クライアントサイド暗号化で使用する鍵サービスを追加、管理する

管理コンソールに複数の鍵サービスを追加する場合は、一方の鍵サービスが他方のサービスのバックアップとなる必要があります。

暗号化されたコンテンツを新しい鍵サービスに移行する場合（つまり、現在のサービスによって暗号化されたコンテンツを再暗号化する場合）は、現在の鍵サービスを新しいサービスのバックアップにする必要があります。バックアップの鍵サービスはメインのサービスと同じコンテンツを暗号化するため、コンテンツの移行時に問題が発生した場合でもコンテンツへのアクセスを行えます。移行について詳しくは、暗号化されたコンテンツを新しい鍵サービスに移行するをご覧ください。

重要: バックアップ鍵サービスを使用する鍵サービスは一度に 1 つだけです。

管理コンソールで新しい鍵サービスを追加して、現在のサービスをバックアップにする場合、メッセージの暗号化を行うのはバックアップ サービスのみであり、新しい鍵サービスは使用されません。Gmail の鍵サービスを切り替えるには、Gmail API を使用して、新しい証明書と、新しいサービスでラップされた秘密鍵のメタデータをアップロードする必要があります。Gmail の鍵サービスを切り替える方法については、Gmail CSE の鍵サービスを別のサービスに切り替えるをご覧ください。

この操作を行うには、特権管理者としてログインする必要があります。

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [外部鍵サービスによる暗号化] で、次のいずれかを行います。
   • 鍵サービスを初めて追加する場合は、[外部鍵サービスを追加する] をクリックする。
   • 鍵サービスをさらに追加する場合は、[追加] をクリックする。
4. 登録した鍵サービス（または CSE API を使用して構築した鍵サービス）の次の情報を入力します。

   名前 - 任意の名前を入力します。この名前は、Google Workspace が外部鍵サービスにアクセスできない場合にユーザーに送られる一部のメッセージに記載されます。このことにより、問題は使用中の Google サービスではなく暗号化サービスにあることがわかります。

   URL - 鍵サービスから提供される URL。この URL を入力する前に、インターネットからその URL にアクセスできることを確認してください。

5. 2 つ目の鍵サービスを追加した場合は、[バックアップ鍵サービスの選択] をクリックして、使用可能なバックアップ鍵サービスを選択します。これにより、暗号化されたコンテンツを新しい鍵サービスに移行できます。

   新しい鍵サービスへのコンテンツの移行について詳しくは、クライアントサイド暗号化で使用する鍵サービスを割り当てるをご覧ください。

6. すでに 2 つ以上の鍵サービスがあり、さらに別の鍵サービスを追加した場合は、バックアップなしで新しい鍵サービスを追加するかどうかを選択します。オプションについて詳しくは、後述の鍵サービスにバックアップがある状態で別の新しいサービスを追加するをご覧ください。

   オプションを選択せずに [外部鍵サービスを追加する] ダイアログを閉じるには、[キャンセル] をクリックします。

7. Google Workspace が外部鍵サービスと通信できることを確認するには、[接続をテスト] をクリックします。
8. 接続が確立したら、ページ右下の [追加] または [サービスを追加] をクリックします。

鍵サービスを初めて追加する場合:

• 最上位の組織部門にデフォルトの鍵サービスを割り当てるよう促すメッセージが表示されます。デフォルトの鍵サービスの割り当てはいつでも行えます。割り当てを行うと、コンテンツを暗号化または復号化する必要があるすべてのユーザーが暗号化を利用できるようになります。詳しくは、組織のデフォルトの鍵サービスを設定するをご覧ください。
• クライアントサイド暗号化を利用できるように Google Workspace と ID プロバイダ（IdP）が接続されていることを確認します。

すでに管理コンソールに 2 つ以上の鍵サービスを追加している場合、一方のサービスは他方のサービスのバックアップになっています。バックアップを持つことができる鍵サービスは一度に 1 つだけであるため、さらに鍵サービスを追加する場合に、追加した鍵サービス用のバックアップを選択することはできません。このため、新しい鍵サービスを追加する際は、その用途に応じてオプションを選択する必要があります。

使用する鍵サービスを新しいものに切り替える場合

新しい鍵サービスを追加するときに、[[鍵サービス] からバックアップを削除] を選択してから、[バックアップを削除] をクリックします。

これで、新しい鍵サービスを追加してバックアップ サービスを選択できるようになります。その後は、暗号化されたコンテンツを新しい鍵サービスに移行できます。詳しくは、暗号化されたコンテンツを新しい鍵サービスに移行するをご覧ください。

推奨: このオプションは、現在の鍵サービスによるコンテンツの暗号化に問題がない場合にのみ選択してください。また、バックアップ鍵サービスを使用してコンテンツを現在のメインのサービスに移行している場合は、移行が完了していることを確認してください。移行中にバックアップを削除すると、移行は直ちに停止します。詳しくは、暗号化されたコンテンツを新しい鍵サービスに移行するをご覧ください。

暗号化されたデータを移行せずに新しい鍵サービスを使用する場合

新しい鍵サービスを追加するときに、[バックアップのない鍵サービスを追加] を選択し、[サービスを追加] をクリックします。

推奨: このオプションは、別の鍵サービスによって暗号化されているコンテンツがまだない組織部門またはグループにこの鍵サービスを使用する場合にのみ選択してください。コンテンツがすでに暗号化されている場合は、暗号化されたコンテンツにアクセスできるように既存の鍵サービスを維持する必要があります。

この操作を行うには、特権管理者としてログインする必要があります。

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [外部鍵サービス] セクションで、変更する鍵サービスの名前をクリックします。
4. 鍵サービスの名前を編集します。
5. [続行] をクリックします。

この操作を行うには、特権管理者としてログインする必要があります。

鍵サービスによって暗号化されたコンテンツにユーザーがアクセスできない場合は、鍵サービスに新しい暗号化 URL をリクエストしてください。新しい URL を取得したら、管理コンソールで元の URL を新しい URL に置き換えて、ユーザーがコンテンツを復元できるようにします。

ユーザーが鍵サービスで新しいコンテンツを暗号化できない場合は、問題が発生している組織やグループに別の鍵サービスを割り当ててみてください。

鍵サービスの URL を変更するには:

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [外部鍵サービス] セクションで、URL を変更する鍵サービスの名前をクリックします。
4. [問題が生じた場合] [新しい URL を追加] をクリックします。
5. Google Workspace が外部鍵サービスと通信できることを確認するには、[接続をテスト] をクリックします。
6. 接続が確立したら、ページ右下の [続行] をクリックします。

バックアップ鍵サービスがあれば、メインの鍵サービスを無効にできます。たとえば、暗号化されたコンテンツにアクセスできなくなった場合や、新しいコンテンツを暗号化できなくなった場合は、メインの鍵サービスを無効にしてバックアップを使用することをおすすめします。メインの鍵サービスを無効にしてもバックアップがあるため、クライアントサイド暗号化が適用されたコンテンツには引き続きアクセスできます。

メインの鍵サービスを無効にして、代わりにバックアップを使用するには:

1. Google 管理コンソールにログインします。

   特権管理者権限のあるアカウント（末尾が @gmail.com でないもの）でログインしてください。

2. 管理コンソールで、メニュー アイコン   [セキュリティ] [アクセスとデータ管理] [クライアントサイドの暗号化] にアクセスします。
3. [外部鍵サービス] で、バックアップを削除する鍵サービスの名前をクリックします。
4. [無効にしてバックアップを使用] をクリックします。
5. [無効にするにあたり、以下の点をご理解ください] チェックボックスをオンにします。
6. [無効にしてバックアップを使用] をクリックします。

コンテンツの復号化に使用されている鍵に問題がある可能性があります。鍵サービスに連絡し、新しい URL をリクエストしてください。鍵サービスの URL の変更について詳しくは、前述の鍵サービスの URL を変更するをご覧ください。

鍵サービスにバックアップ サービスがある場合は、代わりにバックアップを使用してください。詳しくは、前述のバックアップがある鍵サービスを無効にするをご覧ください。