アップロードキー

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

概要

Bring Your Own キー（BYOK）は、ZohoのKEKの代わりに自身のキー暗号化キー（KEK）を使用できる機能です。キーは、お好みの外部キー管理（EKM）から追加するか、暗号化されたキーを手動でアップロードすることができます。

キーをアップロードする場合の手順は以下の通りです。

当社のスタンダードな運用に従い、データは当社が管理するDEKで暗号化され、KMSに保存されます。DEKはさらに当社のKEKで暗号化され、別のサーバーに保存されます。
KEKをアップロードするには、当社が提供する証明書から公開キーを抽出し、その公開キーを使って自身のキーを暗号化・ハッシュ化する必要があります。
暗号化されたKEKおよびハッシュ化されたKEKをZoho Oneにアップロードします。
当社はKEKを利用してDEKを復号し、プレーンなDEKを取得します。
このプレーンなDEKは、お客様が提供したKEKで暗号化されます。

各アプリケーションごとにキーを個別設定することも、2つ以上のアプリケーションやその他のアプリケーションをグループ化して設定することも、組織内のすべてのアプリケーションに対して単一のキーを設定することも可能です。

キーのアップロード方法は、Zoho Oneでサポートされている2つのユーザーインターフェースバージョンによって異なります。下のタブから利用するUIバージョンを選択し、続く手順に従ってください。

Spaces UI

Unified UI

Spaces UI

キーをアップロードするには

1. BYOK証明書を追加します。

Zoho Oneにサインインし、画面右上の「Directory」をクリックします。
「Security」をクリックします。
「BYOK」をクリックし、次に画面右上の「管理 certificates」をクリックします。
「追加する certificates」をクリックし、証明書の一意の名前を入力して、「追加する」をクリックします。追加した証明書にカーソルを合わせ、ダウンロードするアイコンをクリックします。

メモ: 最大2つの証明書のみ追加できます。

2. 暗号化された KEK を生成するには:

前提条件:

'bcprov-jdk18on' jar のバージョンが 1.78.1 以上または同等であること

以下の Java コードスニペットを使用して、ダウンロードした証明書ファイルから公開キーを抽出し、キーを暗号化してください。

完全なコードスニペットを表示するにはこちらをクリック

/**
* @param fileName
* - ダウンロードしたファイル名
* @param plainKeyBytes
* - 生成済みキーのバイト列
* @returns - 暗号化されたキー
* @throws 例外
*/
	public static String encryptKeyWithPublicKey(String fileName, byte[] plainKeyBytes) throws Exception {

		PemReader reader = new PemReader(new FileReader(new File(fileName)));
		PemObject pemObject = reader.readPemObject();
		byte[] content = pemObject.getContent();
		reader.close();
		InputStream fin = new ByteArrayInputStream(content);
		CertificateFactory f = CertificateFactory.getInstance('X.509');
		X509Certificate certificate = (X509Certificate) f.generateCertificate(fin);
		PublicKey pk = certificate.getPublicKey();
		byte[] publicKeyBytes = pk.getEncoded();
		X509EncodedKeySpec keySpec = 新規 X509EncodedKeySpec(publicKeyBytes);
		KeyFactory keyFactory = KeyFactory。getInstance('RSA');
		PublicKey publicKey = keyFactory。generatePublic(keySpec);
		Cipher encryptCipher = Cipher。getInstance('RSA/ECB/OAEPWITHSHA-256ANDMGF1PADDING');
		OAEPParameterSpec oaepParams = 新規 OAEPParameterSpec('SHA-256', 'MGF1', 新規 MGF1ParameterSpec('SHA-256'), PSource。PSpecified。初期設定);
		encryptCipher。init(Cipher。ENCRYPT_MODE, publicKey, oaepParams);
		byte[] encryptedBytes = encryptCipher。doFinal(plainKeyBytes);
		返品する Base64。getEncoder().encodeToString(encryptedBytes);

	}

3. hashed KEK を生成するには:

AES キーの hash 値を生成 下記のコードスニペットを使用:

公開する staticString getHashValue(byte[] plainKeyBytes) throwsNoSuchAlgorithmException {
MessageDigest digest = MessageDigest.getInstance('SHA-256');
byte[] hashed = digest。digest(plainKeyBytes);
返品するBase64.getEncoder().encodeToString(hashed);
}

4. キーをアップロードするには:

Zoho One にサインインしZoho One 、左側メニューのDirectoryをクリックします。
次にAdmin Panelをクリックし、さらにSecurityをクリックします。
続いてBYOKをクリックし、設定をクリックします。

メモ: すでにキーが追加されている場合は、右側の+ 追加するキーをクリックしてください。

「追加するキー」画面で、キー名前を入力し、アプリケーションを選択、有効にする場合はavailabilityキーを有効化してください（設定済みのキーが利用できない場合のデータ復旧用）。また、キー種類としてアップロードするキーを選択します。

メモ: 1つのキーのみアプリに申請可能で、すでに割り当てられているアプリは利用可能アプリケーションには表示されません。

「キー詳細」で、すでに作成済みのEncrypted KEKおよびHashed KEKのいずれかの利用可能な証明書を選択します。

メモ:
証明書を追加するには、+ アイコンを 利用可能 certificates の横でクリックしてください。上記の Java コードスニペットを使用して、暗号化された KEK およびハッシュ化された KEK を生成できます。

ハッシュ化された KEK を .txt ファイルとして参照し、アップロードします。
暗号化された KEK を .txt ファイルとして参照し、アップロードします。
「追加する」をクリックします。

統合UI

キーをアップロードするには

1. BYOK証明書を追加します。

Zoho One にサインインし、Zoho One 次に、左側のメニューからDirectoryをクリックします。
「Security」をクリックします。
「BYOK」をクリックし、右上の「管理 certificates」をクリックします。
「追加する certificates」をクリックし、証明書の一意の名前を入力して、「追加する」をクリックします。追加した証明書にカーソルを合わせ、ダウンロードするアイコンをクリックしてください。

メモ: 最大2つの証明書のみ追加できます。

2. 暗号化されたKEKを生成するには:

前提条件:

'bcprov-jdk18on' jar、バージョンが1.78.1以上または同等であること

以下のJavaコードスニペットを使用し、ダウンロードした証明書ファイルから公開キーを抽出し、キーを暗号化してください。

完了したコードスニペットを表示するにはこちらをクリック

/**
* @param fileName
* - ダウンロードしたファイル名
* @param plainKeyBytes
* - 作成済みキーのバイト列
* @returns - 暗号化されたキー
* @throws 例外
*/

	公開 static String encryptKeyWithPublicKey(String fileName, byte[] plainKeyBytes) throws Exception {

		PemReader reader = 新規 PemReader(新規 FileReader(新規 File(fileName)));
		PemObject pemObject = reader。readPemObject();
		byte[] content = pemObject。getContent();
		reader。閉じる();
		InputStream fin = 新規 ByteArrayInputStream(content);
		CertificateFactory f = CertificateFactory。getInstance('X。509');
		X509Certificate certificate = (X509Certificate) f。generateCertificate(fin);
		PublicKey pk = certificate。getPublicKey();
		byte[] publicKeyBytes = pk。getEncoded();
		X509EncodedKeySpec keySpec = 新規 X509EncodedKeySpec(publicKeyBytes);
		KeyFactory keyFactory = KeyFactory。getInstance('RSA');
		PublicKey publicKey = keyFactory。generatePublic(keySpec);
		Cipher encryptCipher = Cipher。getInstance('RSA/ECB/OAEPWITHSHA-256ANDMGF1PADDING');
		OAEPParameterSpec oaepParams = 新規 OAEPParameterSpec('SHA-256', 'MGF1', 新規 MGF1ParameterSpec('SHA-256'), PSource。PSpecified。初期設定);
		encryptCipher。init(Cipher。ENCRYPT_MODE, publicKey, oaepParams);
		byte[] encryptedBytes = encryptCipher。doFinal(plainKeyBytes);
		返品する Base64。getEncoder().encodeToString(encryptedBytes);

	}

3. ハッシュ化された KEK を生成するには:

AESキーのハッシュ値を生成 以下のコードスニペットを使用してください:

公開する staticString getHashValue(byte[] plainKeyBytes) throwsNoSuchAlgorithmException {
MessageDigest digest = MessageDigest.getInstance('SHA-256');
byte[] hashed = digest。digest(plainKeyBytes);
返品するBase64.getEncoder().encodeToString(hashed);
}