PCA#5(security)
FIPS 140-2 Level 3 認定のハードウェアで暗号鍵を生成し、Compute Engine の永続ディスクの暗号化に使用したい要件があります。最も適切な実装はどれですか。
正解：C
正解の根拠
Cloud HSM は FIPS 140-2 Level 3 認定の HSM クラスタで鍵素材を生成・保管し、Cloud KMS と同一のインターフェースで CMEK として Compute Engine の永続ディスク暗号化に利用できます。鍵素材が HSM 外に出ない高保証要件を満たします。
| 方式 | FIPS Level |
|---|---|
| Software KMS | 140-2 L1 |
| Cloud HSM | 140-2 L3 |
不正解の理由
- A: ソフトウェア鍵は Level 3 を満たしません。
- B: Secret Manager は鍵管理基盤ではありません。
- D: Google 管理鍵は CMEK ではなく FIPS L3 要件と切り離せません。
参考：Cloud HSM
コメント