# `PARAMETER::` 保存時の暗号化 - キー管理
![`smart`](CloudVendorKMSAndKeyManagement_ja_001_20231008.png)
+ **マスターキー**は、FIPS 140-2レベル3に準拠したAWS/GCPハードウェアセキュリティモジュール（HSM）によって管理されます
+ **マスターキー**は、お客様が管理・提供できます（AWSのTiDB Dedicated）
+ **データ暗号化キー**はAWS/GCPによって管理されています

------------------------------------------------------------------------------
TiDB Cloudはマスターキーとデータ暗号化キーを保存しません。代わりに、AWSとGCPキー管理サービスによって生成、ホスト、管理されます。これらのマスターキーは、対称データ暗号化キーの暗号化と復号化に使用され、次に、オブジェクトストレージ上のディスクボリュームとファイルの暗号化と復号化に使用されます。

マスターキーは、クラウドインフラストラクチャベンダーのキー管理サービスから離れることはありません。

データ暗号化キーは、クラウドインフラストラクチャベンダーのキー管理サービスが暗号化されないままになることはありません。

結論として、重要なポイントは4つあります。
- PingCAPはマスターキーを取得しませんが、キー管理サービス内のマスターキーを使用する権限を、基盤となるAWS/GCP統合ストレージサービスに付与するだけです。
- AWS/GCPはマスターキーを使用してデータキーを暗号化/復号化します。
- 統合されたブロックストレージとオブジェクトストレージのデータキーには、暗号化された暗号文のみが保存されます。したがって、データキーを使用してデータを暗号化または復号化するには、最初にKMSにマスターキーの使用を要求してデータキーを復号化する必要があります。この処理は、AWS（EBS、S3）とGCP（永続ディスク、クラウドストレージ）によって自動的に実行されます。

その他の参考資料:
- AWSキー管理サービスとその仕組みは、`https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html`です。
- GCPクラウドキー管理の主な機能は、`https://cloud.google.com/security-key-management#section-2`です。