外部キー管理ツールからのキーの追加

外部キー管理ツールからのキーの追加

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

概要

独自の暗号鍵の使用（BYOK）は、Zohoの鍵暗号化鍵（KEK）の代わりに、独自のKEKを使用できる機能です。任意の外部の鍵管理サービス（EKM）から鍵を追加するか、暗号化済みの鍵を手動でアップロードできます。

外部の鍵管理サービスにある独自のKEKへのアクセスを許可すると、Zohoから提供するDEKの暗号化や復号に使用されます。これにより、データのセキュリティを自社で管理でき、組織のセキュリティを強化できます。
処理の流れは次のとおりです。

  1. Zoho Oneで鍵を設定すると、DEKを暗号化するための要求がEKMに送信されます。

  2. EKMから返された暗号化済みのDEKは、Zohoの社内KMSに保存されます。

  3. 暗号化済みのDEKを復号するため、保存されている暗号文を使用してEKMに復号要求を送信し、平文のDEKを受信します。

  4. 平文のDEKは、許可した期間のみキャッシュされます。その期間が終了すると、暗号化／復号の要求がEKMに再度送信され、一連の処理が繰り返されます。
EKMから鍵を追加する手順は、Zoho Oneでサポートされている2つの操作画面のバージョンによって異なります。下のタブから使用中の操作画面のバージョンを選択し、表示される手順に従って続けます。

［Spacesの操作画面］
［統合操作画面］
［Spacesの操作画面］
鍵を追加するには

Notes
外部の鍵管理サービス（EKM）の外部鍵が変更されているか、アクセスできない場合、データの暗号化や復号は機能しません。

  1. まず、Zoho Oneにサインインし、右上にあるアイコンをクリックします。

  2. ［セキュリティ］をクリックします。

  3. ［独自の暗号鍵の使用（BYOK）］をクリックし、［設定］をクリックします。

    Notesメモ：すでに鍵を追加済みの場合は、右側の［鍵を追加する］をクリックします。

  1. ［鍵を追加する］画面で、［鍵の名前］を入力し、［アプリ］を選択します。［可用性鍵］は、設定済みの鍵を利用できない場合にデータ復元で使用する場合に有効にし、 ［鍵の種類］で［外部の鍵管理サービス］を選択します。


    Notes1つのアプリに適用できる鍵は1つのみです。


  1. ［鍵の詳細］で、［鍵の提供元］を選択します。

  • ［鍵の提供元］に［AWS］を選択した場合は、［認証の種類］を選択します。

    • ［IAM認証情報］：［クライアントID］、［クライアントシークレット］、［鍵ID］、［ドメイン］を入力します。

    • ［IAM Roles Anywhere］：［鍵ID］、［ドメイン］、［Roles Anywhereドメイン］、［トラストアンカーARN］、［プロファイルARN］、［ロールARN］を入力します。その後、［証明書］と［非公開鍵］をアップロードします。
      AWS KMSでの鍵の設定

  • ［鍵の提供元］に［Google KMS］を選択した場合は、
    ［鍵リング］、［鍵の名前］、［鍵のバージョン］、［ロケーション］を入力し、JSON形式の［サービスアカウントキー］をアップロードして、［未加工の暗号化］を有効にします。
    Google KMSでの鍵の設定


  • 鍵の提供元として［Thales CTM］を選択した場合、
    ユーザー名、パスワード、鍵ID、ドメインを入力します。
    Thales CTMでの鍵の設定


  • 鍵の提供元として［Fortanix DSM］を選択した場合、
    APIキー、鍵ID、ドメインを入力します。
    Fortanix DSMでの鍵の設定


  • 鍵の提供元として［Azure］を選択した場合、クライアントID、クライアントシークレット、OAuth 2.0トークンのエンドポイント（v2）、鍵の識別子URLを入力します。
    Azure Key Vaultでの鍵の設定


  • 鍵の提供元として［Futurex］を選択した場合、APIキー、鍵ID、ドメインを入力します。
    Futurexでの鍵の設定 

  1. 必要な［キャッシュ期間］をドロップダウンリストから選択します。

  2. 入力した鍵の認証情報を検証するには、［鍵を確認］をクリックします。

  3. ［追加］をクリックします。


Notes
メモ：特定のサービスに独自の暗号鍵の使用を設定すると、そのアプリはデフォルトの鍵から削除されます。該当する独自の暗号鍵が削除されると、そのアプリはデフォルトの鍵に再度追加されます。

 
統合UI
鍵を追加するには
Notes
暗号化または復号に使用する外部の鍵管理サービス（EKM）の外部鍵が変更された場合や、アクセスできない場合、データの暗号化または復号は機能しません。

  1. Zoho One にサインインし、左側のメニューにある［ディレクトリー］をクリックします。

  2. ［セキュリティ］をクリックします。

  3. ［独自の暗号鍵の使用］をクリックし、［設定］をクリックします。

メモ：すでに鍵が追加済みの場合は、右側の［鍵を追加する］をクリックします。



  1. ［鍵を追加する］画面で、［鍵の名前］を入力し、［アプリ］を選択します。設定済みの鍵が利用できない場合にデータ復元で使用するには、［可用性キー］を有効にし、 ［鍵の種類］として［外部の鍵管理サービス］を選択します。
Notes1つのアプリに適用できる鍵は1つだけです。

    1. 鍵の詳細で、［鍵の提供元］を選択します。

    1. ［AWS］を選択したときは、［認証の種類］を選択します。
      1. ［IAM認証情報］：クライアントID、クライアントシークレット、鍵ID、ドメインを入力します。
      2. ［IAM Roles Anywhere］：鍵ID、ドメイン、Roles Anywhereドメイン、トラストアンカーARN、プロファイルARN、ロールARNを入力します。その後、証明書と非公開鍵をアップロードします。
        AWS KMSでの鍵の設定


    2. 鍵の提供元として［Google KMS］を選択したときは、
      鍵リング、鍵の名前、鍵のバージョン、ロケーションを入力し、JSON形式のサービスアカウントキーをアップロードして、［未加工の暗号化］を有効にします。
      Google KMSでの鍵の設定
    4. 鍵の提供元として［Thales CTM］を選択したときは、
      ユーザー名、パスワード、鍵ID、ドメインを入力します。
      Thales CTMでの鍵の設定
    5. 鍵の提供元として［Fortanix DSM］を選択したときは、
      APIキー、鍵ID、ドメインを入力します。
      Fortanix DSMでの鍵の設定
    7. 鍵の提供元として［Azure］を選択したときは、クライアントID、クライアントシークレット、OAuth 2.0トークンのエンドポイント（v2）、鍵識別子のURLを入力します。
      Azure Key Vaultでの鍵の設定

    8. 鍵の提供元として［Futurex］を選択したときは、APIキー、鍵ID、ドメインを入力します。 
      Futurexでの鍵の設定 

    1. ドロップダウンリストから、必要な［キャッシュ期間］を選択します。

    2. 入力した鍵の認証情報を検証するには、［鍵を確認］をクリックします。

    3. ［追加する］をクリックします。