※ 本記事は、Melinda Centenoによる”Improve Object Storage Throughput with Bucket Keys“を翻訳したものです。
2026年9月1日
Object StorageではSSE-KMSバケット・キーがサポートされ、高いパフォーマンスが求められるワークロードを最適化しながら、顧客管理のVaultキーを使用できるようになりました。オブジェクト・レベルのSSE-KMSは、オブジェクト操作ごとにKMSと直接やり取りしてきめ細かい暗号化制御を行う場合に最も適しています。高スループットのバケットに対してSSE-KMSバケット・キーを使用することで、Object StorageからVault Key Management Service (KMS)への繰り返しのコールを削減できます。これにより、PUTおよびGETのレイテンシを低減し、高いリクエスト・レートでKMSスロットリングが発生する可能性を抑制することができます。
増大するパフォーマンス上の課題への対処
Object Storageでは、各オブジェクトがそれぞれ一意のデータ暗号化キーを使用して暗号化されます。バケットで顧客管理Vaultキーによるサーバー側暗号化を使用する場合、KMSは各オブジェクトのデータ暗号化キーを保護する上で重要な役割を果たします。
この方式では、Object Storageのデータを強力に保護しながら、暗号化キーのライフサイクルを直接制御できます。オブジェクトにアクセスする度にKMS操作が発生する可能性があるため、非常に高いスループットのワークロードでは、パフォーマンスを計画する際にKMSリクエスト・レートおよびレイテンシを考慮する必要があります。これは、多数のオブジェクトに繰り返しアクセスする、大規模な分析およびAI/MLワークロードでは特に重要です。
SSE-KMSバケット・キーでは、顧客管理のKMSキーによって保護されるバケット・スコープの中間暗号化キーを使用することで、バケット・レベルでこの課題に対処します。Object Storageでは、対象となるオブジェクトのデータ暗号化キーをバケット・キーでラップできるため、SSE-KMSの仕組みを維持しながらオブジェクトごとのKMSコールを削減できます。
バケット・レベル・キーの利点
レイテンシの低減
KMSとのやりとりを減らすことで、対象となるPUTおよびGET操作のオーバーヘッド要員を削減できます。これにより、レスポンス時間が短縮され、リクエスト・レートが向上した場合でもより予測可能なパフォーマンスを実現できます。
KMSスロットリングの発生可能性の低減
アクティブなバケットでは、大量のKMSトラフィックが発生する可能性があります。バケット・キーによってトラフィックが削減されるため、ワークロードはKMSがボトルネックになることなく、より高いオブジェクト・リクエスト・レートを維持できます。
分析およびAI/MLのサポートの強化
最新のデータ・プラットフォームでは、多くの場合、多数のオブジェクトに並列アクセスします。AIトレーニング、チェックポイント処理、推論パイプライン、大規模な分析ジョブのいずれも、リクエスト・パスの暗号化に関連する依存関係を減らすことで、パフォーマンスの向上が期待できます。
暗号化キーの継続的な制御
顧客管理のVaultキーは、引き続き保護の最上位に位置し、バケット・キーを保護するために使用されます。より効率的な暗号化ワークフローを利用しながら、OCIテナンシ内のKMSキーを引き続き所有および管理できます。
アプリケーションの変更不要
バケット・キーはObject Storageバケットに構成されます。アプリケーションはこれまでと同じObject Storageのインタフェースおよびワークフローを引き続き使用できるため、この機能は新規アーキテクチャおよび既存アーキテクチャのどちらにも実用的です。
バケット・レベル・キーの使用を検討するタイミング
バケット・キーは、Vaultキーによる顧客管理の暗号化が必要で、KMSコールとレイテンシを抑えたい高スループットのObject Storageワークロードに適しています。次のような場合は、この機能の使用を検討してください：
- 分析ジョブで多数のREAD操作またはWRITE操作（もしくは両方）を並列実行する場合
- AI/MLパイプラインでトレーニング・データ、モデルまたはチェックポイントを繰り返しロードする場合
- KMSのリクエスト・レートが、パフォーマンス計画の懸念事項になっている場合
- 将来的に大幅なスケール拡大が見込まれる新しいデータ・プラットフォームを設計する場合
バケット・キーを使用すると、セキュリティの粒度とパフォーマンスのバランスを取ることができます。オブジェクト・レベルのSSE-KMSでは最高のキー分離を提供し、バケット・キーを使用するSSE-KMSではKMSへの依存を低減できます。そして、Oracle管理キーは最もシンプルな運用モデルを提供します。セキュリティ、コンプライアンス、スループットおよびレイテンシの要件に応じて選択してください。
バケット・キーはバケットごとにオプトインする機能で、デフォルトでは無効です。そのため、この機能による効果が大きいワークロードに対して選択的に有効化し、それ以外のバケット構成は変更せずに維持できます。
簡単な導入方法
まず、顧客管理のOCI Vaultキーを使用している、または使用する予定の高スループットのバケットを特定します。必要なVaultキーおよびIAM権限が適用されていることを確認し、選択したバケットのバケット・キーを有効化します。
有効化後に書き込まれた新しいオブジェクトには、バケット・キーによるラッピングを使用できます。既存のオブジェクトには、バケットの再暗号化を実行するまで、以前のラッピングが維持されます。既存のバケットに導入する場合は、既存データの移行の判断を導入計画に含め、新規データと既存データが各々どのように動作するか把握できるようにしてください。
バケット・キーは、セキュリティ・ゾーン内の顧客管理Vaultキーを使用するバケットに対してもサポートされます。プライベート・バケット・アクセスや顧客管理の暗号化など、既存のセキュリティ・ゾーンの要件は引き続き適用されます。
今すぐ始める
バケット・キーを使用すると、顧客管理の暗号化と高スループットのObject Storageワークロードのパフォーマンス要件を簡単に両立させることができます。
詳細については、まずObject Storageの暗号化に関するドキュメントをご覧いただき、今すぐバケット・キーの使用を開始してください。