Important
機密仮想マシン (VM) の Azure Backup は現在プレビュー段階です。 ベータ版、プレビュー版、または一般提供としてまだリリースされていない Azure の機能に適用される法律条項については、「Microsoft Azure プレビューの追加使用条件」を参照してください。
Azure Backup では、機密性の高いワークロードの安全なバックアップと復元を提供する Confidential Virtual Machines (CVM) が サポートされています。 この機能は、Azure Disk Encryption Set(DES)とプラットフォーム管理キー(PMK)または顧客管理キー(CMK)を組み合わせて、バックアップライフサイクル全体を通じてデータの機密性を維持します。 機密 VM は、アプリケーションと仮想化スタックの間にハードウェアによって強制される境界を作成することで、強力なセキュリティを提供します。
この記事では、プラットフォーム管理鍵(PMK)または顧客管理鍵(CMK)を用いたOSディスク暗号化された機密VM(CVM)の設定とバックアップ方法について説明します。 バックアップの前提条件、権限要件、構成フローに焦点を当てています。
機密 VM バックアップでサポートされるシナリオ
次の表に、機密 VM バックアップでサポートされるシナリオを示します。
| Scenario | サポータビリティ |
|---|---|
| 仮想マシンのサイズ |
v6 シリーズ がサポートされています。 v5 シリーズ はサポートされていません。 |
| リージョンの可用性 | アラブ首長国連邦北部、韓国中部、米国東部、西ヨーロッパ、北ヨーロッパ、東南アジア、米国西部、ドイツ中西部、英国南部でサポートされています |
| バックアップのキーローテーション | 機密仮想マシンのディスクに関連付けられているキーをローテーションすると、関連する復元ポイントとスナップショットのキーが自動的に更新されます。 1 つの DES に 6,000 を超えるディスクを接続し、(のみ) 復元ポイントがこれらのディスクに関連付けられている場合、パフォーマンスの低下やエラーが発生する可能性があります。 同じ DES に接続されているこれらのディスクのAzure バックアップの外部でディスク スナップショットを直接作成すると、DES マッピングに対する 6,000 ディスクの安全なしきい値が下がります。 |
| バックアップ機能 | - OS ディスク暗号化のみを使用して機密 VM をバックアップできます。 - サブスクリプションで CVM v2 オプトアウト機能フラグが有効になっている場合、バックアップと復元は失敗します。 - マルチディスクのクラッシュ コンシステント バックアップはサポートされていません。 - リージョン間の復元はサポートされていません。 |
サポートマトリックスは、サポートリージョン、VMシリーズ、復元機能の真実の情報源となります。
[前提条件]
機密VMのバックアップを設定する前に、以下の前提条件が満たされているか確認してください:
Azure サブスクリプションのプレビュー機能に登録する - 名前:
RestorePointSupportForConfidentialVMV2プロバイダー:Microsoft.Compute。 登録するにはプレビュー機能をご覧ください。 次の PowerShell コマンドレットを実行することもできます。 登録は自動的に承認されます。Register-AzProviderFeature -FeatureName "RestorePointSupportForConfidentialVMV2" -ProviderNamespace "Microsoft.Compute"サポートされているリージョンで機密 VM (CVM) を特定または作成します。 サポートされているリージョンを参照してください。
VMと同じリージョン内で リカバリーサービスのボールト を特定し、作成してください。
バックアップポリシーを設定し、環境内でキーアクセス権限を割り当てられることを確認してください。
PMK または CMK を使用して新しい Confidential VM を作成する
Azure Backupで機密VMをバックアップするには、PMKまたはCMK暗号化で設定されている機密VMが必要です。 Azure Backup では、VM に関連付けられているディスク暗号化セット (DES) を使用して、バックアップと復元のプロセス全体で暗号化を維持します。
必要に応じて、 PMKやCMKで新しい機密VMを作成する方法を学びましょう。
バックアップ構成の概要
Confidential VMバックアップの場合、バックアップペイロードとポリシーモデルはAzure VMバックアップと同じです。 追加の要件は、VMが使用する暗号化資産(Key VaultまたはManaged HSM)へのアクセスです。
大まかなフロー:
- サポートや前提条件を確認しましょう。
- バックアップのために暗号化資産の権限が整っていることを確認してください。
- バックアップポリシーの設定または選択。
- 機密VMのバックアップを有効にしてください。
- 初期バックアップジョブをトリガーし監視します。
機密 VM バックアップのアクセス許可を割り当てる
Azure Backupは、鍵を保存するKey VaultまたはManaged Hardware Security Module(HSM)へのアクセスが必要です。 このアクセスにより、サービスがキーをバックアップし、削除された場合に回復できるようになります。 Azure portal でバックアップを構成すると、必要なアクセス許可が Azure Backup によって自動的に取得されます。 PowerShell、CLI、REST API などの他のクライアントを使用する場合は、これらのアクセス許可を手動で割り当てる必要があります。
Key Vaultで鍵を保存している場合は、バックアップ操作のためにAzure Backupサービスに権限を与えてください。
MHSM のアクセス許可を割り当てるには、次の手順に従います。
Azure portal で Managed HSM に移動し、[設定] で [ローカル RBAC] を選択します。
[ 追加] を選択して 、新しいロールの割り当てを追加します。
次のいずれかのロールを選択します。
組み込みロール: 組み込みロールを使用する場合は、 Managed HSM Crypto User ロールを選択します。
カスタムロール:カスタムロールを使用したい場合は、そのロールの dataActions に以下の値が必要です:
- Microsoft.KeyVault/managedHsm/keys/read/action
- Microsoft.KeyVault/managedHsm/keys/backup/action
Managed HSM データ プレーン ロール管理を使用して、カスタム ロールを作成できます。
[スコープ] で、カスタマー マネージド キーを使用して機密 VM を作成するために使用する特定のキーを選択します。
[すべてのキー] を選択することもできます。
セキュリティ プリンシパルで、[バックアップ管理サービス] を選択します。
権限を割り当てた後は、ロールやポリシーの変更が伝播するのを待ってからバックアップをトリガーしてください。
Confidential VM のバックアップを構成する
Azure Backupが必要な権限を取得したら、標準のAzure VMバックアップ設定フローを続けてください。 Azure VM バックアップを構成する方法について説明します。
設定中:
- Recovery Servicesのボールトとバックアップポリシーを選択してください。
- 保護する機密VMを選択します。
- キーアクセスに関する許可警告がないことを確認する。
- バックアップを有効にし、初期のジョブ完了を監視してください。
次のステップ
Azure Backup (プレビュー) を使用して CVM を復元します。