Adaptive Planning の独自キーの設定 (BYOK)
- BYOK SKU を取得し、適用される条件に同意する。
- Amazon Web Services (AWS) Key Management Service (KMS) を設定します。
- 指定サポート連絡先 (NSC) は、Workday Community でサポート ケースを作成し、Adaptive Planning に対して Amazon リソース名 (ARN) を使用する必要があります。arn:aws:iam::123456789123: user/workday-kms-userをクリックしてこの機能を有効にします。
Adaptive Planning BYOK は、企業がデータの暗号化に使用するキーの所有権と制御権を取得できるようにする暗号化キー管理機能です。"Bring Your Own Key Customer Key Encryption Key" (BCTEK) は、ユーザーが生成して AWS KMS に保存したルート キーです。BCKEK は、キー階層内の顧客キー暗号化キー (CCEK) に置き換えられ、データ暗号化キー (DEK) の暗号化と復号化に使用されます。
Adaptive Planning の BYOK のデプロイ後は、Adaptive Planning が発行した暗号化キーを使用するように元に戻すことはできません。
BCEK として使用する Adaptive Planning の主キーを作成する必要があります。
- AWS アカウントで、主対象キーを作成します。
- キー ポリシーを編集して、以下のように Adaptive Planning の本番科目 ID に適切な権限を割り当てます。"Sid": "Allow use of the key", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::244702149041:root" ] }, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:List*", "kms:Get*", "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant", "kms:DescribeKey" ], "Resource": "*" }, { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::244702149041:root" ] }, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": { "Bool": { "kms:GrantIsForAWSResource": "true" } } }
- 合意日にデータベースがプロビジョニングされたら、新しいキーが問題なく機能することを確認します。
キーをローテーションする場合は、AWS KMS 内で行うことができます。
Adaptive Planning からキーへのアクセス権を削除するには:
- AWS KMS 内のキーを無効化します。
- キーは有効なままで、キー ポリシー内の Adaptive Planning 権限を削除します。
BCEK を削除しないでください:
- 使用中の BCheck を削除すると、Adaptive Planning がデータベース内のデータを復元できなくなります。
- 古い BCheck を削除した場合、その BCheck の使用中に作成したバックアップは復元できません。
安全性を高めるため、Adaptive Planning では古い BCTEK を削除しないことをお勧めしています。この古いキーは無効な状態のままにしておくと、使用されなくなりますが、緊急の場合に再度アクティブにすることができます。