Microsoft Azure 用カスタマーロックボックス

[アーティクル]
03/28/2024

注意

この機能を使用するには、Developer レベル以上の Azure サポートプランが組織に必要です。

Microsoft の担当者および副処理者によって実行されるほとんどの操作やサポートでは、お客様のデータにアクセスする必要はありません。そのようなアクセスが必要となるまれな状況では、Microsoft Azure 用カスタマーロックボックスに、お客様が顧客データへのアクセス要求を承認または拒否するインターフェイスが用意されます。これは、お客様から開始されたサポートチケットまたは Microsoft によって特定された問題に対応しているかどうかにかかわらず、Microsoft のエンジニアが顧客データにアクセスする必要がある場合に使用されます。

この記事では、Microsoft Azure のカスタマーロックボックスを有効にする方法、要求を開始および追跡する方法、後のレビューと監査のために要求を保存する方法について説明します。

サポートされているサービス

Microsoft Azure のカスタマーロックボックスでは、現在、次のサービスがサポートされています。

Azure API Management
Azure App Service
Azure AI Search
Azure Chaos Studio
Azure Cognitive Services
Azure Container Registry
Azure Data Box
Azure Data Explorer
Azure Data Factory
Azure Data Manager for Energy
Azure Database for MySQL
Azure Database for MySQL フレキシブルサーバー
Azure Database for PostgreSQL
Azure Edge Zone Platform Storage
Azure Energy
Azure Functions
Azure HDInsight
Azure Health Bot
Azure Intelligent Recommendations
Azure Kubernetes Service
Azure Load Testing (CloudNative Testing)
Azure Logic Apps
Azure Monitor (Log Analytics)
Azure Red Hat OpenShift
Azure Spring Apps
Azure SQL Database
Azure SQL Managed Instance
Azure Storage
Azure サブスクリプションの譲渡
Azure Synapse Analytics
Commerce AI (Intelligent Recommendations)
DevCenter/DevBox
ElasticSan
Kusto (ダッシュボード)
Microsoft Azure Attestation
OpenAI
Spring Cloud
Unified Vision Service
Azure の Virtual Machines

Microsoft Azure 用カスタマーロックボックスを有効にする

Microsoft Azure のカスタマーロックボックスを管理モジュールから有効にすることができるようになりました。

Note

Microsoft Azure のカスタマーロックボックスを有効にするには、ユーザーアカウントに全体管理者ロールが割り当てられている必要があります。

ワークフロー

次の手順は、Microsoft Azure のカスタマーロックボックス要求の一般的なワークフローの概要です。

組織の誰かに Azure のワークロードの問題があります。
このユーザーが問題のトラブルシューティング行っても解決できない場合、Azure portal からサポートチケットを開きます。このチケットは Azure カスタマーサポートエンジニアに割り当てられます。
Azure サポートエンジニアがサービス要求を確認し、問題を解決するための次の手順を判断します。
サポートエンジニアが標準のツールとサービスで生成されたデータを使用して問題のトラブルシューティングを行うことができない場合、次の手順は、Just-In-Time (JIT) アクセスサービスを使用して管理者特権のアクセス許可を要求することです。問題は Azure DevOps チームにエスカレートされているため、これは元のサポートエンジニアまたは別のエンジニアからの要求である可能性があります。
Azure エンジニアがアクセス要求を送信すると、Just-In-Time サービスによって次のような要素を考慮して要求が評価されます。
- リソースのスコープ。
- 要求者が分離 ID であるか、または多要素認証を使用しているか。
- アクセス許可レベル。 JIT ルールに基づき、この要求には Microsoft 社内承認者からの承認も含まれる場合があります。たとえば、承認者は、カスタマーサポートのリーダーや DevOps マネージャーの場合があります。
要求に顧客データへの直接アクセスが必要な場合、カスタマーロックボックス要求が開始されます。たとえば、お客様の仮想マシンへのリモートデスクトップアクセスです。

要求が [Customer Notified](お客様に通知済み) 状態になり、アクセスを許可する前のお客様の承認待ちになります。
特定のカスタマーロックボックス要求に対するお客様の組織の承認者は、次のように決定されます。
- サブスクリプションスコープが設定された要求 (サブスクリプションに含まれる特定のリソースへのアクセス要求) の場合、関連付けられているサブスクリプションの所有者ロール、またはサブスクリプションの Azure カスタマーロックボックス承認者ロール (現在パブリックプレビュー段階) を持つユーザー。
- テナントスコープ要求 (Microsoft Entra テナントへのアクセス要求) の場合、そのテナントの全体管理者ロールを持つユーザー。
Note

ロールの割り当ては、Microsoft Azure のカスタマーロックボックスで要求の処理が開始される前に行う必要があります。 Microsoft Azure のカスタマーロックボックスで特定の要求の処理が開始された後に行われたロールの割り当ては認識されません。このため、サブスクリプション所有者ロールに PIM の適格な割り当てを使用するには、ユーザーはカスタマーロックボックス要求が開始される前にロールをアクティブにする必要があります。 PIM 対象ロールのアクティブ化の詳細については、PIM での Microsoft Entra ロールのアクティブ化、または PIM での Azure リソースロールのアクティブ化に関する各ページを参照してください。

現時点では、管理グループをスコープとするロールの割り当ては、Microsoft Azure のカスタマーロックボックスではサポートされていません。
お客様の組織では、指定されたロックボックス承認者 (Azure サブスクリプション所有者、Microsoft Entra 全体管理者、またはサブスクリプションの Azure カスタマーロックボックス承認者) が、保留中のアクセス要求について通知する電子メールを Microsoft から受け取ります。また、Azure ロックボックス代替電子メール通知機能 (現在パブリックプレビュー段階) を使用して、Azure アカウントで電子メールが有効になっていないシナリオで、またはサービスプリンシパルがロックボックス承認者として定義されている場合、ロックボックス通知を受信するための代替電子メールアドレスを構成することもできます。

電子メールの例:
メール通知には、カスタマーロックボックス ブレードの [Administration](管理) モジュールへのリンクが記載されます。指定された承認者は、Azure portal にサインインして、組織が Microsoft Azure のカスタマーロックボックスについて保留しているすべての要求を表示します。要求は顧客キューに 4 日間残ります。この時間が経過すると、アクセス要求は自動的に期限切れになり、Microsoft のエンジニアにはアクセスが許可されません。
保留中の要求の詳細を取得するために、指定された承認者は [保留中の要求] からカスタマーロックボックス要求を選択できます。
指定された承認者は [サービス要求 ID] を選択して、元のユーザーが作成したサポートチケット要求を表示することもできます。この情報には、Microsoft サポートが対応している理由と、報告された問題の履歴に関する状況が提供されます。例:
指定された承認者は要求を確認し、[承認] または [拒否] を選択します。選択の結果は次のようになります。
- 承認: 要求の詳細で指定された期間 (これは電子メール通知と Azure portal に表示されます)、Microsoft エンジニアにアクセスが許可されます。
- 拒否:Microsoft のエンジニアによる管理者特権のアクセス要求は拒否され、以降の操作は行われません。
監査のために、このワークフローで実行されたアクションは [Customer Lockbox request logs](カスタマーロックボックス要求ログ) に記録されます。

監査ログ

カスタマーロックボックスログはアクティビティログに格納されます。 Azure portal で [アクティビティログ] を選択し、カスタマーロックボックス要求に関連する監査情報を表示します。次のように特定のアクションをフィルター処理することができます。

[Deny Lockbox Request](ロックボックス要求を拒否する)
[Create Lockbox Request](ロックボックス要求を作成する)
[Approve Lockbox Request](ロックボックス要求を承認する)
[Lockbox Request Expiry](ロックボックス要求の有効期限)

例

Microsoft Azure のカスタマーロックボックスと Microsoft クラウドセキュリティベンチマークの統合

カスタマーロックボックスの適用性をカバーする Microsoft クラウドセキュリティベンチマークに、新しいベースライン制御 (「PA-8: クラウドプロバイダーサポートのアクセスプロセスを決定する」) が導入されました。お客様は、このベンチマークを使用して、サービスに対するカスタマーロックボックスの適用性を確認できるようになりました。

除外

カスタマーロックボックス要求は、次のシナリオではトリガーされません。

標準的な運用手順から外れた緊急シナリオ。たとえば、サービスの大規模な停止では、突発的、または予期しないシナリオでサービスを復旧または復元するために早急に対処する必要があります。このような "緊急" イベントはまれであり、ほとんどの場合、解決するのに顧客データへのアクセスは必要ありません。
Microsoft のエンジニアは、トラブルシューティングの一環として Azure プラットフォームにアクセスし、意図せず顧客データを目にします。たとえば、Azure Network チームはトラブルシューティングを行い、その結果、ネットワークデバイスでパケットキャプチャが行われます。このようなシナリオで、多くの重要な顧客データがアクセスされることはめったにありません。お客様は、一部の Azure サービスで利用できるカスタマーマネージドキー (CMK) を使用して、データの保護を強化できます。詳細については、Azure でのキー管理の概要を参照してください。

データに対する外部の法的な要求によって、カスタマーロックボックス要求がトリガーされることもありません。詳細については、Microsoft Trust Center の政府機関によるデータの要求についての説明を参照してください。

次のステップ

カスタマーロックボックスブレードの [管理] モジュールからカスタマーロックボックスを有効にします。 Microsoft Azure のカスタマーロックボックスは、Developer レベル以上の Azure サポートプランをお持ちのすべてのお客様が利用できます。

Microsoft Azure 用カスタマー ロックボックス