顧客管理キーの暗号化を構成する

プレビュー

この機能はパブリックプレビュー版です。

アカウント管理者は、Databricks アカウントコンソールを使用して、顧客管理キーの暗号化を構成できます。アカウントキー構成 APIを使用して顧客管理キーを構成することもできます。

顧客管理キーを追加するには、Databricks の使用例が 2 つあります。

Databricks コントロールプレーン内のマネージドサービスデータ (ノートブック、シークレット、および Databricks SQL クエリデータ)。

ワークスペースストレージ (2 つのワークスペースストレージバケットとコンピュートリソースの GCE 永続ディスクボリューム)。

カスタマーマネージドキーの使用例を比較するには、「カスタマーマネージドキーの使用例の比較」を参照してください。

この機能を利用するには、プレミアムプランが必要です。

暗号化キーの構成とは

顧客管理キーは、暗号化キー構成を使用して管理されます。暗号化キー構成は、クラウドのキーを参照するアカウントレベルのオブジェクトです。

アカウント管理者はアカウントコンソールで暗号化キー構成を作成し、暗号化キー構成を 1 つ以上のワークスペースに添付できます。

Databricks キー構成オブジェクトは、2 つの異なる暗号化ユースケース (マネージドサービスとワークスペースストレージ) 間で共有できます。

暗号化キー構成は、ワークスペースの作成時にのみ Databricks ワークスペースに追加できます。

ステップ 1: Cloud KMS でキーを作成または選択する

ワークスペースストレージとマネージドサービスのユースケース間で同じクラウド KMS キーを使用できます。

「対称暗号化キーの作成」の手順に従って、クラウド KMS で対称キーを作成または選択します。クラウド KMS キーは、ワークスペースと同じリージョンに存在する必要があります。
KMS キーのリソース名をコピーします。

ステップ 2: 新しいキー構成を作成する

Databricks アカウントコンソールを使用して、Databricks 暗号化キー構成オブジェクトを作成します。

アカウント管理者として、アカウントコンソールにログインします。
サイドバーで、 「クラウドリソース」をクリックします。
「暗号化キー構成」タブをクリックします。
「 暗号化キーの追加」をクリックします。
この暗号化キーのユースケースを選択します。
- マネージドサービスとワークスペースストレージの両方
- マネージドサービス
- ワークスペースストレージ
[KMS キー ID]フィールドに、上でコピーしたリソース名を入力します。
「追加」をクリックします。

ステップ 3: 新しいワークスペースを作成する

作成した暗号化キー構成を使用してワークスペースを作成します。暗号化キーの設定でワークスペースを作成するには、クラウド KMS キーに対する Google の権限cloudkms.cryptoKeys.getIamPolicyとcloudkms.cryptoKeys.setIamPolicyが必要です。

注：

このセクションでは、ワークスペースを作成するためのすべてのオプションは表示されません。顧客管理VPCやネットワークのカスタムCIDR値などのその他の詳細フィールドの詳細については、「アカウントコンソールを使用してワークスペースを作成する」を参照してください。

アカウントコンソールに移動します。
サイドバーで、[ワークスペース] をクリックします。
「ワークスペースの作成」をクリックします。
次のワークスペースフィールドを設定します。
- ワークスペース名、ワークスペースの名前を入力します。
- [リージョン] 、クラウド KMS キーと同じリージョンを選択します。
- [Google クラウドプロジェクト ID] には、ワークスペースのコンピュートリソースのプロジェクトを入力します。これは、クラウド KMS キーのプロジェクト ID とは異なる場合があります。
顧客管理のキー固有のフィールドを設定します。
1. [ 詳細設定] をクリックします。
2. [顧客管理キー]で、 [マネージドサービス用の暗号化キー構成]または[ワークスペースストレージ用の暗号化キー構成] のいずれか、あるいはその両方として、前の手順で作成した暗号化キー構成を選択します。
「保存」をクリックします。