メインコンテンツまでスキップ

AWS KMS

プランでの提供状況

この機能は、Business Critical（SaaS）および BYOC デプロイでのみ使用できます。

リージョンでの提供状況

この機能は AWS で使用できます。Google Cloud と Microsoft Azure では使用できません。

AWS Key Management Service（KMS）は、データの暗号化と署名に使用するキーを簡単に作成および管理できる AWS マネージドサービスです。

概要​

通常のケースでは、Zilliz Cloud クラスター内のデータを暗号化するために KMS キーは使用しません。代わりに、KMS キーを使用して暗号化ゾーンキー（EZK）を暗号化し、EZK を使用してデータ暗号化キー（DEK）を暗号化し、DEK を使用してデータを暗号化します。

YJRcwu5BLhm8Hub1eiZcDiIdnDh

暗号化の仕組みとその適用範囲の詳細については、このセクション を参照してください。CMEK 機能の制限事項の詳細については、このセクション を参照してください。CMEK 機能を使用するには、このページの手順に従ってください。

事前準備​

  • AWS CLI をインストールしているか、AWS CloudShell にアクセスできること。

    詳細については、このページ を参照してください。

  • キー管理コマンドを実行するための十分な権限があること。

KMS キーを追加する​

各プロジェクトでは、KMS プロバイダーに関係なく、最大 20 個のキーを追加できます。既存の KMS キーを追加するか、Zilliz Cloud コンソールの指示に従って KMS キーを作成し、Zilliz Cloud に追加することができます。

手順​

AWS KMS キーを追加するには、Zilliz Cloud コンソール にログインし、左側のナビゲーションペインで Network > CMEK を選択し、該当する AWS リージョンにある Business Critical プロジェクトのいずれかに移動して、+ CMEK をクリックし、Add CMEK (AWS KMS) ダイアログボックスの手順に従ってプロセスを完了します。

開始する前に、この手順で使用する IAM ロールを決定する必要があります。IAM ロールは、KMS キーの追加に使用すると Zilliz Cloud に一覧表示されます。Existing IAM Role タブの Select AWS IAM Role ステップにあるドロップダウンリストを確認し、必要な IAM ロールが一覧に表示されているかどうかを判断してください。

既存のロールを使用して KMS キーを追加する​

Existing IAM Role タブの Select AWS IAM Role のドロップダウンリストに必要な IAM ロールが含まれている場合は、このセクションの手順に従ってください。

1

Select AWS IAM Role ステップのドロップダウンをクリックし、IAM ロールを選択して、Next をクリックします。

O6IxwU89jhUTHDbShkfcHzZFn00

2

KMS キーを追加します。

ENW6wuQVlhaRntbKYDDcrdegnNL

  1. ステップ 1 で対象のリージョンを選択します。

  2. （オプション） ステップ 2 のコマンドをコピーし、AWS CloudShell で実行します。

    このステップはオプションです。指定した IAM ロールで作成済みの KMS キーがすでにある場合は、このステップをスキップして次に進むことができます。これは、マルチリージョンレプリカキーを追加する場合に便利です。

    Notes

    暗号化された Zilliz Cloud クラスターをあるクラウドリージョンから別のリージョンにバックアップした後、対象リージョンでバックアップを復号するには、元のクラスターを暗号化したのと同じキーを使用する必要があります。

    この場合、キーをバックアップをホストするリージョンにレプリケートし、既存の IAM ロールを使用して Zilliz Cloud に送信できます。

    マルチリージョンレプリカキーの作成の詳細については、AWS ドキュメントのこのページ を参照してください。

  3. KMS キー ARN を次の場所にコピーして貼り付けます。

    • AWS コンソール 上の IAM ロールのポリシー。

      ロール一覧でロールの名前をクリックし、Permissions タブでロールポリシーを見つけて、コピーした KMS キーを Resource ノードに追加します。

      json
      {
              "Version": "2012-10-17",
              "Statement": [
                      {
                              "Effect": "Allow",
                              "Action": [
                                      "kms:Decrypt",
                                      "kms:Encrypt",
                                      "kms:DescribeKey"
                              ],
                              "Resource": [
                                      "arn:aws:kms:us-west-2:xxxx:key/mrk-...",
                                      "PASTE-THE-COPIED-KEY-ARN-HERE"
                              ]
                      }
              ]
      }

    • Zilliz Cloud の上記のダイアログボックスのステップ 3。

  4. ダイアログボックス下部の Validate KMS Key をクリックします。

  5. 検証が成功したら、Add をクリックします。

新しいロールを使用して KMS キーを追加する​

Existing IAM Role タブの Select AWS IAM Role のドロップダウンリストに必要な IAM ロールが含まれていない場合は、このセクションの手順に従ってください。

1

New IAM Role をクリックします。

2

IAM ロールを作成し、その信頼ポリシーに Zilliz Cloud を追加します。

Zilliz Cloud に一覧表示されている IAM ロールがない場合は作成します。これには、AWS CloudShell でコマンドを実行する必要があります。

  1. Zilliz Cloud コンソールから信頼ポリシーのファイル名をコピーし、AWS CloudShell で vi コマンドを実行して信頼ポリシーファイルを作成します。

    bash
    vi role-trust-policy.json

  2. I を押して挿入モードに入ります。

  3. Step 1 の信頼ポリシー JSON をコピーし、ターミナルに貼り付けます。

  4. ESC を押して :wq を入力し、JSON ファイルを保存します。

  5. Step 2 で作成するロールの名前を入力します。

  6. Step 3 のコマンドをコピーし、ターミナルに貼り付けます。

  7. Enter を押してコマンドを実行します。

  8. コマンド出力でロールの ARN をコピーし、Step 4 のテキストボックスに貼り付けます。

  9. Next をクリックします。

3

KMS キーを作成します

  1. Step 1 でクラウドリージョンを選択します。

  2. Step 2 のコマンドをコピーし、ターミナルに貼り付けます。

  3. Enter を押してコマンドを実行します。

  4. コマンド出力でキーの ARN をコピーし、Step 3 のテキストボックスに貼り付けます。

  5. Next をクリックします。

4

KMS キーを IAM ロールに関連付けます。

  1. vi コマンドを実行し、Step 1 で必要なロールポリシー JSON ファイルを作成します。

  2. Step 2 のコマンドをコピーし、ターミナルに貼り付けます。

  3. Enter を押してコマンドを実行します。

  4. コマンドが実行されたら、ダイアログボックス下部の Validate KMS Key をクリックします。

  5. 検証が成功したら、Add をクリックします。

Notes

KMS キーを使用して Zilliz Cloud クラスターを暗号化すると、クラスターは 10 分ごとにキーの可用性を確認します。キーが利用可能であることを検出した後にのみ、使用可能になります。

AWS KMS キーを管理する​

追加した AWS KMS キーは、Zilliz Cloud コンソールで確認できます。

S3NKwZYR7hj6ocbkpIQcB66Unyg

Zilliz Cloud は、一覧表示されているキーの可用性を 10 分ごとにスキャンします。また、一覧表示されている KMS キーのステータスに関するプロジェクトアラートを作成することもできます。詳細については、Manage Project Alerts を参照してください。

KMS キーが不要になった場合は、どのクラスターもそのキーを使用していなければ削除できます。

AWS KMS キーを使用する​

KMS キーを Zilliz Cloud に追加すると、それを使用して暗号化されたクラスターを作成し、バックアップおよび復元できます。

暗号化されたクラスターを作成する​

クラスターを暗号化するには、作成するクラスターのリージョンで利用可能な KMS キーを選択できます。

RGUrbElsSoc61JxikfWcoTCrnHe

KMS キーを追加すると、次のようにして暗号化されたクラスターを作成できます。

1

Choose Deployment Option セクションで Dedicated をクリックします。

2

クラスターのクラウドプロバイダーとリージョンを選択します。

3

Encryption at Rest with CMEK を有効にし、既存の KMS キーを選択します。作成するクラスターと同じリージョンにある KMS キーのみを選択できます。

4

概要を確認して、Create Cluster をクリックします。

Iy8JbR19eoBQ4YxV1PjcLfUinl7

暗号化されたクラスターの Overview ページでは、上の図に示すように、クラスター名の右側にキーアイコンが表示されます。暗号化されたクラスターで作成されたすべてのコレクションは、デフォルトで暗号化されます。

暗号化されたバックアップファイルから復元する​

暗号化されたバックアップを新しいクラスターに復元する場合、Zilliz Cloud はバックアップファイルに関連付けられた KMS キーを使用して、復元する前にデータを復号します。そのため、暗号化の有無にかかわらず、バックアップを新しいクラスターに復元できます。

WaApbDlaYoywaMxxUMxcQLAOnDe

暗号化されたバックアップからの復元手順は、Encryption at Rest with CMEK を有効にするかどうかを除いて、通常の復元とほぼ同じです。

V1QJb3SK1oGa11xLljhcxKQEnkc

  • このオプションを有効にすると、復元後に作成されるクラスターは、以下で指定した KMS キーを使用して暗号化されます。

  • このオプションを無効にすると、復元後に作成されるクラスターは暗号化されません。

このページは役に立ちましたか？
Ctrl I