契約データの暗号化

さらに、管理プレーンからランタイムプレーンにダウンロードされる契約データは、デフォルトで暗号化されます。契約データには、ランタイムプレーンが API プロキシを処理するために必要なプロキシバンドルやその他のデータが含まれます。以下に説明するように、このデータの暗号鍵をオーバーライドファイルで提供する必要があります。

デフォルトでは、次のデータは暗号化されずに Hybrid ランタイムプレーンに保存されます。

鍵管理システム（KMS）データ
Key-Value マップ（KVM）データ
キャッシュデータ

KMS、KVM、またはキャッシュの暗号化を有効にするには、Base64 でエンコードされた鍵をオーバーライドファイルで提供する必要があります。この鍵は Kubernetes Secret としてランタイムプレーンに保存され、これを使用してデータが AES-128 標準暗号化で暗号化されます。これらの鍵はユーザーの管理下にあります。つまり、Hybrid 管理プレーンがこれらの鍵を認識することは決してありません。

このトピックでは、KMS、KVM、キャッシュデータの暗号化を有効にする方法について説明します。

暗号鍵のスコープ

KMS、KVM、キャッシュの暗号鍵にはスコープがあります。たとえば、KMS 鍵のスコープは「組織」です。つまり、この鍵は組織全体の KMS データの暗号化に使用されます。各鍵タイプのスコープを次の表に示します。

暗号鍵	スコープ
KMS	組織のみ
KVM	組織または環境
キャッシュ	環境のみ

下位互換性に関する注意事項

Hybrid の初期インストール時に暗号鍵を提供しなかった場合、KMS、KVM、キャッシュのデータエントリはランタイムプレーンへの保存時に暗号化されません。インストール後に鍵を提供して暗号化を有効にした場合、既存のデータは非暗号化状態のままですが、その後追加されたデータは暗号化されます。暗号化されていないデータと暗号化された新しいデータが混在した状態でも、システムは正常に機能し続けます。

KMS データの暗号化

組織に保存されているコンシューマシークレットを暗号化できます。デフォルトでは、コンシューマシークレットは暗号化されずに保存されます。コンシューマシークレットを暗号化するには、オーバーライドファイルに kmsEncryptionKey プロパティを追加し、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードしたものを指定します。コンシューマシークレットは、KMS データの中で唯一暗号化できるデータです。その他すべての KMS データは暗号化されずに保存されます。

KMS 暗号鍵のスコープ

KMS 暗号鍵のスコープは「組織」です。つまり、この鍵はある組織内に存在するすべてのコンシューマシークレットの暗号化に使用されます。

KMS の暗号化を有効にする

KMS の暗号化を有効にするには、以下に説明するように、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードしたものを暗号鍵としてオーバーライドファイルに追加する必要があります。

Hybrid をインストールした後に鍵を追加または変更する場合は、その変更を適用するために runtime と mart の両方のコンポーネントを再作成する必要があります。

Base64 でエンコードされた鍵を作成します。詳細については、エンコードされた鍵の作成方法をご覧ください。
次のように、エンコードされた鍵をオーバーライドファイルに追加します。kmsEncryptionKey プロパティは組織スコープのプロパティです。YAML ファイルでは、これは最上位エンティティになるため、インデントしないでください。
```
    org: hybrid

    kmsEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=
    ...
    
```
kvmEncryptionKey プロパティを追加した後、apigeectl apply を使用して変更をクラスタに適用します。

KVM の暗号化

デフォルトでは、KVM データは暗号化されずに保存されます。これを暗号化するには、オーバーライドファイルに kvmEncryptionKey プロパティを追加し、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードしたものを指定する必要があります。Apigee Edge で KVM がどのように使用されるかについては、Key-Value マップの使い方をご覧ください。

KVM 暗号鍵のスコープ

KVM データの暗号化に使用される鍵は、KVM のスコープで保存されます。たとえば、組織内のすべての KVM データを 1 つの鍵で暗号化するには、組織レベルでその鍵を保存します。環境スコープの KVM のデータを暗号化するには、以下に説明するように、環境内にその鍵を保存します。

KVM ポリシーで apiproxy または policy（API プロキシリビジョン）のスコープが指定されている場合、そのデータの暗号化には組織レベルの鍵が使用されます。

KVM の暗号化を有効にする

KVM の暗号化を有効にするには、以下に説明するように、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードしたものを暗号鍵としてオーバーライドファイルに追加する必要があります。KVM の暗号鍵は組織または環境スコープで追加できます。

Base64 でエンコードされた鍵を作成します。詳細については、エンコードされた鍵の作成方法をご覧ください。
次のように、エンコードされた鍵をオーバーライドファイルに追加します。kvmEncryptionKey プロパティは組織または環境スコープで指定できます。
組織レベルの例: 次の例では、KVM 暗号鍵を組織レベルで追加しています。kvmEncryptionKey プロパティはインデントされていないことに注意してください。
```
    org: hybrid

    kvmEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=
    ...
```
環境レベルの例: 環境スコープで KVM の暗号化を有効にするには、オーバーライドファイル内の環境の定義（すなわち、envs の下）に kvmEncryptionKey プロパティを追加します。環境が複数ある場合は、各環境に固有の鍵を指定します。次に例を示します。
```
envs:
      - name: test
        sslCertPath: /Users/myhome/ingress.crt
        sslKeyPath: /Users/myhome/ingress.key
        hostAlias: foo-test.mydomain.net
        kvmEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=
      - name: prod
        sslCertPath: /Users/myhome/ingress.crt
        sslKeyPath: /Users/myhome/ingress.key
        hostAlias: foo-test.mydomain.net
        kvmEncryptionKey: ekt5U3YkQFpje0d1KVg5Iwo=
```
kvmEncryptionKey プロパティを追加した後、apigeectl apply を使用して変更をクラスタに適用します。

キャッシュの暗号化

キャッシュ暗号鍵のスコープ

キャッシュデータの暗号化に使用される鍵は常に環境スコープで保存されます。ある環境にデプロイされたすべてのプロキシは、同じ鍵を使用してキャッシュデータを暗号化します。

キャッシュの暗号化を有効にする

キャッシュの暗号化を有効にするには、以下に説明するように、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードしたものを暗号鍵としてオーバーライドファイルに追加する必要があります。

Base64 でエンコードされた鍵を作成します。詳細については、エンコードされた鍵の作成方法をご覧ください。

次のように、エンコードされた鍵をオーバーライドファイルに追加します。cacheEncryptionKey プロパティは環境スコープにする（envs の下に配置する）必要があります。環境が複数ある場合は、各環境に固有の鍵を指定します。次に例を示します。

envs:
      - name: test
        sslCertPath: /Users/myhome/ingress.crt
        sslKeyPath: /Users/myhome/ingress.key
        hostAlias: foo-test.mydomain.net
        cacheEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=
      - name: prod
        sslCertPath: /Users/myhome/ingress.crt
        sslKeyPath: /Users/myhome/ingress.key
        hostAlias: foo-test.mydomain.net
        cacheEncryptionKey: ekt5U3YkQFpje0d1KVg5Iwo=

cacheEncryptionKey プロパティを追加した後、apigeectl apply を使用して変更をクラスタに適用します。

例

KMS データ（組織スコープ）を暗号化し、テスト環境で KVM データとキャッシュデータを暗号化します。

    org: hybrid

    kvmEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=

    envs:
      - name: test
        sslCertPath: /Users/myhome/ingress.crt
        sslKeyPath: /Users/myhome/ingress.key
        hostAlias: foo-test.mydomain.net
        cacheEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=
        kvmEncryptionKey: YXo0UyRuRSg1dUVnPTU7Rwo=

エンコードされた鍵の作成方法

KVM、KMS、キャッシュの暗号化には、適切な形式の Base64 エンコード鍵が必要です。契約暗号鍵を追加するで説明されているように、契約暗号化を構成する場合にも同じ形式の鍵が必要です。これらの目的に使用する鍵は、次の手順に従い、長さ 16、24、または 32 バイトの文字列を Base64 でエンコードして作成する必要があります。

長さが 16、24、または 32 バイトのランダムな文字列を作成します。たとえば、次のようなランダムに生成された 16 バイトの文字列を使用します。
```
az4S$nE(5uEg=5;G
```
この文字列をファイルに保存します。次に例を示します。
```
printf '%s' 'az4S$nE(5uEg=5;G' > mystring.txt
```

この文字列を Base64 でエンコードします。次に例を示します。

openssl base64 -in mystring.txt -out my-key.txt

cat my-key.txt
      YXo0UyRuRSg1dUVnPTU7Rwo=

作成された鍵を、オーバーライドファイル内の KMS、KVM、キャッシュ、契約の暗号化構成で指定します。