> ## Documentation Index
> Fetch the complete documentation index at: https://docs.arc.cdata.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 保存データの暗号化

> CData Arc がEncryptionAtRestMode 設定やそのモード、運用上の考慮事項を含め、AES-256 を使用してどのようにメッセージデータを保存時に暗号化するか。

Arc は、[メッセージデータ](https://docs.arc.cdata.com/26.4/cloud/ja/getting-started/administration/activity.md#メッセージタブ)の保存データ暗号化をアプリケーションレベルでサポートしています。有効にすると、Arc の内部ストレージディレクトリに保存されるすべてのデータファイルが、ストリーミングを使用したAES-256-GCM で自動的に暗号化され、既存のワークフローを変更することなく保存データの暗号学的保護が提供されます。保存データの暗号化は、PCI DSS、HIPAA、GDPR、SOX などの標準のデータ保護要件に対応します。

暗号化は、すべてのコネクタに対して、Arc のすべての内部ストレージの場所（Send、Receive、Logs、Pending、および一時ディレクトリ）内のメッセージデータに適用されます。

> [!WARNING]
>
> 保存時に暗号化されたメッセージデータは、マスターキーでのみ復号化できます。[カスタムマスターキー](../../installation/custom-master-key)を設定していてそれへのアクセスを失った場合、暗号化されたメッセージデータは**復元できません**。保存データの暗号化を有効にする前に、安全なキーのバックアップおよび復元手順を整備してください。

次のオブジェクトは、この機能では暗号化**されません**：

* 設定ファイル：機密性の高い設定値は、Arc の既存のメカニズムによって別途暗号化されます。
* アプリケーションデータベース

暗号化は、**設定 > セキュリティ**の**追加設定**セクションで設定します。デフォルトでは無効です。有効にするには、次のいずれかのモードを選択します：

| モード | 書き込み時の動作 | 読み取り時の動作 |
| - | - | - |
| **Disabled** | 平文のみ | 平文のみ |
| **Compatibility** | 平文ファイルを書き込む | 暗号化済みファイルと平文ファイルの両方を読み取る |
| **Standard** | 暗号化済みファイルを書き込む | 暗号化済みファイルと平文ファイルの両方を読み取る |
| **Strict** | 暗号化済みファイルを書き込む | 暗号化済みファイルのみを読み取る。平文ファイルはエラーになる |

* **Disabled** がデフォルトです。暗号化は明示的に有効化する必要があります。
* 暗号化を有効にするほとんどのユーザーには**Standard** を推奨します。新規ファイルを暗号化しつつ、既存の平文ファイルも引き続き受け入れます。
* **Compatibility** は平文を書き込みますが、暗号化済みファイルと平文ファイルの両方を読み取ります。これは、他のモード間を安全に移行するためのブリッジモードです（[クラスタ環境でのモード切り替え](#クラスタ環境でのモード切り替え)を参照）。このモード自体は暗号化を行いません。暗号化を開始するには、**Standard** を使用してください。
* **Strict** は、平文ファイルを決して受け入れてはならない高セキュリティ環境やコンプライアンス環境を想定しています。

> [!NOTE]
>
> 暗号化モードの変更を有効にするには、Arc を再起動してください。

## 既存データの移行

暗号化を有効にしても、すでにディスク上にあるファイルが遡って暗号化されることはありません。**Compatibility** モードおよび**Standard** モードでは、Arc は各ファイルが暗号化されているかどうかを自動的に検出し、既存の平文ファイルは変更せずに読み取ります。ファイルは、Arc が次にそのファイルを書き込むときに初めて暗号化されます。

**Strict** モードはあらゆる平文ファイルを拒否するため、Arc のストレージディレクトリに平文のメッセージファイルが残っていない状態になるまで**Strict** に切り替えないでください。一般的な移行手順は次のとおりです：

1. **Standard** モードを選択し、新規ファイルは暗号化して書き込みつつ、既存の平文ファイルも引き続き受け入れられるようにします。
2. 通常の運用を通じて、既存の平文ファイルがSend、Receive、Pending、Logs、および一時ディレクトリから処理されてなくなるのを待ちます。
3. 暗号化済みファイルのみが残った時点で、暗号化済みのみの読み取りを強制する**Strict** モードに切り替えます。

クラスタ化されたデプロイでは、代わりに[クラスタ環境でのモード切り替え](#クラスタ環境でのモード切り替え)の手順に従ってください。

> [!NOTE]
>
> 平文ファイルがまだ残っている状態、または外部システムがFTP/SFTP Server のルートディレクトリに平文を書き込み続けている状態で**Strict** モードに切り替えると、それらのファイルはエラーになります。[FTP Server とSFTP Server に関する考慮事項](#ftp-server-とsftp-server-に関する考慮事項)を参照してください。

## クラスタ環境でのモード切り替え

[クラスタ化された](../clustering)デプロイでは、すべてのノードが同じ設定とメッセージストレージを共有します。モードの変更は再起動後にのみ有効になるため、ダウンタイムを避けるためにノードを1台ずつ再起動することになり、そのロールアウトの間はノードが一時的に異なるモードで動作します。現在のモードで読み取れないファイルに遭遇したノードは、致命的なエラーで失敗します（**Disabled** ノードが暗号化済みファイルを読み取る場合や、**Strict** ノードが平文ファイルを読み取る場合など）。

これを避けるには、**Disabled**、**Compatibility**、**Standard**、**Strict** の順に、モードを**一段階ずつ**変更してください。各ステップで、次のステップに進む前にすべてのノードの再起動を完全に完了させてください。ステップを飛ばさないでください。

**暗号化を有効にするには：**

1. **Compatibility** を設定し、すべてのノードを再起動します。これで、すべてのノードは暗号化済みファイルを読み取れるようになりますが、書き込みは引き続き平文で行われます。
2. **Standard** を設定し、すべてのノードを再起動します。ノードは暗号化済みファイルの書き込みを開始しますが、これはすべてのノードがすでに読み取り可能です。
3. 平文ファイルが残らなくなるまで待ちます（[既存データの移行](#既存データの移行)を参照）。
4. **Strict** を設定し、すべてのノードを再起動します。

**暗号化を無効にするには：**

1. **Standard** を設定し、すべてのノードを再起動します。
2. **Compatibility** を設定し、すべてのノードを再起動します。ノードは、暗号化済みの既存ファイルを引き続き読み取りながら、再び平文で書き込むようになります。
3. 暗号化済みファイルが残らなくなるまで待ちます。
4. **Disabled** を設定し、すべてのノードを再起動します。

> [!NOTE]
>
> 単一ノードの場合はロールアウト期間がないため、直接ターゲットモードに切り替えることができます。それでも、平文ファイルが残っている間は**Strict** を選択できず、暗号化済みファイルが残っている間は**Disabled** を選択できません。

## 透過的な動作

* 暗号化と復号化は自動的に行われます。ユーザーや既存のワークフローへの変更は必要ありません。
* ファイルはArc 内部に保存されている間は暗号化されていますが、下流のコネクタや取引パートナーには平文で配信されます。
* 暗号化にはArc の既存の[マスターキー](../../installation/custom-master-key)メカニズムが使用されるため、追加のキー設定は必要ありません。
* 暗号化を有効にするとパフォーマンスに影響する可能性がありますが、ファイルサイズのオーバーヘッドはごくわずかです。

## FTP Server とSFTP Server に関する考慮事項

保存データの暗号化は、[FTP Server](../../../connectors/ftp-server) コネクタおよび[SFTP Server](https://docs.arc.cdata.com/26.4/cloud/ja/connectors/sftp-server.md) コネクタが使用するルートディレクトリに適用されます。

* **Compatibility** モードまたは**Standard** モードでは、外部のSFTP およびFTP クライアントはルートディレクトリに平文ファイルを書き込むことができ、Arc はそれらを通常どおり受け入れて処理します。
* **Strict** モードでは、暗号化済みファイルのみが受け入れられます。外部システムがルートディレクトリに直接平文を書き込もうとするとエラーになります。

ルートディレクトリに直接書き込む外部システムがある場合は、**Strict** モードの使用を避けてください。

## キー管理

保存データの暗号化には、機密性の高い設定値をすでに保護しているArc の既存のマスターキーが使用されるため、別途キーを設定する必要はありません。マスターキーの詳細については、[カスタムマスターキー](../../installation/custom-master-key)を参照してください。

### マスターキーのローテーション

マスターキーをローテーションしても、メッセージデータが再暗号化されたり、既存の暗号化済みファイルが読み取れなくなったりすることはありません。保存データの暗号化は、キー階層を通じてファイルを保護します。マスターキーは内部データキーを保護し、そのデータキーが各ファイルの暗号化キーを保護します。つまり、ローテーションはこの内部キーを再ラップするだけであり、すべてのファイルを書き直す必要はありません。ローテーション前に暗号化されたファイルは、その後も読み取り可能なままであり、一括での再暗号化手順も不要です。

マスターキーのローテーションは、[カスタムマスターキー](../../installation/custom-master-key)に記載されている手順に従って行ってください。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.