クロステナンシのOCI KMSキーを使用したストレージ・リソースの暗号化 (2026/07/23)

クロステナンシのOCI KMSキーを使用したストレージ・リソースの暗号化 (2026/07/23)

https://www.ateam-oracle.com/using-cross-tenancy-oci-kms-keys-to-encrypt-storage-resources

投稿者：Kiran Thakkar | Master Principal Cloud Architect

テナントAのストレージサービスインスタンスは、テナントBのKMSキーを使用します。

はじめに

Oracle Cloud Infrastructure (OCI) の顧客は、運用上の所有権と鍵の所有権を分離する必要がある場合がよくあります。一般的な例としては、独立系ソフトウェアベンダー (ISV) が独自のテナントでストレージリソースを運用し、顧客が別のテナントで暗号化キーを管理するというケースが挙げられます。

この記事では、ある OCI テナント内のストレージ リソースを、別の OCI テナントに存在する Vault キーで暗号化できるように、テナント間アクセスを構成する方法について説明します。サービスとキーが同じリージョンにある場合、オブジェクト ストレージ バケットとブロック ボリューム リソースにも同様のパターンを使用できます。

シナリオ

この例では：

  • A社はISV（独立系ソフトウェアベンダー）またはサービスプロバイダーです。同社はOCIテナント内でストレージリソースをホストおよび運用しています。
  • 顧客BはA社が提供するサービスを利用しており、暗号化キーの所有権を保持したいと考えている。
  • A社には、顧客Bが使用するストレージリソースを管理する管理者グループが存在する。
  • 顧客Bは、これらのストレージリソースを暗号化するために使用されるVaultキーを作成し、所有します。

目標は、A社のストレージ管理者が、B社のVaultキーをA社のテナント内で管理されているストレージリソースに関連付けることができるようにすることであり、同時にB社は自社のテナント内でキーのライフサイクルを引き続き制御できるようにすることです。

参考値

プレースホルダー説明
テナントAA社のテナントでは、ストレージリソースは
テナントB顧客Bのテナント。OCI Vaultキーが作成および管理される場所。
ストレージ管理者チームA社のテナント内でストレージリソースを管理するIAMグループ。
StorageAdminTeamGroupOCIDFromTenancyAA社のテナントにおけるStorageAdminTeamグループのOCID。
顧客BコンパートメントOCID顧客Bのために管理されているストレージリソースを含む、A社のテナント内の区画のOCID。
Kms_key_idこのユースケースのために顧客Bのテナントで作成されたVaultキーのOCID。

前提条件

  1. StorageAdminTeamグループを含むA社のテナント内のIDドメインは、アクセスが許可されるターゲットリージョンに複製されます。
  2. ストレージリソースとVaultキーは同じOCIリージョンに配置されています。これにより、リージョン間の依存関係やレイテンシの問題を回避できます。
  3. A社とB社はどちらも、ストレージリソースとキーが使用されるリージョンに加入しています。
  4. クロステナント OCI KMS キー アクセス 14 ページ 顧客 B は Vault キーを作成し、キー OCID を取得しました。
  5. A社は、顧客Bの鍵で暗号化するストレージリソースが格納されている区画を特定した。

A社のテナンシーにおける方針

クロステナントポリシーの観点から見ると、A社のテナントがソーステナントとなります。これらのポリシーは、A社のストレージ管理者グループが顧客B社のテナントでキーを使用および関連付けることを承認するものです。

クリップボードにコピーされました
エラー: コピーできませんでした
Define tenancy TenancyB as <CustomerB_Tenancy_OCID>
Endorse group StorageAdminTeam to use key-delegate in tenancy TenancyB
Endorse group StorageAdminTeam to use keys in tenancy TenancyB
Endorse group StorageAdminTeam to associate buckets in compartment <CustomerBCompartmentOCID> with keys in tenancy TenancyB
Endorse group StorageAdminTeam to associate volumes in compartment <CustomerBCompartmentOCID> with keys in tenancy TenancyB

顧客Bのテナンシーにおけるポリシー

顧客Bのテナントは、クロステナントポリシーの観点からターゲットテナントです。これらのポリシーは、会社Aの管理者グループを許可し、リージョンオブジェクトストレージサービスとブロックストレージサービスが指定されたキーを使用することを許可します。たとえば、リソースがサンノゼリージョンにある場合、オブジェクトストレージサービスのプリンシパルは objectstorage-us-sanjose-1 となります。

クリップボードにコピーされました
エラー: コピーできませんでした
Define tenancy TenancyA as <CustomerA_Tenancy_OCID>
Define group StorageAdminTeam as <StorageAdminTeamGroupOCIDFromTenancyA>
Admit group StorageAdminTeam of tenancy TenancyA to use key-delegate in tenancy
Admit group StorageAdminTeam of tenancy TenancyA to read keys in tenancy
Allow service objectstorage-<region_identifier> to use keys in tenancy where target.key.id = '<Kms_Key_Id>'
Allow service blockstorage to use keys in tenancy where target.key.id = '<Kms_Key_Id>'
Admit group StorageAdminTeam of tenancy TenancyA to associate keys in tenancy with buckets in tenancy TenancyA
Admit group StorageAdminTeam of tenancy TenancyA to associate keys in tenancy with volumes in tenancy TenancyA

実装オプション

テナント間ポリシーが設定されると、A社はサポート対象のストレージリソースを作成または更新する際に、顧客BのキーOCIDを提供できるようになります。

オブジェクトストレージ用のTerraform

OCI Terraformプロバイダーは、oci_objectstorage_bucketリソースのkms_key_id引数をサポートしています。上記のポリシーが構成されている場合、その値は顧客BのテナントのVaultキーのOCIDになります。
参照：https://registry.terraform.io/providers/oracle/oci/latest/docs/resources/objectstorage_bucket

クリップボードにコピーされました
エラー: コピーできませんでした
resource "oci_objectstorage_bucket" "customer_bucket" {
    compartment_id = var.compartment_ocid
    namespace = var.object_storage_namespace
    name = var.bucket_name
    kms_key_id = var.kms_key_id
}

ブロックボリューム用のTerraform

OCI ブロックボリュームのプロビジョニングでは、KMS キー OCID の指定もサポートされています。クロス テナンシー IAM ポリシーが有効になっている場合、企業 A は暗号化ボリュームをプロビジョニングする際に、顧客 B のテナンシーからキー OCID を提供できます。
参照: https://registry.terraform.io/providers/oracle/oci/latest/docs/data-sources/core_volumes

オブジェクトストレージとブロックボリューム用のOCI CLI

既存のオブジェクトストレージバケットとブロックボリュームを顧客BのKMSキーで更新するには、OCI CLIを使用します。

クリップボードにコピーされました
エラー: コピーできませんでした
oci os bucket update --bucket-name "$BucketName" --kms-key-id "$Kms_Key_Id"
oci bv volume-kms-key update --volume-id "$Volume_Id" --kms-key-id "$Kms_Key_Id"
oci bv boot-volume-kms-key update --boot-volume-id "$Boot_Volume_Id" 
--kms-key-id "$Kms_Key_Id"

このコマンドは、承認ポリシーとアクセスポリシーによって、呼び出し元と地域オブジェクトストレージサービスが指定されたキーを使用することが許可されている場合にのみ成功します。

運用上の注意事項

  • 鍵の所有権とストレージ管理の責任は明確に分離しておく必要があります。鍵は顧客Bが所有し、ストレージリソースはA社が運用します。
  • ポリシーの適用範囲は可能な限り狭くしてください。可能な限り、特定の区分、グループ、および主要なOCIDを使用してください。
  • ポリシーを適用する前に、リージョン固有のオブジェクトストレージサービスプリンシパルを検証してください。
  • 本番環境のワークロードに適用する前に、非本番環境のバケットまたはボリュームを使用して構成をテストしてください。
  • 顧客Bのテナント内での操作は、会社Aのテナント内の暗号化ストレージリソースに影響を与える可能性があるため、鍵のローテーション、鍵の無効化、およびインシデント対応に関する運用プロセスを文書化してください。

まとめ

OCIのクロステナントポリシーにより、テナント境界を越えて顧客が管理する暗号化キーをサポートすることが可能になります。適切な承認および承認ポリシーを設定することで、ISVは自社のテナント内でストレージリソースを運用しながら、顧客が暗号化に使用するKMSキーの管理権を保持できるようにすることができます。
この設計は、顧客がキーの所有権、コンプライアンス境界、または職務分掌をより厳密に管理する必要がある場合に特に有効です。同時に、別のOCI顧客がホストするマネージドサービスを利用することも可能です。

コメント

コメントを投稿

このブログの人気の投稿

Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20)

イメージ
Oracle Database 19cサポート・タイムラインの重要な更新 (2024/11/20) https://mikedietrichde.com/2024/11/20/important-update-to-oracle-database-19c-support-timelines/ 長い沈黙は、私が隠れているという意味ではありません。つまり、今はとても忙しいということです。そして、より少ない旅行で、私はあなたのコメントにもブログと返信するより多くの時間を持っていることを願っています。それでも、Oracle Database 19cサポート・タイムラインの非常に重要な更新について説明します。 * 更新された内容 2024年11月19日現在、Oracle Database 19cのサポート・タイムラインが調整されています。 MOSノート: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールを見ると、新しい日付が表示されます。 Premier Support、2029年12月31日まで 2030年1月1日から2032年12月31日までの拡張サポート 2033年1月1日から2034年12月31日までのアップグレード・サポート これは知ることがとても大切です。 他のリリースの更新はありますか。 MOSノートの終わりにある変更ログ: 742060.1 – 現在のデータベース・リリースのリリース・スケジュールでは、Oracle Database 21cの最新の更新も確認できます。このリリースのPremier Support期間は、2027年7月31日まで延長されました。 また、Oracle Database 23aiのパッチ適用終了日は2032年12月31日に設定されています。 Lifetime Support Policy 更新は、Oracle Technology Productsの Oracle Lifetime Support Policy (6ページ)でも確認できます。 From: Oracle Lifetime Support Policy for Oracle Technology Product s – page 6 – Nov 19, 2024 特に、次の表に示す制限事項に注意してください。 Oracle Database 1...
続きを読む

ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13)

イメージ
ミリ秒の問題: BCCグループとOCIが市場データ・パフォーマンスを再定義する方法(AWSに対するベンチマークを使用) (2025/11/13) https://blogs.oracle.com/cloud-infrastructure/post/milliseconds-matter-bcc-group-and-oci-vs-aws 投稿者： Steven Riley | Senior Cloud Architect William Bierds | Business Analyst and Systems Engineer - BCC Group International Travis Liles | Master Principal Cloud Architect Puru Patel | Cloud Architect - FSI これは、BCC グループと Oracle Cloud Infrastructure (OCI) 間の市場データ パートナーシップを紹介するブログ シリーズの第 2 部です。   はじめに 金融市場データアプリケーションは、トレーダー、金融機関、そして市場参加者が情報に基づいた意思決定を行えるよう、リアルタイムデータを提供することで、取引エコシステムにおいて重要な役割を果たしています。 前回のブログ で述べたように、取引環境において最適なパフォーマンスを確保するには、市場データを超低レイテンシかつ高い信頼性で配信する必要があります。 今日の急速に変化する金融市場において、クラウドは市場データ・アプリケーションにとって強力な推進力として台頭しています。適切なネットワークとインフラストラクチャがあれば、企業は実行時間の短縮、可用性の向上、そして堅牢なセキュリティを実現できます。しかし、企業によるクラウド導入は遅れており、ワークロードのクラウド移行計画を中止しているケースもあります。そこで、BCCグループとOracle Cloud Infrastructure（OCI）のパートナーシップが注目されています。 BCCグループは、主力市場データアプリケーションであるONE PlatformをOCI上に導入しました。このブログでは、以下の点について説明します。 このパートナーシップがなぜこれほど相乗効果をもたらすのかを探る OC...
続きを読む

OCI GoldenGate を使用する adminclient - 基本操作 (2023/04/01)

イメージ
OCI GoldenGate を使用する adminclient - 基本操作 (2023/04/01) https://medium.com/oracledevs/adminclient-with-oci-goldengate-basic-operations-jdio-1a50e31242e0 投稿者： Data Voyage by Jigar Doshi 古いスタイルのコマンド ライン GG インターフェイスに戻ります。スクリプトと端末の機能を使用して OCI GG を操作および管理します。 Oracle GoldenGate (OGG) の長年のユーザーは、ggsciコマンドライン ユーティリティの使用に非常に慣れています。これは、従来の OGG を管理するための唯一のオプションでした。OGG マイクロサービス アーキテクチャ (OGG MA) では、adminclientユーティリティが導入されました。これには、従来の ggsci ユーティリティよりもいくつかの利点と機能強化がありました。 注 — OGG クラシックアーキテクチャは、21c 以降では非推奨です。OGG MAは前進する道です OCI は、クラウドネイティブサービスとして OGG MA を提供します。これは、OCI GGデプロイメントでadminclientを使用できることを意味します。何らかの理由で、これを追求しているユーザーはめったにいません。 この投稿では、Web コンソールで adminclient を使用する利点について説明します。次のいずれかの方法で adminclient を使用できます。 OCI Cloud Shellの使用。adminclient はデフォルトでプリインストールされています。OCI GG コンソール ページの[Launch Admin Client]ボタンを使用することもできます。 OGG MA ソフトウェアをローカルにインストールします。 いずれの場合も、OCI GG エンドポイント (URL) への NW 接続が前提条件です。製品チームには、これを行う方法に関する優れたブログ投稿があります。 この記事では、Cloud Shellを使用してプリインストールされた adminclient を使用します。 注 - 「起動」ボタンを使用して OCI GG コンソー...
続きを読む