OCI Vault

解決する課題

• データを暗号化したいが、鍵の生成・保管・ライフサイクル管理が煩雑
• 鍵やシークレットのアクセス制御・ローテーション・監査を統制したい
• 複数の OCI サービスの暗号化を一元的に扱いたい
• DB パスワードや API キーをコードにハードコードせず安全に保管・配布したい

主要概念と用語

• Vault（コンテナ）: 鍵とシークレットを束ねる論理的な入れ物。Default（共有パーティション）と Virtual Private Vault（専有 HSM パーティション）の2種類
• Master Encryption Key（MEK / マスター暗号鍵）: Vault 内で管理する鍵本体。アルゴリズムは AES（対称）/ RSA / ECDSA（非対称） に対応
• Key Version: 鍵のバージョン。ローテーションすると新バージョンが作られ、暗号化は最新版、復号は作成時のバージョンで行われる
• Protection Mode: 鍵の保護レベル。HSM（鍵は HSM 外に出ない）と Software（ソフトウェアで保護。コスト低・性能高）
• エンベロープ暗号化（Data Encryption Key / DEK）: 実データは DEK で暗号化し、その DEK を MEK で暗号化（Wrap）して保管
• Secret（シークレット）: パスワード / 証明書 / API キーなどの機密値。バージョン管理され、MEK で暗号化して保管
• OCI IAM ポリシー: manage keys / use keys / manage secret-family などのポリシー文で鍵・シークレットへのアクセスを制御

仕様・制限・クォータ

• Object Storage / Block Volume / File Storage / Autonomous Database / Exadata 等の暗号化で**カスタマー管理鍵（CMK）**として利用可能
• リージョン単位のサービス。鍵はレプリケーションで他リージョンへ複製可能（レプリカ Vault）
• Default Vault は複数テナンシで共有する HSM パーティション、Virtual Private Vault はテナンシ専有でより高い分離・スループット・鍵数上限を提供
• 暗号化 API（Encrypt / Decrypt / GenerateDataKey 等）にはスループット上限があり、専有が必要な場合は Virtual Private Vault を選択
• 削除した Vault / 鍵は即時消去ではなく**スケジュール削除（7〜30日の保留期間）**があり、誤削除から復元できる

内部の仕組み

OCI Vault は エンベロープ暗号化 を中核とします。実データは高速な対称鍵（DEK）で暗号化し、その DEK 自体を Vault 上の MEK で暗号化（Wrap）して保管します。復号時は Vault に Wrap された DEK の復号（Unwrap）を依頼し、平文の DEK を得てからデータを復号します。MEK は HSM 保護モードでは HSM の境界外に平文で出ることがなく、暗号・復号操作は HSM 内部で完結します。

鍵やシークレットへのアクセスはすべて OCI Audit サービスにイベントとして記録され、「誰がいつどの鍵で暗号/復号したか」を監査できます。サービス統合（例: Object Storage）では、バケットに MEK の OCID を指定するだけで、各オブジェクトの暗号化に使う DEK を OCI 側が自動生成・管理します。

設計パターン / ベストプラクティス

• 統制が必要なデータは**カスタマー管理鍵（CMK）**を Vault で作成し、Oracle 管理鍵ではなく自前鍵で暗号化（鍵の無効化＝データへのアクセス遮断が可能）
• 自動ローテーションを有効化し、鍵バージョンを定期更新（古いバージョンは復号用に保持される）
• IAM ポリシーで最小権限：アプリには use keys（暗号/復号のみ）、運用者には manage keys のように用途で分離
• 高い分離・性能要件や規制対応では Virtual Private Vault を採用
• DB 資格情報や API キーはシークレットとして保管し、アプリ起動時に動的取得（コードへの埋め込みを排除）
• 用途・環境（本番/検証）・チームごとに Vault や鍵を分割し、ブラスト半径を限定

運用・監視

• 鍵・シークレットの利用は OCI Audit で監査し、必要に応じて OCI Logging / Events に連携
• Events サービスで鍵バージョン作成やシークレット期限切れ間近を検知し、Functions / Notifications で自動対応
• 復号失敗時は IAM ポリシー / コンパートメント / 鍵の状態（無効化・スケジュール削除中） を確認
• 鍵やシークレットを誤って削除しても保留期間内は削除キャンセルで復元可能
• スループット不足が疑われる場合は Virtual Private Vault への移行や DEK のキャッシュ（呼び出し削減）を検討

コスト

セキュリティ

• 鍵は FIPS 140-2 Security Level 3 認証の HSM で保護（HSM 保護モード時、鍵は境界外に出ない）
• IAM ポリシーで最小権限を徹底し、use keys と manage keys を分離。コンパートメント単位でスコープを限定
• アプリにはインスタンスプリンシパル / リソースプリンシパルで権限を付与し、資格情報のハードコードを排除（AWS のインスタンスプロファイル相当）
• 規制・専有要件は Virtual Private Vault で分離を強化
• すべての鍵・シークレット操作を OCI Audit で追跡可能にする

関連サービス・比較（AWS との対応）

ハンズオン / CLI例

# 1. Vault を作成（DEFAULT タイプ。専有なら VIRTUAL_PRIVATE）
oci kms management vault create \
  --compartment-id <compartment-ocid> \
  --display-name app-vault \
  --vault-type DEFAULT

# 2. 作成した Vault の管理エンドポイント(management-endpoint)を控え、
#    そのエンドポイント経由で AES マスター鍵を HSM 保護モードで作成
oci kms management key create \
  --compartment-id <compartment-ocid> \
  --display-name app-data-key \
  --key-shape '{"algorithm":"AES","length":32}' \
  --protection-mode HSM \
  --endpoint <vault-management-endpoint>

# 3. 鍵の自動ローテーション間隔を設定（例: 90日ごと）
oci kms management key update \
  --key-id <key-ocid> \
  --auto-key-rotation-details '{"rotationIntervalInDays":90}' \
  --endpoint <vault-management-endpoint>

# 4. Object Storage バケットにカスタマー管理鍵(CMK)を割り当て
oci os bucket update \
  --name my-bucket \
  --kms-key-id <key-ocid>

# 5. シークレット（DBパスワード等）を Vault に保管（値は base64）
oci vault secret create-base64 \
  --compartment-id <compartment-ocid> \
  --secret-name db-password \
  --vault-id <vault-ocid> \
  --key-id <key-ocid> \
  --secret-content-content "$(echo -n 'S3cretP@ss' | base64)"