BYOK(Bring Your Own Key).

BYOK では、クラウド上のデータを保護するマスターキーのライフサイクルを顧客が管理しますが、鍵そのものは事業者の KMS や HSM の中で保管・利用されます。一般的には顧客側 HSM で鍵を生成し、暗号的にラップしたうえで安全にクラウドへインポートします。顧客は鍵をローテーション・無効化・削除予約でき、より強い監査証跡と迅速なアクセス取消手段を得られます。ただし鍵はあくまで事業者のインフラ内に残るため、BYOK だけでは事業者による利用を完全には阻止できません。そのためには HYOK や外部キーストアが必要です。代表例は AWS KMS のインポート鍵、Azure Key Vault BYOK、Google Cloud EKM などです。