# テナントの暗号化 テナント作成時、Qlik Cloud は複数のセキュリティ レイヤーを使ってデータを保護します。既定では、各テナントが Qlik 暗号化サービスにより管理される一連の暗号化キーを個別に生成することにより、テナントのコンテンツを暗号化して、区別されます。各テナントのキーは、Qlik がサービス間通信をセキュリティ保護するのに使用するキーから区別されます。 Qlik Cloud は、次の暗号化標準を使用します: * 転送中 — TLS 1.2 暗号化 * 保存中 — AES-256-GCM 暗号化 * プラットフォーム内 (指定の IdP で認証された後) — 整合性、信頼性、および非否認性を確保するため署名済みの JSON Web トークン (JWT) 情報メモ組織が Qlik Talend Cloud Premium または Enterprise サブスクリプションを所有している場合、暗号化設定は、Qlik Cloud と Talend Cloud の両方のテナントに適用されます。 ## カスタマー マネージド キー (CMK) Qlik Cloud は、テナント内の保存データ at-rest を保護するために、独自の暗号化キー (BYOK) を利用可能にする カスタマー マネージド キー 機能を提供しています。 テナント管理者は、CMK を使用するようにテナントの暗号化設定を構成します。Qlik Cloud は、次のキー管理サービス (KMS) プロバイダーをサポートしています: * Qlik 内部 KMS (既定) * Amazon Web Services (AWS) KMS 情報メモ * CMK は、テナントに保存されているデータを暗号化します。Qlik Sense Mobile SaaS、データ ゲートウェイ - 直接アクセス、または データ ゲートウェイ - データ移動 製品のデータは暗号化しません。 * CMK は、保存中のデータを暗号化し、転送中のデータは暗号化しません。 * CMK は Qlik Sense Business では使用できません。 ### カスタマー マネージド キー および HIPAA 個人健康情報 (PHI) を取り扱うワークロードを運用する Qlik Cloud テナントにおいては、カスタマー マネージド キー の利用が必須となります。詳細については、「[Qlik の信頼とセキュリティ](https://www.qlik.com/us/trust)」を参照してください。PHI ワークロードを運用するためには、カスタマー マネージド キーを自身のテナントに適用することに同意し、かつ HIPAA ビジネス アソシエイト契約 (BAA) を締結する必要があります。Qlik Cloud は、これらの条件が満たされている場合に限り、1996 年米国 健康保険の相互運用性と説明責任に関する法律 (HIPAA) の規制対象となる個人健康情報（PHI）をホストできます。Qlik Cloud は、顧客による HIPAA 規制要件への対応を支援することはできますが、HIPAA への準拠に関する最終的な責任は、あくまでも顧客側にあります。 ## Qlik Cloud 暗号化アーキテクチャの概要 次の図は、テナントでデータを暗号化する Qlik Cloud 暗号化サービスの概要です。デフォルトでは、Qlik Cloud テナントは、Qlik Cloud の KMS によって生成された暗号化キーを使用してデータを暗号化および復号化します。カスタマー マネージド キー を使用すると、AWS KMS はテナントが使用する暗号化キーを生成します。Qlik Cloud 内のサービスがデータを暗号化または復号化するたびに、暗号化サービスは AWS KMS を呼び出し、顧客管理キーを使用します。 CMK を使った Qlik Cloud 暗号化アーキテクチャ CMK を使った Qlik Cloud 暗号化アーキテクチャ CMKCMK を使った Qlik CloudQlik Cloud 暗号化アーキテクチャ ![キー持参を使ったテナント暗号化アーキテクチャ](https://help.qlik.com/ja-JP/cloud-services/Subsystems/Hub/Content/Resources/Images/ex_BYOK_architecture2.png) ## カスタマー マネージド キー に対する顧客の責任 CMK では、顧客が自分のキーを完全に制御できます。顧客の組織は、以下の領域を含むキーのライフサイクルのすべての側面を作成、維持、管理する責任を負います。 ### AWS KMS のキー セットアップ * AWS アカウントの作成と KMS の使用。 * キーの作成と Identity and Access Management (IAM) 権限とロールに関する AWS KMS キー管理ポリシーの確立、およびキーの作成、無効化、および削除などの関数を誰が実行できるか。 ### AWS KMS のキー管理 テナントで AWS KMS キーを使用して保存中のデータを暗号化するように構成すると、キーの管理について責任が発生します。AWS KMS キーが誤って削除されたり無効化されたりしないように保護することは重要です。Qlik は、これらのキー管理関数とその他に関するプロセスを確立することをお勧めします。これらは顧客管理キーであるため、Qlik Cloud は CMK を無効化または非アクティブ化するのを防ぐことはできません。 * AWS KMS キーの無効化。このアクションは、一時的に Qlik Cloud が AWS KMS がデータ キー (暗号化に使用される) の生成と復号化操作のための API コールを行うことを防ぎます。例えば、スケジュールされたリロードまたは Qlik Cloud の背景で実行され、データの暗号化と復号化が必要なタスクは、キー (またはキーへのアクセス) が無効な状態であれば失敗します。キーを再有効化すると、テナントへのアクセスが再確立されます。 * AWS KMS キーの削除。このアクションは、Qlik Cloudテナントが完全に無効化されます。キーの削除をスケジュールすると、テナントはすぐに無効モードに入ります。これにより、キーへのアクセスが防止され、テナントがロックされます。AWS KMS には、キーの削除について広範な制御があり、ニーズに合わせてカスタマイズできます。例えば、キーが削除されるまでの待機時間を設定して、アラートを使用し、待機時間中に削除をキャンセルできます。 * AWS KMS のキーの回転。キーを削除する際は、AWS KMS [自動キー回転] オプションを選択できます。これにより、1 年間に 1 度、KMS キーの新しい暗号化素材が生成されます。AWS KMS は、暗号化素材の過去のバージョンをすべて保存しているため、その KMS キーで暗号化されたデータならどれでも復号化できます。AWS KMS は、KMS キーが削除されるまでは、回転されたキー素材を削除しません。AWS KMS は、適切なキー素材を使って透過的に復号化するため、回転された KMS キーを安全に使用しても、Qlik Cloudカスタマー マネージド キー 統合に影響することはありません。これは、完全に新しい AWS キーおよび、その新しいキーに Qlik CMK キー プロバイダーを変更し、テナントの完全な再暗号化を強制する操作とは異なることに注意してください。「[テナント暗号化の構成](https://help.qlik.com/ja-JP/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-configure-tenant-encryption.htm)」を参照してください。 * キーの使用状況の監査。暗号化操作を監視するために、AWS CloudTrail などの KMS キー監視ツールを使用することを検討してください。 * キーへのアクセスの制御。キー ポリシーをセキュリティ保護して、不要なアクセスまたは変更を阻止します。 * キーの可用性の確保。キーがアクティブな状態を維持および徹底します。アクセスの喪失を招きかねないアクションを防ぎます。他の AWS サービスと同様、AWS KMS へのアクセスが中断された場合、テナント データは利用できません。AWS KMS には、インフラストラクチャの冗長性を達成するための、地域と高アベイラビリティ ゾーン経由のレジリエンスが内蔵されています。AWS KMS セキュリティについては、「[AWS キー管理サービスのレジリエンス](https://docs.aws.amazon.com/kms/latest/developerguide/disaster-recovery-resiliency.html)」を参照してください。 詳細については、AWS KMS のマニュアルを参照してください。 * [キーの管理](https://docs.aws.amazon.com/kms/latest/developerguide/getting-started.html) * [認証とアクセス制御](https://docs.aws.amazon.com/kms/latest/developerguide/control-access.html) * [セキュリティ](https://docs.aws.amazon.com/kms/latest/developerguide/kms-security.html) ### Qlik Cloud リージョンにおける CMK オプション AWS KMS は、テナントがプロビジョニングされているリージョンに応じて、Qlik Cloud の顧客に単一リージョンとマルチリージョンの 2 つの暗号化キー オプションを提供します。災害復旧目的であってもデータの流出を禁止する特定のデータ主権要件があるリージョンでは、Qlik Cloud は AWS KMS からの単一リージョン キーまたはマルチリージョン キーによる CMK の使用をサポートします。 警告メモQlik Cloud ソブリン リージョンでは、災害復旧サービスは提供されません。したがって、顧客管理キーで暗号化されたテナント内のデータを回復するオプションはありません。 特定のデータ主権要件がないリージョンでは、AWS KMS から暗号化キーをプロビジョニングする顧客は、テナントのプライマリ リージョンと災害復旧リージョンに一致するマルチリージョン キーを生成する必要があります。マルチリージョン キーにより、テナント プライマリ リージョンで災害が発生した場合でもビジネスの継続性が確保され、テナントの災害復旧リージョンへのフェイルオーバーが正常に実行されます。 ### 単一リージョン キーからマルチリージョン キーへの移行 カスタマー マネージド キー は、ディザスター リカバリ プロセスをサポートするためにマルチリージョン キーをサポートしています。現在単一リージョン キーを使用している場合は、プライマリ リージョンで障害が発生した場合にバックアップ リージョンでテナントをシームレスに使用できるように、マルチリージョン キーを作成することをお勧めします。 マルチリージョン キーの作成方法については、「[AWS KMS ディザスターリカバリ (DR) のためのマルチリージョン キー](https://help.qlik.com/ja-JP/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-configure-tenant-encryption.htm#Multi)」を参照してください。 情報メモキー ローテーション中に新しいキーを使用すると、マルチリージョン キーのセットアップを使用することが強制されます。 ## CMK 制限と考慮事項 次のセクションでは、Qlik Cloud の CMK に関する制限事項と注意事項が説明されています。 * 独自の CMK を使用するようにテナントを構成すると、Qlik 内部 KMS 暗号化を使用したり、別の CMK にキーを変更するよう戻すことができるようになります。 * CMK は、外部キー プロバイダーとして AWS KMS のみをサポートします。 * CMK は、左右対称の暗号化キーのみをサポートします。 * CMK は、テナントが存在するリージョンに応じて、単一リージョンキーまたはマルチリージョンキーをサポートします。 * カスタマー マネージド キー は、Qlik Mobile Client、データ ゲートウェイ - 直接アクセス、または Qlik Sense Business で使用できません。