テナントの暗号化

テナント作成時、Qlik Cloud は複数のセキュリティレイヤーを使ってデータを保護します。既定では、各テナントが Qlik 暗号化サービスにより管理される一連の暗号化キーを個別に生成することにより、テナントのコンテンツを暗号化して、区別されます。各テナントのキーは、Qlik がサービス間通信をセキュリティ保護するのに使用するキーから区別されます。

Qlik Cloud は、次の暗号化標準を使用します:

転送中 — TLS 1.2 暗号化
保存中 — AES-256-GCM 暗号化
プラットフォーム内 (指定の IdP で認証された後) — 整合性、信頼性、および非否認性を確保するため署名済みの JSON Web トークン (JWT)

組織が Qlik Talend Cloud Premium または Enterprise サブスクリプションを所有している場合、暗号化設定は、Qlik Cloud と Talend Cloud の両方のテナントに適用されます。

カスタマーマネージドキー (CMK)

ヘルスケアなど規制が厳しい業界では、セキュリティとコンプライアンスの厳格な規制を満たす必要があります。さらに、多くの商業的顧客は市場機密データに対してデータ分類アプローチを利用し、追加のセキュリティ技術が特定のデータセットに必要かどうかを判断しています。これらの厳格なセキュリティ要件には、機密性の高いクラウドデータを暗号化および復号化するのに使用される暗号化キーを制御する要件が含まれている可能性があります。Qlik Cloud では、カスタマーマネージドキーを使って、Qlik クラウド内の保存中テナントデータをセキュリティ保護する暗号化オプションとして、自身のキー (BYOK) を持ち込むことが許可されています。

CMK を使った暗号化は、テナントレベルに適用されます。テナント管理者は、CMK を使用するテナント暗号化を構成できます。Qlik Cloud は、次のキー管理サービス (KMS) プロバイダーをサポートしています:

Qlik 内部 KMS (既定)
Amazon Web Services (AWS) KMS

Qlik Analytics モバイルアプリ、データゲートウェイ - 直接アクセス、およびデータゲートウェイ - データ移動は、CMK での暗号化をサポートまたは使用していません。CMK は、保存中のテナントデータのテナントレベルでの暗号化のみをサポートしています。CMK は、モバイルデバイスまたはデータゲートウェイで、移動中または保存中の暗号化には使用されません。

CMK は Qlik Sense Business では使用できません。

カスタマーマネージドキーおよび HIPAA

Qlik Cloud は、お客様がカスタマーマネージドキーを使用し、HIPAA ビジネスアソシエイト契約 (BAA) に署名することを条件に、米国健康保険の相互運用性と説明責任に関する法律 of 1996 (HIPAA) の規制の対象となる個人健康情報 (PHI) をホストできます。Qlik Cloud は HIPAA の規制要件を通じて顧客をサポートできますが、Qlik Cloud を使用している顧客は、独自の HIPAA コンプライアンスに責任を負います。PHI ワークロードを運用する Qlik Cloud テナントでは、カスタマーマネージドキーの使用が必須です。詳細については、「Qlik の信頼とセキュリティ」を参照してください。

Qlik Cloud 暗号化アーキテクチャの概要

次の図は、テナントでデータを暗号化する Qlik Cloud 暗号化サービスの概要です。デフォルトでは、Qlik Cloud テナントは、Qlik Cloud の KMS によって生成された暗号化キーを使用してデータを暗号化および復号化します。カスタマーマネージドキーを使用すると、AWS KMS はテナントが使用する暗号化キーを生成します。Qlik Cloud 内のサービスがデータを暗号化または復号化するたびに、暗号化サービスは AWS KMS を呼び出し、顧客管理キーを使用します。

キー持参を使ったテナント暗号化アーキテクチャ — CMK を使った Qlik Cloud 暗号化アーキテクチャ

カスタマーマネージドキーに対する顧客の責任

CMK では、顧客が自分のキーを完全に制御できます。顧客の組織は、以下の領域を含むキーのライフサイクルのすべての側面を作成、維持、管理する責任を負います。

AWS KMS のキーセットアップ

AWS アカウントの作成と KMS の使用。
キーの作成と Identity and Access Management (IAM) 権限とロールに関する AWS KMS キー管理ポリシーの確立、およびキーの作成、無効化、および削除などの関数を誰が実行できるか。

AWS KMS のキー管理

テナントで AWS KMS キーを使用して保存中のデータを暗号化するように構成すると、キーの管理について責任が発生します。AWS KMS キーが誤って削除されたり無効化されたりしないように保護することは重要です。Qlik は、これらのキー管理関数とその他に関するプロセスを確立することをお勧めします。これらは顧客管理キーであるため、Qlik Cloud は CMK を無効化または非アクティブ化するのを防ぐことはできません。

AWS KMS キーの無効化。このアクションは、一時的に Qlik Cloud が AWS KMS がデータキー (暗号化に使用される) の生成と復号化操作のための API コールを行うことを防ぎます。例えば、スケジュールされたリロードまたは Qlik Cloud の背景で実行され、データの暗号化と復号化が必要なタスクは、キー (またはキーへのアクセス) が無効な状態であれば失敗します。キーを再有効化すると、テナントへのアクセスが再確立されます。
AWS KMS キーの削除。このアクションは、Qlik Cloudテナントが完全に無効化されます。キーの削除をスケジュールすると、テナントはすぐに無効モードに入ります。これにょり、キーへのアクセスが防止され、テナントがロックされます。AWS KMS には、キーの削除について広範な制御があり、ニーズに合わせてカスタマイズできます。例えば、キーが削除されるまでの待機時間を設定して、アラートを使用し、待機時間中に削除をキャンセルできます。
AWS KMS のキーの回転。キーを削除する際は、AWS KMS [自動キー回転] オプションを選択できます。これにより、1 年間に 1 度、KMS キーの新しい暗号化素材が生成されます。AWS KMS は、暗号化素材の過去のバージョンをすべて保存しているため、その KMS キーで暗号化されたデータならどれでも復号化できます。AWS KMS は、KMS キーが削除されるまでは、回転されたキー素材を削除しません。AWS KMS は、適切なキー素材を使って透過的に復号化するため、回転された KMS キーを安全に使用しても、Qlik Cloudカスタマーマネージドキー統合に影響することはありません。これは、完全に新しい AWS キーおよび、その新しいキーに Qlik CMK キープロバイダーを変更し、テナントの完全な再暗号化を強制する操作とは異なることに注意してください。「テナント暗号化の構成」を参照してください。
キー使用の監査 — AWS CloudTrail などの KMS キー監視ツールを使って、暗号化操作を監視すうることを検討します。operations.
キーアクセスの制御 — キーポリシーをセキュリティ保護して、不要なアクセスまたは変更を阻止します。
キー可用性の確保 — キーがアクティブな状態を維持および徹底します。アクセスの喪失を招きかねないアクションを防ぎます。他の AWS サービスと同様、AWS KMS へのアクセスが中断された場合、テナントデータは利用できません。AWS KMS には、インフラストラクチャの冗長性を達成するための、地域と高アベイラビリティゾーン経由のレジリエンスが内蔵されています。AWS KMS セキュリティについては、「AWS キー管理サービスのレジリエンス」を参照してください。

詳細については、AWS KMS のマニュアルを参照してください。

Qlik Cloud リージョンにおける CMK オプション

AWS KMS は、テナントがプロビジョニングされているリージョンに応じて、Qlik Cloud の顧客に単一リージョンとマルチリージョンの 2 つの暗号化キーオプションを提供します。災害復旧目的であってもデータの流出を禁止する特定のデータ主権要件があるリージョンでは、Qlik Cloud は AWS KMS からの単一リージョンキーまたはマルチリージョンキーによる CMK の使用をサポートします。

Qlik Cloud ソブリンリージョンでは、災害復旧サービスは提供されません。したがって、顧客管理キーで暗号化されたテナント内のデータを回復するオプションはありません。

特定のデータ主権要件がないリージョンでは、AWS KMS から暗号化キーをプロビジョニングする顧客は、テナントのプライマリリージョンと災害復旧リージョンに一致するマルチリージョンキーを生成する必要があります。マルチリージョンキーにより、テナントプライマリリージョンで災害が発生した場合でもビジネスの継続性が確保され、テナントの災害復旧リージョンへのフェイルオーバーが正常に実行されます。

単一リージョンキーからマルチリージョンキーへの移行

カスタマーマネージドキーは、ディザスターリカバリプロセスをサポートするためにマルチリージョンキーをサポートしています。現在単一リージョンキーを使用している場合は、プライマリリージョンで障害が発生した場合にバックアップリージョンでテナントをシームレスに使用できるように、マルチリージョンキーを作成することをお勧めします。

マルチリージョンキーの作成方法については、「AWS KMS ディザスターリカバリ (DR) のためのマルチリージョンキー」を参照してください。

キーローテーション中に新しいキーを使用すると、マルチリージョンキーのセットアップを使用することが強制されます。

CMK 制限と考慮事項

次のセクションでは、Qlik Cloud の CMK に関する制限事項と注意事項が説明されています。

独自の CMK を使用するようにテナントを構成すると、Qlik 内部 KMS 暗号化を使用したり、別の CMK にキーを変更するよう戻すことができるようになります。
CMK は、外部キープロバイダーとして AWS KMS のみをサポートします。
CMK は、左右対称の暗号化キーのみをサポートします。
CMK は、テナントが存在するリージョンに応じて、単一リージョンキーまたはマルチリージョンキーをサポートします。
カスタマーマネージドキーは、Qlik Mobile Client、データゲートウェイ - 直接アクセス、または Qlik Sense Business で使用できません。

このページは役に立ちましたか?

このページまたはコンテンツにタイポ、ステップの省略、技術的エラーなどの問題が見つかった場合はお知らせください。

こちらにフィードバックをお寄せください