環境の削除と鍵の破棄

KeenAuth の各環境には、それぞれ専用の暗号化鍵があります。環境を削除すると、KeenAuth はそれらの鍵を破棄します。そのため、バックアップのように暗号化されたコピーが一定期間残る場所でも、環境のデータは恒久的に読み取れなくなります。このページでは、何が、いつ破棄され、何が残るのかを説明します。まだ利用できない部分には planned と表示しています。

鍵の階層

環境の機密フィールド（たとえば MFA シークレット、トークン署名鍵、接続およびウェブフックのシークレット、ログ内の個人データ、ログアーカイブとエクスポートファイル）は、データキーで暗号化されます。これらのデータキーは、環境専用のテナントマスターキーでラップされます。そして、テナントマスターキーは、環境が存在する KeenAuth セルの鍵でラップされます。セルの鍵がセルの鍵管理システムの外に出ることはなく、エクスポートもできません。

各環境には専用のテナントマスターキーがあり、暗号化データを保存する KeenAuth サービスごとに 1 つずつ用意されます。鍵は環境間で共有されず、同じアカウント内の環境同士でも共有されません。
ストレージプロバイダー自身の暗号化には依存しません。データは書き込まれる前に KeenAuth が暗号化します。

環境を削除したときの処理

鍵を最初に破棄します。 環境のテナントマスターキーをすべて破棄済みとしてマークし、ラップされた鍵の素材を消去します。鍵が存在していて破棄されたという記録は、鍵そのものを除いて残します。
ライブデータを削除します。 環境のユーザー、組織、アプリケーション、セッション、ログその他のレコードを、ライブデータベースから削除します。
メール署名鍵を削除します。 同じ手順で、環境の送信ドメインの DKIM 署名鍵を、セルの鍵管理システムから削除します。

手順 1 の後は、レコード自体が削除される前でも、稼働中のどの KeenAuth システムも環境の暗号化フィールドを復号できません。

バックアップと 30 日の上限

データベースのバックアップや鍵管理のスナップショットには、破棄された鍵のラップ済みコピーが残っている場合があります。これらは最長で 30 日間 保持されます。鍵を含む最後のバックアップが期限切れになると、環境データの暗号化コピー（バックアップ、アーカイブ、残存するエクスポートファイル内のもの）はすべて、恒久的に復号できなくなります。

バックアップから復元する場合は、復元したシステムをオンラインにする前に、削除済みの環境を再度削除します（planned）。
破棄された鍵のバージョンと、最後のバックアップの期限切れ日を記載した削除証明書を、30 日経過後に発行します（planned）。

法的保全

環境が法的保全の対象になっている場合、鍵の破棄は保全が解除されるまで延期され、解除後 24 時間以内に実行されます（planned）。

環境の削除

ダッシュボードと管理 API からの環境の削除および復元は planned です。それまでは、環境を削除するには KeenAuth サポートにお問い合わせください。