使用して Cloud SQL インスタンスを作成する場合は、gcloud または API を使用している場合にのみ、この操作を行う必要があります。インスタンスの作成後に権限の問題が発生した場合は、この操作を行うことができます。

サービス アカウントにアクセス権を付与するには:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloud-sql.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

terraform apply

CMEK を使用した Cloud SQL インスタンスの作成

顧客管理の暗号鍵を使用してインスタンスを作成するには:

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--cpu=NUMBER_CPUS \
--memory=MEMORY_SIZE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

resource "google_sql_database_instance" "default" {
  name                = "sqlserver-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "SQLSERVER_2019_STANDARD"
  root_password       = "INSERT-PASSWORD-HERE "
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-custom-2-7680"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

CMEK 対応インスタンスのバックアップを作成する

Cloud SQL インスタンスのバックアップを作成すると、バックアップは、プライマリ インスタンスの顧客管理の暗号鍵と同じプライマリ キー バージョンで暗号化されます。インスタンスが Cloud KMS Autokey によって作成された CMEK を使用する場合、バックアップはプライマリ インスタンスと同じ鍵を使用します。Autokey はバックアップの鍵を作成しません。

オンデマンド バックアップと自動バックアップの作成と管理をご覧ください。

[バックアップの作成] フォームに次のメッセージが表示されます。「バックアップは、このインスタンスの顧客管理の暗号鍵のメイン バージョンを使用して暗号化されます。誰かがこの鍵のバージョンを破棄するか無効にすると、この鍵のバージョンを使用して暗号化されているすべてのデータが完全に失われます。鍵のメインのバージョンは、Cloud KMS で確認できます。

バックアップ ページで、顧客管理の暗号鍵が有効になっているバックアップのリストには列が 2 つ追加されています。CMEK 対応インスタンスのバックアップであることを示す列と、バックアップの暗号化に使用された鍵バージョンを示す列です。

CMEK 対応インスタンスの鍵情報を表示する

Cloud SQL インスタンスが正常に作成されたら、インスタンス リストまたはインスタンスの概要ページで、顧客管理の暗号鍵を使用してインスタンスが作成されたことを確認できます。詳細には、インスタンスの作成に使用された鍵も表示されます。

1. Google Cloud コンソールで Cloud SQL の [インスタンス] ページに移動します。

   Cloud SQL の [インスタンス] に移動

2. [インスタンス] リストで、[暗号化] 列が表示されるまで右にスクロールします。この列には、[Google が管理] および [顧客管理] と表示されます。
3. インスタンスの名前をクリックして [概要] ページを開きます。顧客管理の暗号鍵が [構成] ペインに表示されます。

既存の CMEK 対応インスタンスまたはレプリカを再暗号化する

最新の主キーのバージョンで既存の Cloud SQL インスタンスとレプリカを再暗号化できます。既存の CMEK 対応インスタンスまたはレプリカを再暗号化する方法については、鍵についてをご覧ください。

新しい主キーのバージョンを取得する

• インスタンスまたはレプリカを新しいバージョンで再暗号化するには、新しい主キーのバージョンが必要です。インスタンスで新しい鍵バージョンが必要な場合は、Cloud Key Management Service を使用して鍵をローテーションする必要があります。主キーをローテーションするには、鍵のローテーションをご覧ください。

• 鍵のローテーションが完了したら、主キーの変更が伝播されるのを待ってから、インスタンスを再暗号化します。鍵バージョンの変更に一貫性がない場合、再暗号化後もインスタンスは引き続き古い鍵バージョンを使用します。詳細については、鍵バージョンの整合性をご覧ください。

CMEK 対応インスタンスを再暗号化する

鍵のローテーションが完了したら、既存の CMEK 対応インスタンスまたはレプリカを再暗号化します。

gcloud sql instances reencrypt INSTANCE_NAME

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

自動再暗号化バックアップ

新しい主キーのバージョンでプライマリ インスタンスを再暗号化すると、Cloud SQL は再暗号化バックアップと呼ばれるオンデマンド バックアップを自動的に作成します。

Cloud SQL インスタンスのバックアップのリストに、再暗号化バックアップがタイプ on-demand として一覧表示され、backup created automatically for data before CMEK re-encryption というラベルが付けられます。

他のオンデマンド バックアップと同様に、暗号化バックアップは、それを削除するかインスタンスを削除するまで残ります。

再暗号化の制限

インスタンスを再暗号化するときは、次の制限事項に注意してください。

• 再暗号化オペレーションの進行中は、インスタンスに対して他の管理オペレーションを実行できません。
• 再暗号化オペレーションは、インスタンスまたはレプリカのサイズに応じたダウンタイムをトリガーします。
• インスタンスが暗号化されても、インスタンスのレプリカは再暗号化されません。各レプリカを個別に再暗号化する必要があります。
• インスタンスを再暗号化したとき、バックアップが新しい鍵バージョンで自動的に再暗号化されることはありません。 バックアップまたはポイントインタイム リカバリをバックアップの作成後の時点に復元するには、バックアップを暗号化した Cloud KMS 鍵バージョンを保持する必要があります。

トラブルシューティングについては、再暗号化のトラブルシューティングの表をご覧ください。

Cloud External Key Manager（Cloud EKM）を使用する

Cloud SQL インスタンス内のデータを保護するには、サポートされている外部の鍵管理パートナー内で管理する鍵を使用します。詳細については、考慮事項のセクションを含む Cloud External Key Manager をご覧ください。

Cloud EKM 鍵を作成する準備ができたら、Cloud EKM 鍵の管理をご覧ください。キーを作成したら、Cloud SQL インスタンスを作成するときにキー名を指定します。

Cloud EKM の一部として、Key Access Justifications（KAJ）を使用できます。KAJ では、Cloud EKM リクエストの理由を確認できます。さらに、示された理由に基づいて、リクエストを自動的に承認または拒否できます。詳細については、概要をご覧ください。

KAJ では、データを復号する正当な理由をすべて提供することで、データをより細かく制御します。

Google では、外部の鍵管理パートナー システムで鍵の可用性を制御することはできません。

鍵バージョンを無効にしてから再度有効にする

次のトピックをご覧ください。

• 有効な鍵バージョンを無効にする
• 無効な鍵バージョンを有効にする

トラブルシューティング

ここでは、CMEK 対応インスタンスの設定中または使用中にエラー メッセージが表示された場合の対処方法について説明します。

Cloud KMS エラーやロールまたは権限がないために、作成、クローン作成、更新などの Cloud SQL 管理者のオペレーションが失敗する場合があります。失敗の一般的な理由には、Cloud KMS 鍵バージョンがない、Cloud KMS 鍵バージョンが無効かまたは破棄されている、Cloud KMS 鍵バージョンにアクセスするための IAM 権限が不足している、Cloud KMS 鍵バージョンが Cloud SQL インスタンスと別のリージョンにあるなどがあります。一般的な問題を診断して解決するには、次のトラブルシューティングの表を使用しください。

顧客管理の暗号鍵のトラブルシューティングの表

再暗号化のトラブルシューティングの表

次のステップ

• インスタンスへのアクセスを構成します。
• クライアントを使用してインスタンスに接続します。
• インスタンスにデータベースを作成します。
• インスタンスにデータをインポートする。
• インスタンスにユーザーを作成します。
• インスタンスの設定について学習する。
• 鍵に Key Access Justifications を追加する方法を学習する。