Geo Key Manager を使うと、プライベート SSL/TLS キー（Cloudflare が HTTPS トラフィックの復号に使う暗号鍵）の保存場所をより細かく制御できます。キーの保存場所を制限することで、地域のデータ規制とセキュリティ要件への準拠を確保できます。
デフォルトでは、プライベートキーは暗号化され、各 Cloudflare データセンターへ安全に配布されます。そこでローカルの TLS 終端（受信 HTTPS トラフィックを復号する処理）に使われます。Geo Key Manager を使うと、プライベートキーの保存場所を選べます。
以前の Geo Key Manager は、米国、EU、高セキュリティデータセンターに限られていました。新しいバージョンの Geo Key Manager（Closed Beta ↗ で提供）では、プライベートキーを保存する国の allowlists と blocklists を作成できます。つまり、キーを保存する地理的な場所を具体的に指定できます。たとえば、オーストラリアだけに保存したり、EU と英国に限定したりできます。
Geo Key Manager は、Regional Services のリージョン とは別の、国単位の保存モデルを使います。Data Localization Suite の各機能が対応するリージョンは リージョン対応 を参照してください。
次の図は、プライベートキーを持たない Cloudflare データセンターにエンドユーザーが接続したときの流れです。TLS 終端にはプライベートキーが必要なため、ローカルデータセンターは、許可されたリージョン内のデータセンターから一時的なセッションキー（短命の対称暗号鍵）を要求します。セッションキーが確立されると、ローカルデータセンターは、その接続の残りのトラフィックを、キーを持つデータセンターに再度問い合わせずに復号できます。この追加手順は初回リクエストにレイテンシを加えます。キーを持つデータセンターが地理的に遠い場合、最大で 1 秒程度になることがあります。
sequenceDiagram
participant User as エンドユーザー
participant CloudflarePoP as TLS キーのない最寄りのデータセンター
participant CloudflarePoPwTLS as TLS キーのあるデータセンター
User->>CloudflarePoP: 初回リクエスト
Note right of CloudflarePoP: 最寄りのデータセンターでは復号できません
CloudflarePoP-->>CloudflarePoPwTLS: TLS 署名を要求
CloudflarePoPwTLS-->>CloudflarePoP: セッションキー確立のため TLS 署名を送信
Note right of CloudflarePoP: 復号し、ビジネスロジックを実行します（例: WAF、Configuration Rules、Load Balancing）
CloudflarePoP-->>User: 以降のリクエストはセッションキーを使用
User-->>CloudflarePoP: 以降のリクエストはセッションキーを使用
セットアップと対応オプションの詳細は Geo Key Manager のドキュメント を参照してください。