復元と移行
バックアップは、特定の素材の集合を保護します。 1つのテナント導出ルートを復元しても、それを使った全ウォレット、署名レーン、アプリ設定が復元されるわけではありません。
提供状況
このドキュメントは0.42.0を対象とします。デプロイ環境での提供状況は、環境ごとに異なります。 リリース 0.42.0を参照してください。
| 機能 | 状況 | 範囲 |
|---|---|---|
| Walletのブラウザー・サーバーSDK | バージョン0.42.0 | ライフサイクル、署名、ウォレット単位のリージョンルーティング、所有者が選ぶ移動、所有権の契約 |
| 管理型テナントルートのバックアップと更新 | Wallet Serverに実装済み | ロール専用D1シェアと、別々のR2バックアップ。実環境の鍵管理・更新ポリシーを要確認。 |
| テナント管理のルート復元 | CLIランチャー0.29.0と署名済みネイティブアセットを公開済み | ダッシュボード承認、保持者の鍵管理、承認済みの空の移行先も必要 |
| ウォレット・デプロイ環境の移行 | 計画中 | ウォレット一覧、署名参加者の引き継ぎ、移行先の準備、明示的な切り替え |
| 所有者が選ぶウォレットのリージョン移動 | 提供済み | 所有者がリージョン設定から移動ごとに承認。デプロイ環境が移動先を提供する必要がある。 |
| ウォレットの自動リージョン移動 | 計画中 | 所有者が移動するまで、デバイスや所在地が変わっても同じホームを維持 |
SDKの公開だけでは、全環境での復元ツールの提供や、管理操作の有効化は保証されません。 現在の導入状況とコマンドは、復元CLIを参照してください。 運用する環境で、ダッシュボード承認、バックアップ検証、空の移行先への復元、有効化、クリーンアップを練習してください。
管理型テナントルートの復元
サービス保有のバックアップは、A/B別々のR2バケットとGoogle KMS鍵を使います。 承認済みの単一ロール復元は、復元シェアを検証し、次世代への更新を必須とします。 保存済みバックアップ、利用可能なラッピング鍵、正規のテナント識別・有効化レコードに依存します。 2つの暗号文オブジェクトだけによる、データベース全喪失からの復旧は保証しません。
管理主体、費用、鍵の破棄の制約は、テナントルートのバックアップを参照してください。
テナント管理のルート復元
**Derivation root security（導出ルートのセキュリティ）**ダッシュボードは、新たな管理者の追加認証、永続的な進行状況、1時間に1回の成功というポリシーを伴う、手動の運用シェア更新を実装します。 依存する前に、デプロイ済みポリシーとスケジューラーを確認してください。
復元の設計は、テナント管理の受信者鍵と、別の復元シェア一式を追加します。 これらのシェアは、現在の運用エポックから独立しています。 A/B別々の暗号化パッケージと署名済み公開マニフェストを生成します。 そのため、通常の運用更新では、テナントが再ダウンロードする必要はありません。
復元秘密鍵は、ホストするダッシュボードとConsoleの外に留まります。 ネイティブCLIの1回の実行は、1つのロールを扱います。 ローカルでパッケージを開き、移行先ロールの1回限りのインポート鍵へ再封印します。 復元には、準備済みの空の移行先が必要です。正確な論理テナントルートの識別情報を維持し、新しい鍵管理系統を割り当てます。 有効化前に、その移行先用の運用シェアを更新します。
ブラウザーのダウンロード開始だけでは、保存完了を証明できません。CLIは、ファイルの永続的な書き込みを検証します。 サービス側のコピーを削除しても、テナント保有の復元コピーは取り消せません。 復元セットごとに破棄できる保持鍵は、現在の共有A/B管理型バックアップのKMSバージョンとは別の要件です。
ウォレット・デプロイ環境の移行計画
R122は、同じネイティブCLIへデプロイ操作を追加します。 顧客向けデプロイコンパイラー、ウォレット一覧パッケージ、曲線固有の署名参加者の引き継ぎ、ドメイン・RP ID処理、フェンス付き有効化と切り替えを担当します。
現在の設計は、ウォレット単位の引き継ぎで既存の公開鍵とアドレスを維持し、新規登録用に移行先の新しい導出ルートを作ります。 テナントルートの復元パッケージだけでは、この移行に不十分です。 所有者側の参加とウォレット権限は、テナント管理から独立しています。
移行パッケージには、移行元の認証情報、生のデータベース、テナント導出ルートシェアを含めません。 R121のA/B復元パッケージは、厳密に識別情報へ紐づく別のアセットとして保持します。 R122の移行先識別情報の対応付けを、ルート復元の再紐づけ手段にしてはいけません。
顧客の基盤でコードを動かすことと、既存の管理型ウォレットを移すことは別です。 開発環境でのデプロイは、計画中の本番移行製品の分離、インポート、継続性、切り替えの保証を証明しません。
ウォレット利用者の復元
ウォレットセッションの復元、復元要素の利用、承認済みウォレット鍵のエクスポートは、それぞれ別のユーザー向けフローです。 復元とエクスポートを参照してください。