Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Cloud KMS リソース

このページでは、Cloud KMS の各リソースについて説明します。詳細については、リソースの階層をご覧ください。

キー

Cloud KMS 鍵は、1 つ以上の鍵バージョンと鍵のメタデータを含む名前付きオブジェクトです。鍵は、特定のロケーションに関連付けられた 1 つの鍵リングに存在します。

Identity and Access Management（IAM）の権限とロールを使用して、鍵へのアクセスを許可または拒否できます。鍵バージョンへのアクセスを管理することはできません。

鍵を無効化または破棄すると、鍵の各バージョンが無効化または破棄されます。

続くセクションでは、キーのプロパティについて説明します。

コンテキストに応じて、キーのプロパティは異なる形式で表記されます。

Google Cloud CLI または Cloud Key Management Service API を使用する場合、このプロパティは大文字の文字列（SOFTWARE など）で表記されます。
Google Cloud コンソールを使用する場合、このプロパティは、Software のように大文字で始まる文字列で表記されます。

以降のセクションで、適切な形式で各形式を示します。

鍵の種類により、鍵が対称暗号オペレーションで使用されるか、または非対称暗号オペレーションで使用されるかが決まります。

対称暗号化または署名では、データの暗号化と復号、または署名の署名と検証に同じ鍵が使用されます。

非対称暗号化や署名では、鍵は公開鍵と秘密鍵で構成されます。秘密鍵に対応する公開鍵は鍵ペアと呼ばれます。

鍵の種類は、鍵の目的を構成する要素の 1 つであり、鍵の作成後に変更することはできません。

鍵の目的は、対称暗号化 / 復号や非対称署名など、鍵に使用できる暗号オペレーションの種類を示します。目的は、鍵を作成するときに選択します。また、すべての鍵のバージョンで、目的は同じです。鍵の作成後に、鍵の目的は変更できません。鍵の目的の詳細については、鍵の目的をご覧ください。

鍵の保護レベルによって、保存時の鍵のストレージ環境が決まります。保護レベルは次のいずれかです。

鍵の作成後に、鍵の保護レベルを変更することはできません。

鍵には複数の鍵バージョンをアクティブにできます。また、一度に有効にすることもできます。対称暗号鍵にはプライマリ鍵バージョンがあります。これは、鍵バージョンを指定しない場合にデフォルトでデータの暗号化に使用される鍵バージョンです。

非対称鍵にはプライマリバージョンはありません。鍵を使用するときは、バージョンを指定する必要があります。

対称鍵と非対称鍵のどちらにおいても、有効な鍵バージョンを使用してデータの暗号化と復号、または署名の署名と検証を行うことができます。

鍵の各バージョンには、暗号化または署名に使用される鍵マテリアルが含まれています。各バージョンには 1 から始まるバージョン番号が割り当てられます。鍵をローテーションすると、新しいバージョンが作成されます。詳細については、鍵のローテーションをご覧ください。

データの復号や署名の検証には、データの暗号化や署名に使用したものと同じ鍵バージョンを使用する必要があります。鍵バージョンのリソース ID を確認するには、鍵のリソース ID の取得をご覧ください。

個々の鍵バージョンは、他のバージョンに影響を与えることなく、無効化または破棄できます。特定の鍵のすべての鍵バージョンを無効化または破棄することもできます。

鍵バージョンへのアクセスは、鍵に対する権限から独立して制御することはできません。1 つの鍵にアクセス権を付与すると、その鍵の有効なバージョンすべてに対するアクセス権が付与されます。

セキュリティ上の理由から、 Google Cloud プリンシパルは、鍵バージョンによって表される生の暗号鍵マテリアルを表示またはエクスポートできません。代わりに、Cloud KMS がユーザーに代わって鍵マテリアルにアクセスします。

続くセクションでは、鍵バージョンのプロパティについて説明します。

各鍵バージョンには、そのステータスを示す状態があります。通常、鍵の状態は次のいずれかになります。

鍵バージョンは、有効化されている場合にのみ使用できます。破棄された状態以外の鍵バージョンでは、費用が発生します。鍵バージョンの状態と、バージョン間の移行方法の詳細については、