Azure Key Vault で Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する

[アーティクル]
03/13/2023

適用対象: NoSQL MongoDB Cassandra Gremlin Table

Azure Cosmos DB アカウントに格納されたデータは、Microsoft が管理するキー (サービスマネージドキー) を使用して自動的かつシームレスに暗号化されます。自分で管理するキー (カスタマーマネージドキーまたは CMK) を使用する暗号化の 2 番目のレイヤーを追加することもできます。

顧客データに関する暗号化のレイヤーの図。

カスタマーマネージドキーは Azure Key Vault に格納し、カスタマーマネージドキーが有効になっている Azure Cosmos DB アカウントごとにキーを指定する必要があります。このキーは、そのアカウントに格納されているすべてのデータを暗号化するために使用されます。

Note

既存の Azure Cosmos DB アカウントでカスタマーマネージドキーを有効にする場合は、こちらのリンクを参照して詳細を確認できます

警告

次のフィールド名は、カスタマーマネージドキーを使用するアカウント内の Cassandra API テーブル用に予約されています。

id
ttl
_ts
_etag
_rid
_self
_attachments
_epk

カスタマーマネージドキーが有効になっていない場合は、__sys_ で始まるフィールド名のみが予約されます。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。

Azure Cosmos DB リソースプロバイダーを登録する

Microsoft.DocumentDB リソースプロバイダーをまだ登録していない場合は、最初の手順としてこのプロバイダーを登録する必要があります。

Azure portal にサインインし、お使いの Azure サブスクリプションに移動して [設定] タブの [リソースプロバイダー] を選択します。
Microsoft.DocumentDB リソースプロバイダーを検索します。そのリソースプロバイダーが既に登録済みとしてマークされているどうかを確認します。そうでない場合は、リソースプロバイダーを選択して [登録] を選択します。

Azure Key Vault インスタンスを構成する

重要

Azure Key Vault インスタンスは、パブリックネットワークアクセス経由でアクセス可能にするか、信頼された Microsoft サービスがそのファイアウォールをバイパスすることを許可する必要があります。プライベートエンドポイント経由でしかアクセスできないインスタンスは、カスタマーマネージドキーのホスティングに使用できません。

Azure Cosmos DB でカスタマーマネージドキーを使用するには、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスで 2 つのプロパティを設定する必要があります。論理的な削除と消去保護です。

新しい Azure Key Vault インスタンスを作成する場合は、作成時にこれらのプロパティを有効にします。
既存の Azure Key Vault インスタンスを使用している場合は、Azure portal の [プロパティ] セクションを見て、これらのプロパティが有効であることを確認できます。これらのプロパティのいずれかが有効になっていない場合は、次のいずれかの記事の「消去保護を有効にする」と「論理的な削除を有効にする」のセクションを参照してください。
- PowerShell で論理的な削除を使用する方法
- Azure CLI で論理的な削除を使用する方法

希望のセキュリティモデルを選ぶ

消去保護と論理的な削除を有効にしたら、[アクセスポリシー] タブで、使用する優先アクセス許可モデルを選択できます。アクセスポリシーは既定で設定されますが、Azure のロールベースのアクセス制御も使用できます。

Cosmos DB で暗号化キーを使用できるよう、必要なアクセス許可を付与する必要があります。この手順は、Azure Key Vault がアクセスポリシーとロールベースのアクセス制御のどちらを使用しているかにより異なります。

Note

注意すべきは、一度にアクティブにできるセキュリティモデルは 1 つだけなので、Azure Key Vault がアクセスポリシーを使うように設定されている場合、ロールベースのアクセス制御をシードする必要はありません。その逆も同様です)

アクセスポリシーの追加

このバリエーションでは、Azure Cosmos DB プリンシパルを使用して、適切なアクセス許可を持つアクセスポリシーを作成します。

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。左側のメニューの [アクセスポリシー] を選択します。
[+ アクセスポリシーの追加] を選択します。
[キーのアクセス許可] ドロップダウンメニューで、 [取得] 、 [キーの折り返しを解除] 、および [キーを折り返す] アクセス許可を選択します。
[プリンシパルの選択] で、 [選択されていません] を選択します。
Azure Cosmos DB のプリンシパルを検索して、それを選びます (見つけやすいよう、すべての Azure リージョンでアプリケーション ID a232010e-820c-4083-83bb-3ace5fc29d0b を使って検索することもできます。ただし、Azure Government リージョンだけはアプリケーション ID 57506a73-e302-42a9-b869-6f12d9ec29e9 を使います)。

ヒント

これにより、Azure Key Vault アクセスポリシーに Azure Cosmos DB のファーストパーティ ID が登録されます。 Azure Cosmos DB プリンシパルが一覧にない場合は、Microsoft.DocumentDB リソースプロバイダーの再登録が必要になる場合があります。
下部にある [選択] を選択します。
[追加] を選択して新しいアクセスポリシーを追加します。
すべての変更を保存するには、Key Vault インスタンスで [保存] を選択します。

ロールベースのアクセス制御ロールの追加

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。左側のメニューから [アクセス制御 (IAM)] を選択し、[このリソースへのアクセスを許可する] を選択します。
[Key Vault 管理者ロール] を検索し、自分に割り当てます。この割り当てを行うには、最初にリストからロール名を検索し、[メンバー] タブをクリックします。このタブでラジオから [ユーザー、グループ、またはサービスプリンシパル] オプションを選択し、Azure アカウントを検索します。アカウントを選択すると、ロールを割り当てることができます。
その後、必要なアクセス許可を Cosmos DB のプリンシパルに割り当てる必要があります。そのため、最後のロールの割り当てと同様に割り当てページに移動しますが、今回は [Key Vault Crypto Service Encryption User] ロールを探し、[メンバー] タブで Cosmos DB のプリンシパルを探します。プリンシパルを見つけるには、Azure Cosmos DB プリンシパルを検索し、それを選びます。

重要

Azure Government リージョンではアプリケーション ID は 57506a73-e302-42a9-b869-6f12d9ec29e9 です。
[確認と割り当て] を選択すると、ロールが Cosmos DB に割り当てられます。

ロールが正しく設定されていることを確認する

次に、アクセス制御ページを使用して、すべてのロールが正しく構成されていることを確認します。

ロールが割り当てられたら、アクセス制御 IAM ページで [このリソースへのアクセスを表示する] を選択して、すべてが正しく設定されていることを確認します。
ページでスコープを [このリソース] に設定し、Key Vault 管理者ロールがあり、Cosmos DB プリンシパルに Key Vault Crypto Encryption User ロールがあることを確認します。

Azure Key Vault でキーを生成する

ここでは Azure Key Vault を使用して新しいキーを作成し、一意の識別子を取得します。

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。次に、左側のメニューの [キー] を選択します。
[生成/インポート] を選択し、新しいキーに名前を付け、RSA キーサイズを選択します。最高のセキュリティを得るには、最小で 3072 をお勧めします。次に、 [作成] を選択します。
ヒント

または Azure CLI を使用して次のキーを生成できます:
```
az keyvault key create \
    --vault-name <name-of-key-vault> \
    --name <name-of-key>
```
Azure CLI を使用した Key Vault の管理の詳細については、「Azure CLI を使用して Azure Key Vault を管理する」をご覧ください。
キーが作成されたら、新しく作成されたキーを選択し、次にその現在のバージョンを選択します。
最後のスラッシュの後の部分を除き、キーの [キー識別子] をコピーします。

新しい Azure Cosmos DB アカウントを作成する

Azure portal または Azure CLI を使用して、新しい Azure Cosmos DB アカウントを作成します。

Azure portal から新しい Azure Cosmos DB アカウントを作成する場合は、 [暗号化] の手順で [カスタマーマネージドキー] を選択します。 [キー URI] フィールドで、前の手順でコピーした Azure Key Vault キーの URI/キー識別子を貼り付けます。

PowerShell で新しい Azure Cosmos DB アカウントを作成する場合、次を実行します。

前に PropertyObject の keyVaultKeyUri プロパティでコピーした Azure Key Vault キーの URI を渡します。
API バージョンとして 2019-12-12 以降を使用します。

重要

アカウントがカスタマーマネージドキーで正常に作成されるようにするには、locations プロパティを明示的に設定する必要があります。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for location
$LOCATION = "<azure-region>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for key URI in the key vault
$KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

$parameters = @{
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
    ApiVersion = "2019-12-12"
    ResourceGroupName = $RESOURCE_GROUP_NAME
    Location = $LOCATION 
    Name = $ACCOUNT_NAME 
    PropertyObject = @{
        databaseAccountOfferType = "Standard"
        locations = @(
            @{ 
                locationName = $LOCATION 
                failoverPriority = 0
            }
        )
        keyVaultKeyUri = $KEY_VAULT_KEY_URI
    }
}
New-AzResource @parameters

アカウントが作成されたら、Azure Key Vault キーの URI をフェッチすることで、カスタマーマネージドキーが有効であることを確認できます。

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME
    Name = $ACCOUNT_NAME
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
}
Get-AzResource @parameters
    | Select-Object -ExpandProperty Properties
    | Select-Object -ExpandProperty keyVaultKeyUri

Azure Resource Manager テンプレートを使用して新しい Azure Cosmos DB アカウントを作成する場合、次を実行します。

前に properties オブジェクトの keyVaultKeyUri プロパティでコピーした Azure Key Vault キーの URI を渡します。
API バージョンとして 2019-12-12 以降を使用します。

重要

アカウントがカスタマーマネージドキーで正常に作成されるようにするには、locations プロパティを明示的に設定する必要があります。

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "accountName": {
      "type": "string"
    },
    "location": {
      "type": "string"
    },
    "keyVaultKeyUri": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.DocumentDB/databaseAccounts",
      "name": "[parameters('accountName')]",
      "apiVersion": "2019-12-12",
      "kind": "GlobalDocumentDB",
      "location": "[parameters('location')]",
      "properties": {
        "locations": [
          {
            "locationName": "[parameters('location')]",
            "failoverPriority": 0,
            "isZoneRedundant": false
          }
        ],
        "databaseAccountOfferType": "Standard",
        "keyVaultKeyUri": "[parameters('keyVaultKeyUri')]"
      }
    }
  ]
}

次の PowerShell スクリプトを使用してテンプレートをデプロイします。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for location
$LOCATION = "<azure-region>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for key URI in the key vault
$KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME
    TemplateFile = "deploy.json"
    accountName = $ACCOUNT_NAME
    location = $LOCATION
    keyVaultKeyUri = $KEY_VAULT_KEY_URI
}
New-AzResourceGroupDeployment @parameters

Azure CLI を使用して新しい Azure Cosmos DB アカウントを作成する場合は、先に --key-uri パラメーターでコピーした Azure Key Vault キーの URI を渡します。

# Variable for resource group name
resourceGroupName="<resource-group-name>"

# Variable for location
location="<azure-region>"

# Variable for account name
accountName="<globally-unique-account-name>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$location \
    --key-uri $keyVaultKeyUri

アカウントが作成されたら、Azure Key Vault キーの URI をフェッチすることで、カスタマーマネージドキーが有効であることを確認できます。

az cosmosdb show \
    --resource-group $resourceGroupName \
    --name $accountName \
    --query "keyVaultKeyUri"

Azure Key Vault アクセスポリシーでのマネージド ID の使用

このアクセスポリシーにより、Azure Cosmos DB アカウントから暗号化キーにアクセスできるようになります。アクセスポリシーは、特定の Microsoft Entra ID へのアクセスを許可することによって実装されます。次の 2 種類の ID がサポートされています。

Azure Cosmos DB のファーストパーティ ID は、Azure Cosmos DB サービスへのアクセス権を付与するために使用できます。
Azure Cosmos DB アカウントのマネージド ID は、ご使用のアカウントへのアクセス権を明示的に付与するために使用できます。

ARM テンプレートを使用すると、アクセスポリシーにマネージド ID を割り当てることができます。

システムによって割り当てられたマネージド ID を取得できるのは、アカウントの作成後のみです。そのため、最初にファーストパーティー ID を使用してアカウントを作成する必要があります。その後、以下を実行します。

アカウントの作成時にシステム割り当てマネージド ID が構成されなかった場合は、アカウントでシステム割り当てマネージド ID を有効にし、割り当てられた principalId をコピーします。
前述のように、対応するアクセス許可を Azure Key Vault アカウントに追加します。 Cosmos DB プリンシパルを使用する代わりに、Azure Cosmos DB のファーストパーティー ID ではなく前の手順でコピーした principalId を使用します。
Azure Key Vault 内の暗号化キーにアクセスするときは、Azure Cosmos DB アカウントを更新して、システムによって割り当てられたマネージド ID を使用するように指定します。
```
{
  "type": " Microsoft.DocumentDB/databaseAccounts",
  "properties": {
    "defaultIdentity": "SystemAssignedIdentity",
    // ...
  },
  // ...
}
```
その後、必要に応じて、Azure Cosmos DB のファーストパーティ ID を Azure Key Vault アクセスポリシーから削除できます。

ユーザー割り当てマネージド ID で同様の手順を実行することもできます。

Azure Key Vault アカウントで新しいアクセスポリシーやロールの割り当てを作成する場合は、Azure Cosmos DB のファーストパーティー ID ではなく使用するマネージド ID の Object ID を使用します。

Azure Cosmos DB アカウントを作成する場合は、ユーザー割り当てマネージド ID を有効にし、Azure Key Vault で暗号化キーにアクセスするときにこの ID を使用するように指定する必要があります。

{
  "type": "Microsoft.DocumentDB/databaseAccounts",
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "<identity-resource-id>": {}
    }
  },
  // ...
  "properties": {
    "defaultIdentity": "UserAssignedIdentity=<identity-resource-id>",
    "keyVaultKeyUri": "<key-vault-key-uri>"
    // ...
  }
}

Azure CLI を使用すると、アクセスポリシーにマネージド ID を割り当てることができます。

アカウントの作成時にシステム割り当てマネージド ID が構成されなかった場合は、アカウントでシステム割り当てマネージド ID を有効にし、割り当てられた principalId をコピーします。
前述のように、対応するアクセス許可を Azure Key Vault アカウントに追加します。 Cosmos DB プリンシパルを使用する代わりに、Azure Cosmos DB のファーストパーティー ID ではなく前の手順でコピーした principalId を使用します。

Azure Key Vault 内の暗号化キーにアクセスするときは、Azure Cosmos DB アカウントを更新して、システムによって割り当てられたマネージド ID を使用するように指定します。

# Variables for resource group and account names
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

az cosmosdb update \
    --resource-group $resourceGroupName \
    --name $accountName \
    --default-identity "SystemAssignedIdentity"

その後、必要に応じて、Azure Cosmos DB のファーストパーティ ID を Azure Key Vault アクセスポリシーから削除できます。

ユーザー割り当てマネージド ID で同様の手順を実行することもできます。

Azure Key Vault アカウントで新しいアクセスポリシーやロールの割り当てを作成する場合は、Azure Cosmos DB のファーストパーティー ID ではなく使用するマネージド ID の Object ID を使用します。

# Variables for resource group and account name
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

# Variable for location
location="<azure-region>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

# Variables for identities
identityId="<identity-resource-id>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$location \
    --key-uri $keyVaultKeyUri
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId"

使用不可

継続的バックアップでカスタマーマネージドキーを使用する

Azure CLI または Azure Resource Manager テンプレートを使って、継続的バックアップアカウントを作成できます。

現在、継続的バックアップアカウントの作成では、ユーザー割り当てマネージド ID のみがサポートされています。

アカウントを作成後、ID をシステム割り当てマネージド ID に更新できます。

または、ユーザーは、最初に定期的バックアップモードでシステム ID を作成してから、次の手順「Azure Cosmos DB アカウントを定期バックアップモードから継続的バックアップモードに移行する」に従ってアカウントを継続的バックアップモードに移行することもできます。

# Variables for resource group and account name
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

# Variable for location
location="<azure-region>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

# Variables for identities
identityId="<identity-resource-id>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$location \
    --key-uri $keyVaultKeyUri
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId" \
    --backup-policy-type "Continuous"

Azure Resource Manager テンプレートを使用して新しい Azure Cosmos DB アカウントを作成する場合、次を実行します。

前に properties オブジェクトの keyVaultKeyUri プロパティでコピーした Azure Key Vault キーの URI を渡します。
API バージョンとして 2021-11-15 以降を使います。

重要

カスタマーマネージドキーでアカウントが正常に作成されるには、次の例で示すように、locations プロパティを明示的に設定する必要があります。

{
  "type": "Microsoft.DocumentDB/databaseAccounts",
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "<identity-resource-id>": {}
    }
  },
  // ...
  "properties": {
    "backupPolicy": {
      "type": "Continuous"
    },
    "defaultIdentity": "UserAssignedIdentity=<identity-resource-id>""keyVaultKeyUri": "<key-vault-key-uri>"
    // ...
  }
}

使用不可

マネージド ID で構成された継続的アカウントを復元する

ソースアカウントのマネージド ID (ユーザー割り当て ID とシステム割り当て ID) をターゲットデータベースアカウントに自動的に引き継ぐことはできないため、復元要求ではユーザー割り当て ID が必要です。

Azure CLI
PowerShell、Azure Resource Manager テンプレート、Azure portal

Azure CLI を使用すると、システム割り当てマネージド ID またはユーザー割り当てマネージド ID を使用して既に構成されている継続的アカウントを復元できます。

復元プロセスに新しいユーザー割り当て ID を作成 (または既存の ID を使用) します。
上記のように Azure Key Vault アカウントに新しいアクセスポリシーを作成し、手順 1 のマネージド ID のオブジェクト ID を使用します。

Azure CLI を使用して復元をトリガーします。

# Variables for resource group and account names
resourceGroupName="<resource-group-name>"
sourceAccountName="<source-azure-cosmos-db-account-name>"
targetAccountName="<target-azure-cosmos-db-account-name>"

# Variable for location
location="<azure-region>"

# Variables for identities
identityId="<identity-resource-id>"

# Variable for timestamp to restore to
timestamp="<timestamp-in-utc>"

az cosmosdb restore \ 
    --resource-group $resourceGroupName \
    --account-name $sourceAccountName \
    --target-database-account-name $targetAccountName \
    --location $location \
    --restore-timestamp $timestamp \
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId" \

復元が完了すると、ターゲット (復元済み) アカウントにはユーザー割り当て ID が割り当てられます。必要に応じて、ユーザーはシステム割り当てマネージド ID を使用するようにアカウントを更新できます。

使用できません。

カスタマーマネージドキーと二重暗号化

カスタマーマネージドキーを使用する場合、Azure Cosmos DB アカウントに格納するデータは最終的に 2 回暗号化されます。

Microsoft マネージドキーを使用して実行される既定の暗号化で 1 回。
カスタマーマネージドキーを使用して実行される追加の暗号化で 1 回。

二重暗号化は、メインの Azure Cosmos DB トランザクションストレージにのみ適用されます。カスタマーマネージドキーを使用していても、機能によっては、二重暗号化が提供されない第 2 階層のストレージにデータが内部で複製されます。これには次の機能があります。

キーの交換

Azure Cosmos DB アカウントで使用されるカスタマーマネージドキーのローテーションは、次の 2 つの方法で行うことができます。

Azure Key Vault から、現在使用されているキーの新しいバージョンを作成します。

アカウントのキー URI を更新して、現在使用されているキーを別のキーに切り替えます。 Azure portal から、Azure Cosmos DB アカウントに移動し、左側のメニューから [データ暗号化] を選択します。

リソースナビゲーションメニューの [データ暗号化] オプションのスクリーンショット。

次に、 [キー URI] を使用する新しいキーに置き換え、 [保存] を選択します。

PowerShell で同じ結果を実現するには、次のようにします。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for new key URI in the key vault
$NEW_KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<new-key-name>"

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME 
    Name = $ACCOUNT_NAME
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
}
$ACCOUNT = Get-AzResource @parameters

$ACCOUNT.Properties.keyVaultKeyUri = $NEW_KEY_VAULT_KEY_URI

$ACCOUNT | Set-AzResource -Force

前のキーまたはキーバージョンは、Azure Key Vault 監査ログに Azure Cosmos DB からそのキーまたはキーバージョンに対するアクティビティが出現しなくなった後に無効にすることができます。キーのローテーションから 24 時間が経過すれば、以前のキーまたはキーのバージョンに対するアクティビティが実行されることはないでしょう。

エラー処理

Azure Cosmos DB でカスタマーマネージドキーによるエラーが発生した場合、Azure Cosmos DB によって、エラーの詳細が HTTP サブ状態コードと共に応答で返されます。 HTTP サブ状態コードを使用して、問題の根本原因をデバッグできます。サポートされている HTTP サブ状態コードの一覧については、「Azure Cosmos DB の HTTP 状態コード」を参照してください。

よく寄せられる質問

Azure Cosmos DB でのカスタマーマネージドキーの設定に関してよく寄せられる質問を次に示します。

カスタマーマネージドキーを有効にするために追加料金は発生しますか?

いいえ、この機能を有効にするためにかかる料金はありません。

カスタマーマネージドキーは容量計画にどのような影響がありますか?

カスタマーマネージドキーを使用する場合、データベース操作によって使用される要求ユニットは、データの暗号化と復号化を実行するために必要な追加の処理を反映して増加します。追加の RU の使用により、プロビジョニングされた容量の使用率が若干高くなる可能性があります。ガイダンスのためにこの表を使用してください。

操作の種類	要求ユニットの増加
ポイント読み取り (ID による項目のフェッチ)	+ 5%/操作
任意の書き込み操作	操作あたり + 6% \|インデックス付きプロパティあたり約 + 0.06 RU
クエリ、変更フィードの読み取り、または競合フィード	+ 15%/操作

カスタマーマネージドキーでどのようなデータが暗号化されますか?

カスタマーマネージドキーでは、次のメタデータを除き、ご自分の Azure Cosmos DB アカウントに格納されているすべてのデータが暗号化されます。

Azure Cosmos DB アカウント、データベース、およびコンテナーの名前
ストアドプロシージャの名前
インデックス作成ポリシーで宣言されているプロパティパス
お使いのコンテナーのパーティションキーの値

カスタマーマネージドキーは既存の Azure Cosmos DB アカウントでサポートされますか?

この機能は現在、新しいアカウントでのみ使用できます。

Azure Cosmos DB の分析ストアと共にカスタマーマネージドキーを使用することはできますか?

はい。Azure Synapse Link では、Azure Cosmos DB アカウントのマネージド ID を使用したカスタマーマネージドキーの構成のみがサポートされています。ご利用のアカウントで Azure Synapse Link を有効にするには、Azure Key Vault アクセスポリシーで Azure Cosmos DB アカウントのマネージド ID を使用する必要があります。マネージド ID を有効にしてアクセスポリシーで使用する方法に関する攻略ガイドについては、マネージド ID を使用して Azure Cosmos DB から Azure Key Vault にアクセスする方法に関するページを参照してください。

アカウントレベルのキーより細かい粒度をサポートする計画はありますか?

現時点ではありませんが、コンテナーレベルのキーが検討されています。

Azure Cosmos DB アカウントでカスタマーマネージドキーが有効かどうかを確認するにはどうすればよいですか?

Azure portal から、Azure Cosmos DB アカウントに移動し、左側のメニューで [データ暗号化] のエントリを探します。このエントリが存在する場合は、カスタマーマネージドキーがアカウントで有効になっています。

リソースナビゲーションメニューの [データ暗号化] オプションのスクリーンショット。

プログラムで Azure Cosmos DB アカウントの詳細をフェッチして、keyVaultKeyUri プロパティの存在を確認することもできます。

カスタマーマネージドキーは定期的なバックアップにどのように影響しますか?

Azure Cosmos DB は、アカウントに格納されているデータの定期的な自動バックアップを取得します。この操作では、暗号化されたデータがバックアップされます。

定期的なバックアップを正常に復元するには、次の条件が必要です。

バックアップ時に使用した暗号化キーは、Azure Key Vault で使用できる必要があります。この条件には、失効されておらず、バックアップの時点で使用していたキーのバージョンがまだ有効である必要があります。
アクセスポリシーでシステム割り当てマネージド ID を使用した場合は、データを復元する前に、一時的にAzure Cosmos DB ファーストパーティ ID へのアクセスを許可します。この要件は、システム割り当てマネージド ID はアカウントに固有であり、ターゲットアカウントで再利用できないために存在します。データがターゲットアカウントに完全に復元されたら、目的の ID 構成を設定し、Key Vault のアクセスポリシーからファーストパーティの ID を削除できます。

カスタマーマネージドキーは継続的バックアップにどのように影響しますか?

Azure Cosmos DB には、アカウントで継続的バックアップを構成するオプションが用意されています。継続的バックアップを使用すると、過去 30 日以内の任意の時点にデータを復元できます。カスタマーマネージドキーが有効になっているアカウントで継続的バックアップを使用するには、Key Vault のアクセスポリシーでシステム割り当てまたはユーザー割り当てマネージド ID を使用する必要があります。 Azure Cosmos DB のファーストパーティ ID は、継続的バックアップを使用するアカウントでは現在サポートされていません。

カスタマーマネージドキーが有効なアカウントでユーザー割り当て ID を更新するための前提条件の手順。

Cosmos DB アカウントにユーザー割り当て ID を追加し、キーコンテナーのアクセスポリシーにアクセス許可を付与します。
Azure CLI または ARM を使用して、ユーザー割り当てを既定の ID として設定します。

az cosmosdb update --resource-group MyResourceGroup --name MyAccountName --default-identity UserAssignedIdentity=/subscriptions/MySubscriptionId/resourcegroups/MyResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MyUserAssignedIdentity

ポイントインタイムリストアが正常に実行するには、次の条件が必要です。

バックアップ時に使用した暗号化キーは、Azure Key Vault で使用できる必要があります。この要件は、失効されておらず、バックアップの時点で使用していたキーのバージョンがまだ有効であることを意味します。
ソースアカウントでもともと使われていたユーザー割り当てマネージド ID が、Key Vault のアクセスポリシーでまだ宣言されていることを確認する必要があります。

重要

アカウントを削除する前に暗号化キーを取り消した場合、取り消しが行われる前の最大 1 時間の間に書き込まれたデータが、アカウントのバックアップで失われる可能性があります。

暗号化キーを失効させるにはどうすればよいですか?

キーの失効は、そのキーの最新バージョンを無効にすることによって行われます。

あるいは、Azure Key Vault インスタンスからすべてのキーを失効させるために、Azure Cosmos DB プリンシパルに付与されているアクセスポリシーを削除することもできます。

カスタマーマネージドキーが失効した後、どのような操作を使用できますか?

暗号化キーが失効しているときに使用できる唯一の操作はアカウントの削除です。

復元されたデータベースアカウントに新しいマネージド ID を割り当てて、データベースアカウントへのアクセスを続行するか、アクセスを回復します

ユーザー割り当て ID は指定された Cosmos DB アカウントに関連付けられており、ユーザー割り当て ID をアカウントに割り当てるたびに、ARM は要求をマネージドサービス ID に転送して、この接続を確立します。現在、CMK + ユーザー割り当て ID の復元 (継続的バックアップと定期的バックアップ両方の復元) 中に、ソースデータベースアカウントからターゲットデータベースアカウントにユーザー ID 情報を引き継ぎます。

ID メタデータはソースデータベースアカウントにバインドされているため、復元ワークフローでターゲットデータベースアカウントに ID のスコープが再設定されません。これにより、復元されたデータベースアカウントが正しくない状態になり、ソースアカウントが削除されて ID 更新時間の有効期限が切れるとアクセスできなくなります。

新しいマネージド ID を割り当てる手順:

次のステップ

Azure Cosmos DB でのデータの暗号化について学習します。

Azure Key Vault で Azure Cosmos DB アカウントのカスタマー マネージド キーを構成する

前提条件

Azure Cosmos DB リソース プロバイダーを登録する

Azure Key Vault インスタンスを構成する

希望のセキュリティ モデルを選ぶ

アクセス ポリシーの追加

ロールベースのアクセス制御ロールの追加

ロールが正しく設定されていることを確認する

Azure Key Vault でキーを生成する

新しい Azure Cosmos DB アカウントを作成する

Azure Key Vault アクセス ポリシーでのマネージド ID の使用

継続的バックアップでカスタマー マネージド キーを使用する

マネージド ID で構成された継続的アカウントを復元する

カスタマー マネージド キーと二重暗号化

キーの交換

エラー処理

よく寄せられる質問

カスタマー マネージド キーを有効にするために追加料金は発生しますか?

カスタマー マネージド キーは容量計画にどのような影響がありますか?

カスタマー マネージド キーでどのようなデータが暗号化されますか?

カスタマー マネージド キーは既存の Azure Cosmos DB アカウントでサポートされますか?

Azure Cosmos DB の分析ストアと共にカスタマー マネージド キーを使用することはできますか?

アカウント レベルのキーより細かい粒度をサポートする計画はありますか?

Azure Cosmos DB アカウントでカスタマー マネージド キーが有効かどうかを確認するにはどうすればよいですか?

カスタマー マネージド キーは定期的なバックアップにどのように影響しますか?

カスタマー マネージド キーは継続的バックアップにどのように影響しますか?