Lakebaseの顧客管理キー
顧客管理キー（CMK）を使用すると、組織が所有し、クラウドのキー管理サービス（KMS）で管理するキーを使用して、保存中（格納データ）の Lakebase プロジェクトデータを暗号化できます。これにより、組織は暗号化に対する完全な主権を保持し、規制およびコンプライアンス要件を満たすことができます。キーを無効にすると、データへのすべてのアクセスが取り消されます。
要件
このセクションは、Lakebase で CMK を有効にしたいワークスペース管理者向けです。
- ワークスペースはエンタープライズティアに属している必要があります。
- CMK は、お住まいのリージョンで Lakebase の CMK サポートが利用可能になった後に作成された新しい Lakebase プロジェクトにのみ適用されます。それ以前に作成されたプロジェクトは CMK をサポートしていません。プロジェクト設定の カスタマーマネージドキー を確認して、各プロジェクトのステータスを確認してください。
LakebaseでCMKを有効にする
ワークスペース管理者は、プロジェクト単位ではなく、ワークスペースレベルでLakebaseのCMKを有効にします。有効にすると、そのワークスペース上のすべての新しいLakebaseプロジェクトは、キーを使用して自動的に暗号化されます。既存のプロジェクトは、作成時期に応じて CMK による管理対象となる場合と、ならない場合があります。プロジェクトのステータスを確認するには、暗号化ステータスの確認を参照してください。
Lakebaseは マネージドサービスの ユースケースを採用しています。アカウントコンソールで暗号化キーの設定を作成する際に、こちらを選択してください。
リソース | 説明 |
|---|---|
完全なセットアップのウォークスルー: AWS KMSキーの作成、キーのポリシー、クロスアカウントIAMロールのアクセス許可、およびワークスペースの添付。 |
暗号化の状態を確認する
Lakebaseユーザーは、CMKを直接設定する必要はありません。プロジェクトが現在CMKで暗号化されているかどうかを確認するには：
- ワークスペースの右上隅にある
アプリスイッチャーをクリックして、Lakebaseアプリを開きます。 - プロジェクトを選択してください。
- 左側のサイドバーにある 「設定」 をクリックしてください。
- 「顧客管理キー」 の下にあるステータスカードを確認してください。
ステータスカードには、以下のいずれかが表示されます。
ステータス | 意味 |
|---|---|
アクティブ | お客様のプロジェクトは、お客様ご自身で管理する鍵で暗号化されています。 何もする必要はありません。 |
設定されていません | このワークスペースには、顧客管理キーが設定されていません。組織でCMKが必要な場合は、ワークスペース管理者にお問い合わせください。 |
サポートされていない | このプロジェクトは、この地域で顧客管理鍵が利用可能になる前に作成されたため、CMKで暗号化されていません。 |
キーにアクセスできません | 顧客が管理するワークスペースの暗号化キーにアクセスできなくなりました。あなたのプロジェクトは利用できません。KMSアクセスを復元するには、ワークスペース管理者にお問い合わせください。キーの失効を参照してください。 |
サポートされていません ステータスのプロジェクトを、その場でカスタマーマネージドキーを使用するように変換することはできません。そのデータに CMK が必要な場合は、新しい Lakebase プロジェクトを作成し（ワークスペースでキーが構成されている場合、CMK 管理対象となります）、そこにデータを移行してください。
キーローテーション
ワークスペース管理者がクラウドKMSのキーをローテーションしても、 Lakebaseプロジェクトは影響を受けません。 プロジェクトは引き続きアクセス可能で、ダウンタイムや特別な操作は必要ありません。
キーの取り消し
顧客管理キーが取り消されたり、削除されたり、権限が変更されて Databricks がアクセスできなくなった場合：
- ワークスペース上のすべてのCMK管理下にあるLakebaseプロジェクトは利用できなくなります。 Not supported ステータスのプロジェクトは、キーによって管理されず、そのまま利用可能です。プロジェクトが CMK で管理されているかどうかを確認するには、暗号化ステータスの確認を参照してください。
- CMK 対応プロジェクトのコンピュート インスタンスの実行が停止されます。
- 新規プロジェクトは作成できません。
- Lakebaseコンソールに 「キーアクセスの問題により、データベースプロジェクトが利用できません」という バナーが表示されます。
アクセスを復元するには、ワークスペース管理者がキーを再度有効にするか、クラウドKMSでその権限を復元する必要があります。 キーに再びアクセス可能になったら、変更が反映されるまでしばらく待ってから、コンピュート インスタンスを再起動してプロジェクトにアクセスしてください。
キーの取り消しは、 Lakebaseプロジェクトだけでなく、マネージドサービス キーを使用するワークスペース上のすべてのDatabricksリソースに影響します。 顧客管理キーの詳細については、 「暗号化用の顧客管理キー」を参照してください。