Cloud KMS / Cloud HSM / EKM 完全ガイド｜CMEK・鍵ローテーション・FIPS (GCP)

Cloud KMS は GCP の鍵管理サービスで、データ暗号化に使う鍵 (Encryption Key) を中央集権的に管理します。 Cloud HSM (FIPS 140-2 Level 3 認定ハードウェア)、Cloud EKM (外部 HSM 連携) と組み合わせて、規制対応からゼロトラスト鍵管理まで対応可能です。

3 つの鍵管理形態

サービス	鍵保管場所	FIPS	用途
Cloud KMS (Software)	Google データセンター (SW)	140-2 Level 1	標準
Cloud HSM	Google データセンター (HW)	140-2 Level 3	金融・医療・規制対応
Cloud EKM	外部 HSM (Equinix / Thales / Fortanix)	顧客 HSM 依存	鍵の物理隔離、主権要件

CMEK / CSEK / Google Default

Google Default Encryption: すべての GCP サービスはデフォルトで暗号化 (Google 管理鍵)
CMEK (Customer-managed Encryption Key): 顧客が KMS で鍵を管理、サービスが利用
CSEK (Customer-supplied Encryption Key): 顧客が毎回鍵を渡す (Cloud Storage / Compute のみ、管理難)

鍵階層

KeyRing: 鍵の論理グループ (リージョン単位)
CryptoKey: 個別の鍵 (用途別)
CryptoKeyVersion: 鍵のバージョン (ローテーションごとに増える)

主要操作

# KeyRing 作成
gcloud kms keyrings create my-keyring \
  --location=asia-northeast1

# CryptoKey 作成 (Symmetric)
gcloud kms keys create my-key \
  --keyring=my-keyring --location=asia-northeast1 \
  --purpose=encryption --rotation-period=90d \
  --next-rotation-time=2026-09-01T00:00:00Z

# 暗号化
gcloud kms encrypt --key=my-key --keyring=my-keyring \
  --location=asia-northeast1 \
  --plaintext-file=secret.txt --ciphertext-file=secret.enc

# CMEK で GCS バケット作成
gcloud storage buckets create gs://my-bucket \
  --default-encryption-key=projects/PROJECT/locations/asia-northeast1/keyRings/my-keyring/cryptoKeys/my-key

鍵ローテーション

CryptoKey に rotation_period を設定 (例: 90 日)
自動的に新 CryptoKeyVersion が Primary になる
古いバージョンは「Disabled」「Destroyed」にできるが、復号のため保持推奨
Destroyed までに 24 時間のグレースピリオド (Soft delete)

IAM ロール (主要)

roles/cloudkms.admin: 全権限
roles/cloudkms.cryptoKeyEncrypterDecrypter: 暗号化 + 復号
roles/cloudkms.cryptoKeyEncrypter: 暗号化のみ
roles/cloudkms.cryptoKeyDecrypter: 復号のみ
roles/cloudkms.publicKeyViewer: 公開鍵参照

料金例

項目	Cloud KMS	Cloud HSM
鍵バージョン (アクティブ)	$0.06/月	$1〜2/月
操作 (Symmetric)	$0.03/10,000	$0.03/10,000
操作 (Asymmetric)	$0.06/10,000	$1〜2/10,000
EKM	$0.06/月 + 外部 HSM 料金	—

他クラウド比較

項目	Cloud KMS	Cloud HSM	AWS KMS	Azure Key Vault
SW 鍵	◎	—	◎	◎
HSM 鍵	—	◎ (FIPS L3)	○ (CloudHSM 別)	○ (Managed HSM)
外部 HSM 連携	EKM	—	External KS	Bring Your Own Key
自動ローテーション	○	○	○	○

Confidential Computing 連携

Confidential VM (AMD SEV / Intel TDX) でメモリも暗号化
Confidential GKE Nodes で Pod 実行中も暗号化
「保存中 + 通信中 + 使用中」の三位一体暗号化
規制業界 (医療・金融・公共) で重要

ベストプラクティス

環境別 (Prod / Dev) で KeyRing を分離
鍵バージョンの最低 1 つは Disabled で保持 (復号用)
VPC SC で KMS API を Perimeter 内に閉じる
Audit Logs で鍵操作を全記録 (Data Access Logs 有効化)
Application 起動時に鍵バージョン確認
規制対象は Cloud HSM または EKM 採用

Cloud KMS と Cloud HSM の違いは？

Cloud KMS は SW ベース、Cloud HSM は FIPS 140-2 Level 3 認定のハードウェア HSM。コンプライアンスで HSM 必須なら HSM、それ以外は KMS で十分。

Cloud EKM とは？

External Key Manager。鍵をサードパーティ HSM (Equinix SmartKey / Thales / Fortanix 等) に保管し、GCP からは呼び出すモデル。鍵の物理的隔離。

CMEK と CSEK の違いは？

CMEK = Customer-managed Encryption Key (KMS で管理)、CSEK = Customer-supplied Encryption Key (顧客がキーを毎回提供)。CSEK は管理難しく、CMEK が主流。

鍵ローテーションは？

KMS で自動ローテーション期間設定可 (例: 90 日)。新バージョン作成 → アプリは最新を利用、古いバージョンは復号のため保持。

対応サービスは？

GCS、BigQuery、Compute Engine、Persistent Disk、Cloud SQL、Spanner、Bigtable、Pub/Sub、Dataflow、Vertex AI など主要サービスほぼ全て。CMEK 対応マトリクス公開中。

料金体系は？

アクティブな鍵バージョン × 月 + 暗号化/復号操作数。Cloud KMS は安価 ($0.06/鍵バージョン/月)、Cloud HSM は高価 ($1〜2/鍵バージョン/月)。

AWS KMS / Azure Key Vault との比較は？

機能は概ね同等。AWS KMS は GovCloud / FIPS リージョン豊富、Azure Key Vault は Managed HSM 強い、Cloud HSM は FIPS Level 3 HW で差別化。

Confidential Computing とは？

VM / GKE Node のメモリも暗号化 (AMD SEV / Intel TDX 利用)。鍵管理 + Confidential VM で「使用中も暗号化」を実現。

この記事で学んだ内容を問題で確認しましょう

16,000問以上の問題で実力チェック

GCP 試験対策ページを見る

この記事の著者

NicheeLab編集部

データエンジニアリング・クラウド資格の専門家。Databricks・Snowflake等の認定資格を保有し、実務経験に基づいた問題作成・解説を行っています。NicheeLab運営。

Cloud KMS / Cloud HSM / EKM 完全ガイド｜CMEK・鍵ローテーション・FIPS