KeyControl 5.5.1から提供されるマルチテナントKMIPの仕組みとメリットについて

Entrust(旧HyTrust) KeyControlは、様々なプラットフォームで提供されている暗号化機能利用時に生成される暗号鍵を、KMIPというセキュアで暗号鍵の通信に準拠したプロトコルを用いて簡単に管理できるソフトウェアです。
KeyControlのバージョン5.4までは、暗号化機能を利用したい担当者がKeyControlの全体管理Web GUIへアクセスし、メニュー内からKMIPタブへ切り替えし、大まかに以下の操作を実施していました。

KMIP機能の有効化
KMIP通信で利用される証明書の生成、ダウンロード
生成された暗号鍵のキーライフサイクル操作実施(生成、削除など)

例えば、以下のケースであれば暗号化をしたい担当者A、B、CがそれぞれKeyControl管理WEB GUIへアクセスし、主にキーライフサイクル操作をしています。

もちろん、このケースでも暗号鍵の保存先としてKeyControlをご利用いただけますが、運用の中で以下のデメリットが出てきます。

一般的に管理者としては見られたくない、システム設定などの画面を担当者A、B、Cに見られてしまう
暗号鍵の保存場所はシステムや担当者ごとに分割されてはいないため、他の担当者が生成した暗号鍵の参照や操作ができてしまう

この課題を解決する方法として、KeyControl 5.5.1よりマルチテナントKMIPという機能が提供されました。

この機能を利用することで、暗号化を利用したい担当者をKeyControlの管理WEB GUIへアクセスさせることなく、それぞれの担当者ごとにKMIP部分に特化した独自のURLを生成しアクセスおよび暗号鍵の管理を実施させることができます。

マルチテナントKMIP機能は、KeyControl 5.5.1新規インストールではデフォルトで有効となっていますが、KeyControl 5.4からアップグレードした環境の場合には手動で有効化する必要があります。
KeyControl 5.4から5.5.1へアップグレードが完了すると、KMIPタブ内にGet KMIP Multi-Tenancy Nowというボタンが表示されています。

このボタンをクリックすることで、従来のKMIP方式からマルチテナントKMIP方式へ切り替えが可能です。
マルチテナントKMIP方式へ変換することなく、従来のKMIP方式を使い続けることは可能ですが、5.5.1以降へバージョンアップする際にはマルチテナントKMIP方式が必須となるため、方式の変更を推奨しています。
Get Started Nowより処理を開始します。

まずは、テナント名を指定します。

次に、作成するKMIPテナントへログインするユーザの指定を行います。
Local User Authenticationを選択した場合、KeyControlで用意したローカルユーザを用いて認証を行います。
Managed Authenticationを選択した場合、ドメインコントローラと連携しドメインユーザを用いて認証を行います。