EntrustのKeyControl（旧HyTrust製品）は、VMwareの認定試験に合格したKMSの一つであり、FIPS140-2 レベル１準拠の鍵管理ソフトウェアで、様々な環境の暗号鍵を一元管理することができます。 昨今では、オンプレミス環境だけでなく、プライベート/パブリッククラウドにデータを配置、運用したいというニーズも増えてきましたが、クラウドの利用はセキュリティを犠牲にしてしまうのではないか、とお考えの方も多いと思います。 クラウドセキュリティでも一番大切なのは暗号鍵の管理です。 Entrust KeyControlでは、新機能であるBYOK機能によって、クラウドネイティブの暗号化機能利用時にも、クラウドプロバイダー主動の暗号鍵管理ではなく、ユーザ主動の暗号鍵管理が行えるようになりました。 これによって、クラウド利用時のセキュリティをより向上させることができます。 このウェビナ―では新機能のBYOKやKeyControlのアーキテクチャのほか、メール通知やクラスタ構成などの便利機能もご紹介。 簡単に堅牢なセキュリティを利用できる特徴をご案内します。 また、機密情報を取り扱う組織向けに、KeyControlと連携することで、クラウドでもFIPS140-2 レベル3に準拠できるハードウェア・セキュリティ・モジュール、nShield HSMをご紹介します。

1. 2021年12月3日(金) 15:00~
鍵発行、アップロード
ローテション、削除
Entrust KeyControl
＆ nShield HSM
1ランク上のセキュリティレベルを実現
クラウドでもユーザ主動の鍵管理!?
株式会社クライム
シニアエンジニア
飯尾 旭

2. ENTRUST KeyControl 製品紹介
講師：株式会社クライム
あらゆるワークロードの暗号化を手間なく一元管理できる
ENTRUST KeyControlをご紹介します。
ENTRUST nShield HSM 製品紹介
講師：エントラストジャパン株式会社 DPS事業本部
暗号鍵をより安全に、確実に保護できる
ENTRUST nShield HSMをご紹介します。
1ランク上のセキュリティレベルを
~クラウドでもユーザ手動の鍵管理!?~

3. 株式会社クライム
• お問い合わせ
東京：03-3660-9336
大阪：06-6147-8201
https://www.climb.co.jp/soft/contact/contact.php
• 主な事業内容
ソフトウェアの販売とサポート
データ保護、活用に強み

4. アジェンダ
•KeyControlとは？
•オンプレミス環境の鍵管理
•クラウド環境の鍵管理

5. KeyControlとは？

6. KeyControlとは？
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション

7. KeyControlとは？：概要
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• VMware社認定のKMS (Key Management Server)

8. KeyControlとは？：概要
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• KMIP (Key Management Interoperability Protocol)に準拠した通信

9. KeyControlとは？：操作
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• コマンド操作不要で、Webコンソールから簡単操作

10. KeyControlとは？：構成
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• OVFテンプレートから簡単デプロイ、構成時間15分 (ISOもあり)
必要リソース：
2CPU
8GB RAM
60GB Disk

11. KeyControlとは？：構成
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• KeyControl組み込み機能で、複数KeyControlでクラスタ構成
KeyControl KeyControl
常に設定、鍵情報を同期

12. KeyControlとは？：セキュリティ
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• 綿密な操作ログ収集、問題があればアラート出力
• メール / Syslog Server / SNMPで通知可能

13. KeyControlとは？：セキュリティ
暗号鍵管理に特化した
仮想アプライアンス・セキュリティソリューション
• 堅牢化されたアプライアンスOSを提供(File System暗号化、SSH無効)
決められた操作のみ受け付け
・ログ取得
・クラスタ参加
・シャットダウン、再起動

14. KeyControl
あらゆる環境の暗号鍵を管理

15. オンプレミス環境の
鍵管理

16. Confidential and Proprietary
VMware暗号化
vSAN暗号化
vTPM
VMware認定KMS

17. Confidential and Proprietary
VMware暗号化
vSAN暗号化
vTPM
VMware認定KMS

18. vSphere暗号化、vSAN暗号化の事前準備
HyTrust: HyTrust KeyControlを
仮想環境へデプロイ
証明書の発行
01.
VMware: 暗号化を行いたい
vCenterにKeyControlを登録
02.
VMware: vSphere Web Client
からvSphere暗号化、vSAN
暗号化をチェック
03.
STEP 1 STEP 2
STEP 3

19. ESX Host
VM 暗号化モジュール
VM
Datastore
VMDK
- KEK id
DEK
コンテンツ
vSphereネイティブ暗号化のアーキテクチャ
Confidential and Proprietary
KeyControl
KMIP
Object Store
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
1. 管理者が暗号化ポリシーを作成し、VMへ適用
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCneterのDEKは、HyTrust KeyControlのKEKによって暗号化

20. VMware vSAN暗号化のアーキテクチャ
Confidential and Proprietary
コンテンツ
KeyControl
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
vSAN Datastore
DEK DEK DEK
KMIP
Object Store
1. 管理者がvSAN暗号化を有効にする
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCenterのDEKは、HyTrust KeyControlのKEKによって暗号化
4. vSAN再起動時に、ESXiホストがHyTrust KeyControlへKEKリク
エスト

21. 導入事例
• 某金融業様
VMware標準暗号化
• 某製造業様
vSAN暗号化
KeyControl
データセンター
VM
vSphere ESXi
vCSA
KeyControl
本番サイト 開発サイト
管理サイト
vSAN Datastore vSAN Datastore

22. Confidential and Proprietary
VMware暗号化
vSAN暗号化
vTPM
VMware認定KMS

24. Windows 11を仮想環境で使いたい！
要件 詳細
プロセッサ 1 ギガヘルツ (GHz) 以上で 2 コア以上の64 ビット互換プロセッサまたは
System on a Chip (SoC)。
メモリ 4 ギガバイト (GB)。
ストレージ 64 GB 以上の記憶装置。
システムファームウェア UEFI、セキュア ブート対応。
TPM トラステッド プラットフォーム モジュール (TPM) バージョン 2.0。
グラフィックカード DirectX 12 以上 (WDDM 2.0 ドライバー) に対応。
ディスプレイ 対角サイズ 9 インチ以上で 8 ビット カラーの高解像度 (720p) ディスプレイ。
参考：https://www.microsoft.com/ja-jp/windows/windows-11-specifications
• VDI(仮想デスクトップ)基盤でも対応が必要！

25. デフォルトでは、TPMの項目は存在しない
• vTPMをVMに追加していない場合、要件クリアできずインストール不可

26. vTPM連携の事前準備
HyTrust: HyTrust KeyControlを
仮想環境へデプロイ
証明書の発行
01.
VMware: 暗号化を行いたい
vCenterにKeyControlを登録
02.
VMware：暗号化対象VMに
vTPMモジュールを追加
03.
STEP 1 STEP 2
STEP 3

27. ESX Host
VM
vTPM連携時のアーキテクチャ
KeyControl
KMIP
Object Store
vCenter
VMware Certificate
Authority
Or 3rd Party CA
KMS List
HyTrust
BLUE = HyTrust Components GREEN = VMware/Customer Components
1. vCenterはHyTrust KeyControlから鍵を要求
2. vTPMデバイスが追加されると、VMCAからエンドースメント・キー・
サーティフィケートが発行
3. VMware Certificate Authority（VMCA）のキーペアは、サードパーティのCA
（Certificate Authority）で置き換えることができます。
4. ゲストOSがvTPMに書き込んだデータはすべて.nvramファイルに保存され
ます。
5. vTPMはvMotionに影響しません。
VM Home Files
.nvram file
Parts of VMX file
Sw ap
.vmss
.vmsn
namespacedb
DeployPackage
vTPM
Endorsement Key
Certificate
Windows 11
注目

28. KeyControl + vTPM = Windows 11が仮想環境で使える！
• KeyControlとvCenterを連携することで、vTPMがVMに追加できる

29. クラウド環境の
鍵管理

30. クラウドでのセキュリティ担保は？
• データ保護(バックアップや暗号化)はユーザの責任範囲
• クラウドプロバイダー側でもフルマネージド型鍵管理サービス
を提供や、暗号化機能も提供している

31. クラウドでのセキュリティ担保は？
• AWSマネージド型キー内に、リソースごとに1つの暗号鍵が用意
されている

32. クラウドでのセキュリティ担保は？
• クラウドネイティブの鍵管理機能で十分か？
⇒鍵再生成、削除はできる？
ローテションは各クラウドで固定？
暗号化対象ごとに同じキーを使用？
クラウド事業者側の操作ミス時にどうなるの？
• クラウドにKeyControlを構成する？
⇒暗号化対象と同じ環境に構築して本当にいいのか？
KeyControl自体をスナップショット取られてたら、
復元されてしまう？
柔軟に、ユーザ主動で管理できないか？

33. そんなときには
Bring Your Own Key

34. BYOKについて
• KeyControlへクラウド(現在はAWSのみ)の認証情報を入力
• KeyControlが独自生成した暗号鍵を、クラウドへ持ち込み
• クラウドプロバイダー主動ではなく、ユーザ主動に
• ユーザが決めた、キーローテションを実現
• ハイブリッド環境でも、単一コンソールで暗号鍵を管理
NEW
鍵発行、アップロード
ローテション、削除
Entrust KeyControl
＆ nShield HSM

35. ユーザ作成(KeyControl)の暗号鍵で、暗号化
• AWSマネージドではなく、カスタマー管理型キー 項目に表示

36. ユーザ作成(KeyControl)の暗号鍵で、暗号化
• 各種AWSリソース暗号化時に、BYOKした暗号鍵を指定するだけ

37. 評価版、日本語ドキュメントをご用意しています
30日間無料評価版(機能制限なし)
https://www.climb.co.jp/soft/hytrust/download/
日本語ドキュメント
https://www.climb.co.jp/soft/hytrust/document/
詳細情報・お見積り・打ち合わせ希望
https://www.climb.co.jp/soft/hytrust/contact/
東京本社 Tel : 03-3660-9336
大阪営業所 Tel : 06-6147-8201