メインコンテンツまでスキップ

AWS KMS

プランでの提供状況

この機能は、Business Critical（SaaS）および BYOC デプロイでのみ使用できます。

リージョンでの提供状況

この機能は AWS で利用できます。Google Cloud と Microsoft Azure では利用できません。

AWS Key Management Service (KMS) は、データの暗号化と署名に使用されるキーを簡単に作成および管理できる AWS マネージドサービスです。

概要​

通常、Zilliz Cloud クラスター内のデータを暗号化するために、KMS キーを直接使用することはありません。代わりに、KMS キーを使用して暗号化ゾーンキー (EZK) を暗号化し、EZK を使用してデータ暗号化キー (DEK) を暗号化し、DEK を使用してデータを暗号化します。

YJRcwu5BLhm8Hub1eiZcDiIdnDh

暗号化の仕組みとその適用範囲の詳細については、このセクションを参照してください。CMEK 機能の制限事項の詳細については、このセクションを参照してください。CMEK 機能を使用するには、このページの手順に従ってください。

始める前に​

  • AWS CLI をインストールしているか、AWS CloudShell へのアクセス権があること。

    詳細については、このページを参照してください。

  • KMS 関連コマンドを実行するための十分な権限があること。

KMS キーを追加する​

各プロジェクトでは、KMS プロバイダーに関係なく最大 20 個のキーを使用できます。既存の KMS キーを追加することも、Zilliz Cloud コンソールの指示に従って KMS キーを作成し、Zilliz Cloud に追加することもできます。

手順​

Zilliz Cloud コンソールにログインし、いずれかの Business Critical プロジェクトに移動して、左側のナビゲーションペインから Network > CMEK を選択し、+ CMEK をクリックして、Add CMEK (AWS KMS) ダイアログボックスの手順に従ってプロセスを完了します。

開始する前に、この手順で使用する IAM ロールを決定する必要があります。IAM ロールを使用して KMS キーを追加すると、その IAM ロールが Zilliz Cloud に一覧表示されます。Existing IAM Role タブの Select AWS IAM Role ステップにあるドロップダウンリストを確認し、必要な IAM ロールが一覧にあるかどうかを判断してください。

既存のロールを使用して KMS キーを追加する​

Existing IAM Role タブの Select AWS IAM Role のドロップダウンリストに必要な IAM ロールが含まれている場合は、このセクションの手順に従ってください。

1

Select AWS IAM Role ステップのドロップダウンをクリックし、IAM ロールを選択して Next をクリックします。

O6IxwU89jhUTHDbShkfcHzZFn00

2

KMS キーを追加します。

ENW6wuQVlhaRntbKYDDcrdegnNL

  1. ステップ 1 で対象のリージョンを選択します。

  2. （オプション） ステップ 2 のコマンドをコピーし、AWS CloudShell で実行します。

    このステップはオプションです。指定した IAM ロールですでに作成済みの KMS キーがある場合は、このステップをスキップして次に進むことができます。これはマルチリージョンレプリカキーを追加する場合に便利です。

    Notes

    暗号化された Zilliz Cloud クラスターをあるクラウドリージョンから別のクラウドリージョンにバックアップした後、対象リージョンでバックアップを復号するには、元のクラスターの暗号化に使用したものと同じキーを使用する必要があります。

    この場合、バックアップをホストしているリージョンにそのキーをレプリケートし、既存の IAM ロールを使用して Zilliz Cloud に送信できます。

    マルチリージョンレプリカキーの作成の詳細については、AWS ドキュメントのこのページを参照してください。

  3. 以下の場所に KMS キー ARN をコピー＆ペーストします。

    • AWS コンソール上の IAM ロールのポリシー（AWS console）。

      ロール一覧でロール名をクリックし、Permissions タブでロールポリシーを見つけて、コピーした KMS キーを Resource ノードに追記します。

      json
      {
              "Version": "2012-10-17",
              "Statement": [
                      {
                              "Effect": "Allow",
                              "Action": [
                                      "kms:Decrypt",
                                      "kms:Encrypt",
                                      "kms:DescribeKey"
                              ],
                              "Resource": [
                                      "arn:aws:kms:us-west-2:xxxx:key/mrk-...",
                                      "PASTE-THE-COPIED-KEY-ARN-HERE"
                              ]
                      }
              ]
      }

    • Zilliz Cloud の上記ダイアログボックス内のステップ 3。

  4. ダイアログボックス下部の Validate KMS Key をクリックします。

  5. 検証が成功したら、Add をクリックします。

新しいロールを使用して KMS キーを追加する​

Existing IAM Role タブの Select AWS IAM Role のドロップダウンリストに必要な IAM ロールが含まれていない場合は、このセクションの手順に従ってください。

1

New IAM Role をクリックします。

2

IAM ロールを作成し、その信頼ポリシーに Zilliz Cloud を追加します。

Zilliz Cloud に一覧表示されているロールがまだない場合は、IAM ロールを作成します。これには AWS CloudShell でコマンドを実行する必要があります。

  1. Zilliz Cloud コンソールから信頼ポリシーのファイル名をコピーし、AWS CloudShell で vi コマンドを実行して信頼ポリシーファイルを作成します。

    bash
    vi role-trust-policy.json

  2. I を押して挿入モードに入ります。

  3. Step 1 の信頼ポリシー JSON をコピーし、ターミナルに貼り付けます。

  4. ESC を押して :wq を入力し、JSON ファイルを保存します。

  5. Step 2 に作成するロールの名前を入力します。

  6. Step 3 のコマンドをコピーし、ターミナルに貼り付けます。

  7. Enter を押してコマンドを実行します。

  8. コマンド出力でロールの ARN をコピーし、Step 4 のテキストボックスに貼り付けます。

  9. Next をクリックします。

3

KMS キーを作成します

  1. Step 1 でクラウドリージョンを選択します。

  2. Step 2 のコマンドをコピーし、ターミナルに貼り付けます。

  3. Enter を押してコマンドを実行します。

  4. コマンド出力でキーの ARN をコピーし、Step 3 のテキストボックスに貼り付けます。

  5. Next をクリックします。

4

KMS キーを IAM ロールに関連付けます。

  1. vi コマンドを実行し、Step 1 で必要なロールポリシー JSON ファイルを作成します。

  2. Step 2 のコマンドをコピーし、ターミナルに貼り付けます。

  3. Enter を押してコマンドを実行します。

  4. コマンドの実行後、ダイアログボックス下部の Validate KMS Key をクリックします。

  5. 検証が成功したら、Add をクリックします。

Notes

KMS キーを使用して Zilliz Cloud クラスターを暗号化すると、クラスターは 10 分ごとにそのキーの可用性を確認します。キーが利用可能であることを検出した後にのみ、利用可能な状態になります。

AWS KMS キーを管理する​

追加した AWS KMS キーは Zilliz Cloud コンソールで確認できます。

S3NKwZYR7hj6ocbkpIQcB66Unyg

Zilliz Cloud は、一覧表示されているキーの可用性を 10 分ごとにスキャンします。また、一覧表示されている KMS キーのステータスに関するプロジェクトアラートを作成することもできます。詳細については、Manage Project Alerts を参照してください。

KMS キーが不要になった場合、どのクラスターもそれを使用していなければ削除できます。

AWS KMS キーを使用する​

KMS キーを Zilliz Cloud に追加したら、それを使用して暗号化されたクラスターを作成し、それらをバックアップおよび復元できます。

暗号化されたクラスターを作成する​

クラスターを暗号化するには、作成するクラスターと同じリージョンで利用可能な KMS キーを選択できます。

RGUrbElsSoc61JxikfWcoTCrnHe

KMS キーを追加したら、以下のように暗号化されたクラスターを作成できます。

1

Choose Deployment Option セクションで Dedicated をクリックします。

2

クラスターのクラウドプロバイダーとリージョンを選択します。

3

Encryption at Rest with CMEK を有効にし、既存の KMS キーを選択します。作成するクラスターと同じリージョンの KMS キーのみ選択できます。

4

Review the summary, then click Create Cluster.

Iy8JbR19eoBQ4YxV1PjcLfUinl7

暗号化されたクラスターの Overview ページでは、上図のようにクラスター名の右側に鍵アイコンが表示されます。暗号化されたクラスターで作成されるすべてのコレクションは、デフォルトで暗号化されます。

暗号化されたバックアップファイルから復元する​

暗号化されたバックアップを新しいクラスターに復元する場合、Zilliz Cloud はバックアップファイルに関連付けられた KMS キーを使用して、復元前にデータを復号します。そのため、暗号化の有無にかかわらず、新しいクラスターにバックアップを復元できます。

WaApbDlaYoywaMxxUMxcQLAOnDe

暗号化されたバックアップからの復元手順は、Encryption at Rest with CMEK を有効にするかどうかを除いて、通常の復元とほぼ同じです。

V1QJb3SK1oGa11xLljhcxKQEnkc

  • このオプションを有効にすると、復元後に作成されるクラスターは、以下で指定した KMS キーを使用して暗号化されます。

  • このオプションを無効にすると、復元後に作成されるクラスターは暗号化されません。

Ctrl I