【入門編】保存時暗号化のメカニズム – Cloud Spanner

こんにちは！クラウドの世界へようこそ。
今日は、Google Cloudが誇る最強のデータベース「Cloud Spanner（クラウドスパナー）」について、そのお腹の中（裏側の仕組み）を一緒にのぞいてみましょう。

「データベースの暗号化」って聞くと、なんだか難しそう、セキュリティの専門家じゃないとダメそう……って身構えちゃいますよね。でも、大丈夫。今日ここでお話しする「保存時の暗号化（Encryption at Rest）」の仕組みさえ押さえれば、「なるほど、Spannerってめちゃくちゃ安全にデータを守ってくれているんだな！」と自信が持てるようになりますよ。

ここをクリアすれば、Cloud Spannerの基本はバッチリマスターできますよ。それでは、さっそく扉を開けていきましょう！

—

1. Cloud Spannerのデータを守る「秘密の金庫」の話

まずは、Cloud Spannerがデータをどこに、どうやってしまっているのかをイメージしてみましょう。

Spannerは、世界中に広がるGoogleの巨大なインフラ上で動く、止まらないデータベースです。私たちが預けた大切なデータは、Googleのデータセンターにある「Colossus（コロッサス）」と呼ばれる超巨大な分散ファイルシステム（いわばGoogle専用の最高セキュリティな巨大倉庫）に大切に保管されます。

ここで重要なのは、「倉庫にデータを置くときは、必ずカギをかけている」ということです。これが「保存時の暗号化」です。

日常の例えで考えてみよう

あなたが会社の重要書類を貸し金庫に預けるシーンを想像してください。
書類をそのままポンと置くことはしませんよね。必ず頑丈な鍵のかかるアタッシュケースに入れてから、金庫にしまいませんか？

Cloud Spannerの内部でも全く同じことが起きています。データはディスク（倉庫）に書き込まれる「その瞬間」に、自動的に暗号化（スクランブル）され、意味不明の文字列に変換されてから保存されます。もし万が一、誰かがハードディスクをごっそり盗み出したとしても、中身を読むことは絶対に不可能なのです。

—

2. 鍵の主導権はどちらに？「Google管理鍵」と「CMEK」

さて、鍵をかけるとなると、「その鍵は誰が持っているの？」という疑問が湧いてきますよね。

Cloud Spannerでは、データの鍵の管理方法として、大きく分けて2つのアプローチが用意されています。

① Google管理鍵（デフォルト）

どういうもの？： Googleがすべての管理を行ってくれる、いわば「おまかせコース」です。
メリット： 私たちが特別な設定をしなくても、Spannerを作った瞬間から自動的に強力な暗号化が有効になります。手間が一切かかりません。
例え： ホテルの部屋のカードキーのようなものです。ホテル側が管理してくれていて、私たちは安全に部屋を使えます。

② CMEK（Customer-Managed Encryption Key / 顧客管理型暗号鍵）

どういうもの？： 「鍵の管理は自分たちでしたい！」というセキュリティ意識の高い方向けの「こだわりコース」です。Google Cloudの「KMS（Key Management Service）」というサービスを使って、あなた自身が鍵を作り、管理します。
メリット： 「もし万が一、Google側で何かトラブルがあったら、ウチの鍵をピュッと無効化してデータを完全にロックアウトしたい」といった、厳格なコンプライアンス要件（金融機関や医療現場など）に対応できます。
例え： 貸し金庫のマスターキーを、銀行ではなくあなた自身のポケットに入れている状態です。あなたが「開けちゃダメ」と言えば、誰も中を見られません。

—

3. ドキドキの瞬間！「鍵のローテーション」がデータアクセスに与える影響

「鍵って、ずっと同じだと破られちゃいそうだから定期的に変えたい（ローテーションしたい）」と思いますよね。もちろん、Cloud Spannerでも、Google管理鍵であれCMEKであれ、鍵の取り替え（ローテーション）は可能です。

ここで、初学者の皆さんが一番心配になるポイントがあります。

> 「鍵を新しくしたら、今まで保存していた過去のデータが読めなくなっちゃうんじゃないの…？」

安心してください。答えは「まったく問題なく、今まで通り読み書きできます」です。

鍵の世代交代の仕組み

ちょっと裏側のテクニックを覗いてみましょう。Spanner（というかGoogleの暗号化基盤）では、データを暗号化するときに「データ暗号化キー（DEK）」という実務用の鍵を使っています。そして、そのDEKを守るために「鍵暗号化キー（KEK）」という上位の鍵が存在します。

鍵をローテーションするというのは、この上位の「KEK」を新しいものにリフレッシュする作業です。
新しい鍵を作ると、古い鍵で包まれていたデータが、新しい鍵で安全に包み直されます。このプロセスはすべてバックグラウンドで、システムを止めることなく（オンラインのまま）シームレスに行われます。

私たちのアプリケーションから見ると、鍵の交換中であっても、データベースへのアクセスは1ミリ秒たりとも止まりません。まさに「走る電車の中で車輪を取り換える」ような職人技が、裏側で動いているのです。

—

まとめ：安全安心の土台の上で、自由にアプリケーションを作ろう

ここまで、Cloud Spannerの保存時暗号化の仕組みをみてきました。

1. データはColossus層に保存される際、自動的に強力に暗号化されている。
2. 鍵の管理は、おまかせの「Google管理鍵」と、自分で握る「CMEK」から選べる。
3. セキュリティのための鍵のローテーションは、システムを止めることなく安全に行われる。

Cloud Spannerは、ただ「速くて、どれだけデータが増えても止まらない（水平分散）」というだけでなく、こうした鉄壁のセキュリティ基盤が最初から標準で備わっているのが最大の魅力です。

「難しそう」と思っていたクラウドの裏側の仕組みも、こうして紐解いてみると、私たちが安心してシステムを動かすための温かい工夫に満ちていることが分かりますよね。

この基本さえ押さえておけば、CMEKを使った案件に直面しても、もう慌てる必要はありません。自信を持って設計に臨んでくださいね。あなたのCloud Spannerの旅を、これからも応援しています！