Entrust | KeyControl（キーコントロール）| 東京エレクトロンデバイス

KeyControl製品は、「KeyControl Compliance Manager」と「KeyControl Vault」の2つの仮想アプライアンスによって構成されています。それぞれクラスタ構成(Vault:2ノード、Compliance Manager:3ノード)が推奨となります。

KeyControl Compliance Manager

Vaultと共に必須の仮想アプライアンスです。鍵管理やセキュリティポリシーの統合管理や様々なセキュリティ規格のコンプライアンス管理、セキュリティインシデントの管理を行います。

KeyControl Vault

実際に暗号化や鍵管理を行う仮想アプライアンスです。独自の分散型Vaultアーキテクチャを採用しており、機能ごとのVaultを作成すると管理用URLが発行されます。データベースの暗号化、VMWare仮想マシンの暗号化、シークレット管理、パブリッククラウド上HSMの鍵管理、sshキーのようなシークレット管理、パブリッククラウドのアクセス管理など機能ごとにライセンスが用意されており、様々な用途で利用可能です。

Vault for KMIP

データベース、アプリケーション、ストレージ、クラウド等様々な環境で利用されているプロトコル「KMIP」を利用した鍵管理をKeyControl Vaultで一任します。VMwareの認定KMSとしてKeyControlが登録されています。
https://www.vmware.com/resources/compatibility/pdf/vi_kms_guide.pdf

Vault for Databases

データベースは多くの組織にとって重大なセキュリティリスクを抱えています。Microsoft SQLやOracle DatabaseのTDE（透過的データベース暗号化）機能のKEK（鍵暗号化鍵）をKeyControlで管理することで、よりセキュアなデータベース運用を実現します。本機能を使用する場合は、DBサーバーにKeyControl EKM Provider softwareをインストールする必要があります。

Vault for Secrets

データベース、サーバー等のあらゆる環境に存在する以下のシークレット情報を管理し、アクセスを厳密に制御できます。

・パスワード（ユーザ、DB、App）
・トークン情報
・ 暗号鍵（ API、 SSH、暗号化キー）

Vaultでシークレットを管理することで、アクセス権限を持つユーザーのみシークレット情報を利用できます。これにより情報漏洩や不正利用のリスクを大幅に減少し、セキュリティが強化されます。また、規制に対応したコンプライアンスの遵守、シークレットの更新やローテーションが容易になり、運用効率も向上します。

＜シークレット管理が利用されるケース＞
・クラウド環境でのアクセス制御
クラウドサービスを利用する際に、APIキーやアクセスキーなどのシークレットを安全に管理し、必要なサービスにのみアクセスを許可することが可能です。

・継続的インテグレーション/デリバリー（CI/CD）パイプライン
自動化されたビルドやデプロイの過程で、シークレットが安全に取り扱われるように管理することで、セキュリティを確保しながら迅速な開発を実現します。

・オンプレミス環境でのシークレット管理
オンプレミスの環境でも、データベースパスワードやSSHキーのようなシークレットをVaultで管理し、安全なアクセス制御を実現します。

Vault for VM Encryption

・オンプレ/マルチクラウド環境における仮想マシンのエージェントベースの制御/暗号鍵の管理が可能
・ドライブ、ディスクパーティションごとの暗号化、Linux のファイル/フォルダ階層の暗号化
★各ポイントで固有の鍵を割り当て
・AES-NI を利用した高速な暗号化を実現

・Vault for KMIP vCenter鍵管理との違い

KMIPを利用したvCenter鍵管理では、vCenter/ESXiが管理するVMのディスクイメージのvmdkファイルを丸ごと暗号化します。対してVault for VM EncryptionでのVM暗号化では、VMごとにポリシーエージェントをインストール、セットアップすることで、より強力で細かな制御（ディスク・ファイル単位での暗号化や、AD連携によるアクセス制御等）が可能となります。

Vault for Cloud Keys

BYOKは、「Bring Your Own Key」の略称です。 KeyControlで作成した独自の暗号鍵をクラウド環境へ持ち込み、利便性や柔軟性を損なわず、クラウド上のデータを暗号化して保護できます。HYOKは、 「Hold Your Own Key」の略称です。クラウド事業者のサービスがKeyControlのVaultを使用し鍵管理できます。二重キー暗号化DKEで、利用者が常に鍵を管理することが可能になります。（BYOKは、一度プロバイダーに渡された鍵を利用者が管理することができない。）

Vault for Application (Tokenization)

Compliance Manager GUI表示例

KMIPオブジェクトの詳細表示例

・GUIで可視化された管理ソフトウェア
・鍵とシークレット情報のVault単位での詳細表示
・コンプライアンス管理（可視化と文書化）
・グローバルな環境の管理が容易に
・Compliance pack購入より、より詳細なコンプライアンス管理が可能に

ADEC(データ適正消去実行証明協議会)様にて、パブリック・クラウド上に保存されたデータの消去（暗号化消去）を実現する、システム管理の審査およびデータ消去証明書発行の実証実験が行われ、データ暗号化用仮想アプライアンスとしてEntrust社KeyControl製品が利用されました。
特に地方自治体においては、今回の実施内容を活用する事により、住民のデータを適切に管理していることを証明することが可能となるため、住民への説明責任を果たすことができ、今後の普及が期待されております。
詳細は、ADEC様公式ウェブサイトにてご覧ください。