Azure Backup を使用して機密 VM を復元する (プレビュー)

Important

機密仮想マシン (VM) の Azure Backup は現在プレビュー段階です。ベータ版、プレビュー版、または一般提供としてまだリリースされていない Azure の機能に適用される法律条項については、「Microsoft Azure プレビューの追加使用条件」を参照してください。

この記事では、Azure Backupを用いてOSディスクで暗号化されたConfidential VM(PMK)またはCustomer Managed Key(CMK)を復元する方法を説明します。鍵およびディスク暗号化セット(DES)状態間での復元動作を説明し、鍵喪失シナリオの回復手順を提供します。

機密 VM バックアップでサポートされるシナリオについて説明します。

サポート済み復元シナリオ

Azure Backupは、OSディスクで暗号化されたConfidential VMに対して以下の復元シナリオをサポートしています:

カテゴリ	サポートの詳細
復元の種類	Restore VM(代替位置復元)、Restore VM (元の位置復元)、およびリストアディスク
暗号化の構成	復元ティアでサポートされている内容に応じて、元の暗号化構成またはお客様が指定した置換用 Disk Encryption Set を使用して、OS ディスクの暗号化を復元できます

サポート範囲や地域ごとの利用可能性については、 Confidential VMバックアップのサポートマトリックスを参照してください。

スナップショット層からの復元

スナップショット層の復元ポイントには以下のシナリオがサポートされています:

シナリオ	サポートの詳細	復元手順
バックアップ時に使用された元のキーは、同じDESに関連付けられたキーストアで利用可能です	サポートされている	復元時にオリジナルDESを使う
バックアップが行われたため、キーは回転しています	サポートされている	キーの回転は対応するスナップショットにも伝播します。復元時にオリジナルDESを使う
バックアップ時に使用された元のキーは削除されます	サポートしていません	スナップショット層の復元ポイントには対応していません
復元されたCVMのOSディスクを新しいキーでラップします	サポートしていません	スナップショット層の復元ポイントには対応していません

スナップショットとヴォールトされたティアの両方を持つ復元ポイントに新しいDESを提供した場合、復元プロセスはヴォールトされたティアから復元しようとします。

ボールトティアからの復元

Vault層の復元ポイントは以下のシナリオをサポートします:

シナリオ	サポートの詳細	復元手順
バックアップ時に使用された元のキーは、同じDESに関連付けられたキーストアで利用可能です	サポートされている	復元時にオリジナルDESを使う
バックアップが行われたため、キーは回転しています	サポートされている	2段階の復元プロセスを踏みます。 DES関連付け: ローテーション後の新しいキー
バックアップ時に使用された元の鍵はキーストアから削除されます	サポートされている	2段階の復元プロセスを踏みます
復元されたCVMのOSディスクを新しいキーでラップします	サポートされている	2段階の復元プロセスを踏みます。 DES関連:新しいキー

新しいラッピングキーでVaultレベルの復元を行う場合:

復元されたOSディスクに使いたい新しいキーに関連付けられたDESを提供してください。
新しい(ラップ)キーが元の(アンラップ)キーと異なる場合は、両方のキーが同じキーボールト内に存在していることを確認してください。
Azure Backupは復元時に元のキーを使ってバックアップデータを展開し、新しいキーを使って復元されたOSディスクをラップします。

復元を成功させるための要件

Azure Backupが必要な暗号化関係を検証できると、リストアは成功します。

復元ポイントレベル	Criteria
Snapshot	提供されたディスク暗号化セットは元のものと同じです。
ヴォールト	- 提供されたDESは元の鍵と同一の鍵保管庫に関連付けられ、元の鍵が存在すること。 - 提供されたDESは、バックアップから元のキーが復元された別のキーヴォルトに関連付けられています。

フローの回復

元の暗号化資産を使いながら復元

このオプションは、次の場合に使用します。

オリジナルのDESリソースも存在します。
オリジナルのKey Vaultリソースは存在します。
必要な鍵は引き続き利用可能です。

このシナリオでは:

追加の暗号化設定は不要です。
Azure BackupはVMの暗号化設定を自動的に再構築します。

元の暗号化資産を使って復元するには、バックアップのデフォルトの暗号化選択を続けてください。

入力をしない場合は、このオプションがデフォルトで選択されます。復元は成功した復元条件を満たさなければ失敗します。

置き換え暗号化資産を用いて復元

このオプションは、次の場合に使用します。

元の Key Vault は削除されました。
元の鍵は削除されました。
オリジナルのDESリソースは利用できません。
復元されたOSディスクをラップするには別のキーを使う必要があります。

成功の基準

スナップショット層からの復元はこのモードをサポートしていません。
新しいDESに関連付けられたキーボールトには、バックアップ時に使用された元のキーが含まれるはずです。必要に応じて、欠損した鍵を復元してください。
ラップ操作とアンラップ操作に異なる鍵を使う場合、両方の鍵は同じ鍵保管庫内に存在しなければなりません。新しいキーは、提供されたDESに関連付けられたものでなければなりません。

OSディスク暗号化設定

OS ディスクの回復では、Provide Disk Encryption Set(s) for restore を選択し、有効な DES を選択してください。

注

復元用に新しいDESを提供する場合、バックアップサービスは参照されたキーボールトへのアクセスが必要です。必要な許可:キーを取得してリストすること。権限の割り当てについて詳しくはこちらをご覧ください。

元の暗号化資産が利用できない場合の回復

元の鍵が削除、無効化、またはアクセス不能になった場合:

復元の試みをトリガーしてください。
Azure Backupは必要なキーマテリアルを設定済みのステージング場所にエクスポートします。
必要な鍵を顧客管理のKey Vaultに復元します。
必要なディスク暗号化セットリソースを作成します。
新たに作成されたDESリソースを使って復元を試みてください。

機密 VM の復元のために不足しているキーを復元する

復元操作が失敗した場合は、Azure Backup によってバックアップされたキーを復元する必要があります。

PowerShellを使ってキーを復元するには、以下の手順に従ってください:

保護されたCVMとCMKを含むヴォールトを選択するには、コマンドレットにリソースグループとヴォールト名を入力し、コマンドレットを実行してください。
```
$vault = Get-AzRecoveryServicesVault -ResourceGroupName "<vault-rg>" -Name "<vault-name>"
```
過去 7 日間に失敗したすべての復元ジョブを一覧表示するには、次のコマンドレットを実行します。古いジョブを取得したい場合は、コマンドレットの取得日数を更新してください。
```
$Jobs = Get-AzRecoveryServicesBackupJob -From (Get-Date).AddDays(-7).ToUniversalTime() -Status Failed -Operation Restore -VaultId $vault.ID
```
結果から失敗した復元ジョブを選択し、ジョブの詳細を取得するには、次のコマンドレットを実行します。

例
```
$JobDetails = Get-AzRecoveryServicesBackupJobDetail -Job $Jobs[0] -VaultId $vault.ID
```

キーの復元に必要なすべてのパラメーターをジョブの詳細から取得するには、次のコマンドレットを実行します。

$properties = $JobDetails.properties
$storageAccountName = $properties["Target Storage Account Name"]
$containerName = $properties["Config Blob Container Name"]
$securedEncryptionInfoBlobName = $properties["Secured Encryption Info Blob Name"]

復元に使用するターゲットストレージアカウントを選択するには、次のコマンドレットでそのリソースグループを入力し、コマンドレットを実行します。
```
Set-AzCurrentStorageAccount -Name $storageaccountname -ResourceGroupName '<storage-account-rg >'
```

CVM のキーの詳細を含む JSON 構成ファイルを CMK で復元するには、次のコマンドレットを実行します。

$destination_path = 'C:\cvmcmkencryption_config.json'
Get-AzStorageBlobContent -Blob $securedEncryptionInfoBlobName -Container $containerName -Destination $destination_path
$encryptionObject = Get-Content -Path $destination_path | ConvertFrom-Json

先ほど説明した宛先パスで JSON ファイルが生成されたら、次のコマンドレットを実行して JSON データからキー BLOB ファイルを生成します。
```
$keyDestination = 'C:\keyDetails.blob'
[io.file]::WriteAllBytes($keyDestination, [System.Convert]::FromBase64String($encryptionObject.OsDiskEncryptionDetails.KeyBackupData)) 
```

Key Vault またはマネージドハードウェアセキュリティモジュール (HSM) でキーを復元するには、次のコマンドレットを実行します。

Restore-AzKeyVaultKey -VaultName '<target_key_vault_name> ' -InputFile $keyDestination
For MHSM Use,  
Restore-AzKeyVaultKey -HsmName '<target_mhsm_name>' -InputFile $keyDestination

次に、CMKで暗号化タイプ( Confidential disk encryption )を使った新しいDESを作成し、復元キーに向けます。復元を試みる前に、DESがキーアクセス権限を要求していることを確認しましょう。新しいKey VaultやManaged HSMを使って鍵を復元した場合、Backup Management Serviceはデフォルトで十分な権限を持っています。 Key Vault または Managed HSM アクセスのアクセス許可を付与する方法について説明します。

復元のために DES および Confidential ゲスト VM エージェントにアクセス許可を割り当てる

ディスク暗号化セットと機密ゲスト VM エージェントには、Key Vault または Managed HSM に対するアクセス許可が必要です。アクセス許可を指定するには、次の手順を実行します。

Key Vault の場合: Key Vault にアクセス許可を付与するには、ドキュメントの次の手順に従うか、次の手順に従います。

ディスク暗号化セットインスタンスに移動します。
[ ディスク、イメージ、またはスナップショットをこのディスク暗号化セットに関連付けるには、キーコンテナーにアクセス許可を付与し、アクセス許可を付与する必要があります ] というメッセージを選択します。

Managed HSM の場合: Managed HSM にアクセス許可を付与するには、次の手順に従います。

Managed HSM 暗号化ユーザーロールを使用して新しく作成された DES を割り当てます。
1. Azure portal で、Managed HSM>Settings に移動し、[ローカル RBAC] を選択します。
2. 新しいロールの割り当てを追加するには、[追加] を選択 します。
3. [ ロール] で、[ Managed HSM Crypto User Role] を選択します。
4. スコープで、復元されたキーを選択します。 [すべてのキー] を選択することもできます。
5. セキュリティプリンシパルで、新しく作成した DES を選択します。
CVM を起動するために必要なアクセス許可を Confidential ゲスト VM エージェントに割り当てます。
1. Azure portal で、Managed HSM>Settings に移動し、[ローカル RBAC] を選択します。
2. 新しいロールの割り当てを追加するには、[追加] を選択 します。
3. [ ロール] で、[ Managed HSM Crypto Service Encryption User] を選択します。
4. スコープで、復元されたキーを選択します。 [すべてのキー] を選択することもできます。
5. セキュリティプリンシパルで、機密ゲスト VM エージェントを選択します。

権限変更後は、リストアを試みる前にRBAC伝播を許可してください。

復元失敗のトラブルシューティング

復元操作が失敗した場合は、以下のチェックを用いてください:

DESが存在し、期待されるキーおよびキーのバージョンを参照していることを検証します。
ソースキーが削除または無効化されていないことを確認してください。
DESとConfidential Guest VM Agentが必要な権限を持っているか確認してください。
キー回復と許可伝播後に復元操作を再度試してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-26