Azure運用上のセキュリティとは、Microsoft Azure のデータ、アプリケーション、その他の資産を保護するためにユーザーが利用できるサービス、コントロール、機能のことです。 これは、Microsoft 独自のさまざまな機能を通じて得られた知識を統合化したフレームワークです。 これらの機能には、Microsoft セキュリティ開発ライフサイクル (SDL)、Microsoft Security Response Center プログラム、およびサイバーセキュリティ上の脅威に関する高度なノウハウが含まれています。
Azure管理サービス
IT 運用チームは、データセンター インフラストラクチャ、アプリケーション、データの管理を担当します。これには、こうしたシステムの安定性とセキュリティが含まれます。 しかし、ますます複雑になるIT環境でセキュリティ洞察を得るには、複数のセキュリティおよび管理システムからデータを組み合わせる必要があることが多いです。
Azure Monitor Logsは、オンプレミスおよびクラウドインフラの管理と保護を支援するクラウドベースのIT管理ソリューションです。 Azureには特定の機能を提供する複数の管理サービスが含まれています。 お客様は、複数のサービスを組み合わせて、さまざまな管理シナリオを実現することができます。
Azure Monitor
Azure Monitor は、マネージド ソースから中央データ ストアにデータを収集します。 このデータにはイベント、パフォーマンスデータ、APIを通じて提供されるカスタムデータなどが含まれます。 収集されたデータは、アラート、分析、エクスポートに使用できます。
さまざまなソースからのデータを統合し、Azure サービスのデータを既存のオンプレミス環境と組み合わせることができます。 Azure Monitor Logsはデータの収集とそのデータに対する行動を分離するため、すべてのアクションがあらゆる種類のデータに利用可能になります。
Automation
Azure Automation は、手動で実行時間の長い、エラーが発生しやすく、頻繁に繰り返されるタスクを自動化する方法を提供します。これは、クラウドおよびエンタープライズ環境で一般的に実行されます。 この自動化により時間が節約され、管理業務の信頼性が向上します。 Azure Automationはこれらのタスクを定期的に自動的に実行するようにスケジュール化することも可能です。 Runbook を使用してプロセスを自動化したり、Desired State Configurationを使用して構成管理を自動化したりできます。
Backup
Azure Backup は、Microsoft Cloud でのデータのバックアップ (または保護) と復元に使用できるAzureベースのサービスです。 Azure Backupは、既存のオンプレミスまたはオフサイトのバックアップ ソリューションを、信頼性、セキュリティ、コスト競争力のあるクラウドベースのソリューションに置き換えます。
Azure Backupには、適切なコンピューターまたはサーバー、またはクラウドにダウンロードして展開するコンポーネントが用意されています。 デプロイするコンポーネント (エージェント) は、何を保護するかによって決まります。 すべてのAzure Backupコンポーネント(オンプレミスでもクラウド上でも)は、Azure内のAzureリカバリーサービスのボールトにデータをバックアップできます。
詳細については、Azure Backup コンポーネントの表を参照してください。
Site Recovery
Azure Site Recovery は、オンプレミスの仮想マシンと物理マシンのAzureまたはセカンダリ サイトへのレプリケーションを調整することで、ビジネス継続性を提供します。 プライマリ サイトが使用できなくなった場合には、ユーザーが作業を継続できるよう、セカンダリの場所にフェールオーバーできます。 システムが復旧したら、フェールバックできます。 Microsoft Defender for Cloudを使用して、よりインテリジェントで効果的な脅威検出を実行します。
Microsoft Entra ID
Microsoft Entra ID は、次の包括的な ID サービスです。
- クラウド サービスとしての ID とaccess管理 (IAM) を有効にします。
- 中央アクセス管理、シングルサインオン (SSO)、およびレポート機能を提供します。
- Azure MarketplaceのMicrosoft Entraアプリケーションギャラリー(Salesforce、Google Apps、Box、Concurを含む)の統合アクセス管理をサポートしています。
Microsoft Entra IDには、以下を含む identity 管理機能の完全なスイートも含まれています。
- 多要素認証
- セルフサービスパスワード管理
- セルフサービスのグループ管理
- 特権アカウント管理
- Azure ロールベースのアクセス制御 (Azure RBAC)
- アプリケーション使用状況の監視
- 高度な監査
- セキュリティ監視とアラート
Microsoft Entra IDでは、パートナーと顧客 (ビジネスまたはconsumer) 用に発行するすべてのアプリケーションは、同じ ID とaccess管理機能を持ちます。 このアイデンティティ機能により、運用コストを大幅に削減できます。
Microsoft Defender for Cloud
Microsoft Defender for Cloudは、Azureリソースのセキュリティに対する可視性と管理を強化することで、脅威の予防、検出、対応を支援します。 Defender for Cloudは、サブスクリプション全体で統合されたセキュリティ監視とポリシー管理を提供します。 Security Center は、見つけにくい脅威の検出を支援すると共に、さまざまなセキュリティ ソリューションをまとめた広範なエコシステムとして機能します。
Defender for Cloudは、仮想マシンのセキュリティ設定を可視化し、脅威を監視することで、Azure上の仮想マシン(VM)データを保護するのに役立ちます。 Defender for Cloud では、仮想マシンの監視が可能です。
- 推奨される構成規則を使用したオペレーティング システムセキュリティ設定。
- 不足しているシステムのセキュリティ更新プログラムと重要な更新プログラム。
- エンドポイント保護の推奨事項。
- ディスク暗号化の検証。
- ネットワークベースの攻撃。
Defender for Cloud では、Azure ロールベースのアクセス制御 (Azure RBAC)を使用します。 Azure RBAC では、Azure でユーザー、グループ、サービスに割り当てることができる組み込みロールが提供されています。
Defender for Cloudはリソースの設定を評価し、セキュリティ上の問題や脆弱性を特定します。 Defender for Cloud では、リソースが属するサブスクリプションまたはリソース グループに対する所有者、共同作業者、または閲覧者のロールが割り当てられている場合にのみ、リソースに関連した情報が表示されます。
注意
Defender for Cloud でのロールと許可されるアクションの詳細については、「Microsoft Defender for Cloud の
Defender for CloudはAzure Monitor Agentを使用します。 Defender for CloudはAzure Monitorと同じエージェントを使用します。 このエージェントから収集されたデータは、VM の位置情報を考慮して、Azure サブスクリプションまたは新しいワークスペースに関連付けられている既存の Log Analytics workspace に格納されます。
Azure Monitor
クラウドアプリのパフォーマンス問題はビジネスに影響を与える可能性があります。 複数の相互接続されたコンポーネントや頻繁なリリースにより、いつでもパフォーマンスの低下が生じる可能性があります。 そしてアプリを開発している場合、ユーザーはテストで気づかなかった問題を発見することが多いです。 これらの問題はすぐに知ることができ、診断や修理のためのツールを持っているべきです。
Azure Monitorは、Azure上で動作するサービスを監視するための基本的なツールです。 サービスのスループットと周辺環境に関するインフラストラクチャ レベルのデータが示されます。 もしアプリを完全にAzureで管理し、リソースの拡大か縮小かを決めているなら、Azure Monitorが出発点です。
またこのツールでは、監視データを使用して、アプリケーションに関する詳細なインサイトを取得することもできます。 その知識は、アプリケーションのパフォーマンスや保守性の向上、または手動作業が必要な作業の自動化に役立ちます。
Azure モニターには、次のコンポーネントが含まれています。
Azure アクティビティ ログ
Azure アクティビティ ログ は、サブスクリプション内のリソースに対して実行された操作に関する分析情報を提供します。 Azureアクティビティログは以前「監査ログ」または「運用ログ」として知られており、サブスクリプションのコントロールプレーンイベントを報告するためです。
Azure の診断ログ
Azure診断ログはリソースによって出力され、そのリソースの操作に関する豊富で頻繁なデータを提供します。 これらのログの内容は、リソースの種類によって異なります。
Windows イベント システム ログは、VM 用診断ログの 1 カテゴリです。 BLOB ログ、テーブル ログ、キュー ログは、storage アカウントの診断ログのカテゴリです。
診断ログは、Activity Log とは異なります。 アクティビティ ログでは、サブスクリプションのリソースに対して実行された操作を調査できます。 診断ログでは、リソース自体が実行した操作を調査できます。
メトリック
Azure Monitor には、Azureでのワークロードのパフォーマンスと正常性を可視化するテレメトリが用意されています。 Azureテレメトリ データの最も重要な種類は、ほとんどのAzure リソースによって出力される metrics (パフォーマンス カウンターとも呼ばれます) です。 Azure Monitor には、監視とトラブルシューティングのためにこれらのメトリックを構成して使用するいくつかの方法が用意されています。
Azure Diagnostics
Azure Diagnosticsでは、デプロイされたアプリケーションで診断データを収集できます。 さまざまなソースで診断拡張機能を使用することができます。 現在サポートされているのは、Azureクラウド サービスロール、Microsoft Windows を実行しているAzure virtual machines、および Azure Service Fabric です。
Azure Network Watcher
組織は、仮想ネットワーク、Azure ExpressRoute、Azure Application Gateway、ロードバランサーなどの個別ネットワークリソースをオーケストレーション・構成することで、Azure上でエンドツーエンドネットワークを構築します。 各ネットワークリソースを監視できます。
エンド ツー エンド ネットワークでは、構成のあり方や、リソース間での相互作用が複雑化することがあります。 これらの複雑なシナリオには、Azure Network Watcherによるシナリオベースの監視が必要です。
Network WatcherはAzureネットワークの監視と診断を簡素化します。 Network Watcherの診断および可視化ツールを使って:
- Azure仮想マシンでリモート パケット キャプチャを実行します。
- フロー ログを使用して、ネットワーク トラフィックに関するインサイトを取得する。
- Azure VPN Gatewayと接続を診断します。
現在、Network Watcherには次の機能があります。
- トポロジ: リソース グループ内のネットワーク リソース間のさまざまな相互接続および関係を確認できます。
- 可変パケット キャプチャ: 仮想マシンで送受信されるパケット データをキャプチャします。 時間やサイズの制限を設定する機能など、詳細なフィルター オプションときめ細やかなコントロールにより、多様なキャプチャを行えます。 パケットデータはブロブストアやローカルディスクに.cap形式で保存できます。
- IP フロー検証: フロー情報の 5 タプル パケット パラメーター (宛先 IP、発信元 IP、宛先ポート、発信元ポート、プロトコル) に基づいてパケットが許可されたか拒否されたかを確認します。 パケットがセキュリティ グループによって拒否された場合は、そのパケットを拒否した規則とグループが返されます。
- 次ホップ: Azure ネットワーク ファブリックでルーティングされるパケットの次ホップを決定するため、誤って構成されたユーザー定義ルートを診断できます。
- セキュリティ グループ ビュー - VM に適用されている有効な適用セキュリティ規則を確認できます。
- ネットワークセキュリティグループ向けのNSGフローログ:グループのセキュリティルールで許可または拒否されるトラフィックに関連するログをキャプチャできるようにします。 フローは 5 タプル情報 (送信元 IP、宛先 IP送信元ポート、宛先ポート、プロトコル) で定義されます。
- 仮想ネットワーク ゲートウェイと接続のトラブルシューティング: 仮想ネットワークゲートウェイと接続のトラブルシューティングを行う機能を提供します。
- ネットワーク サブスクリプションの制限: ネットワーク リソースの使用状況を制限と照らし合わせて確認できます。
- 診断ログ: 1 つのウィンドウで、リソース グループ内のネットワーク リソースの診断ログを有効化または無効化することができます。
詳細については、「Configure Network Watcher」を参照してください。
クラウドサービスプロバイダーによるアクセスの透明性
Microsoft Azure用のCustomer Lockboxは、Microsoftサポートエンジニアが問題解決のためにデータにアクセスする稀なケースで、明確なコントロールを提供するAzureポータルに統合されたサービスです。 リモートアクセスの問題のデバッグのような稀なケースでは、Microsoftのサポートエンジニアが問題解決のために権限の昇格を必要とします。 そのような場合、Microsoftのエンジニアは限定的かつ期限内に承認し、サービスに限定されたアクセスを提供するジャストインタイムアクセスサービスを使用します。 Microsoft は常にaccessに対するお客様の同意を得ているが、カスタマー ロックボックスは、Azure portalからのそのような要求を確認および承認または拒否する機能を提供するようになりました。 Microsoftのサポートエンジニアは、あなたがリクエストを承認するまでアクセス権を持ちません。
標準化され、かつ準拠した展開
Azure Deployment Stacksを使って、組織の標準、パターン、要件に沿った繰り返し可能なAzureリソースセットを定義、展開、管理しましょう。 デプロイスタックは、BicepやAzure Resource Managerテンプレートで定義されたリソースに対してライフサイクル管理および拒否設定を提供します。 Azure Resource Managerのテンプレート仕様を使って、承認済みテンプレートを組織全体で保存、バージョン変更、共有しましょう。
Important
Azure Blueprints(プレビュー)は2026年7月31日に段階的廃止を開始し、2027年1月31日に廃止されます。 既存のブループリントを 廃止前にデプロイスタック や テンプレート 仕様に移行してください。
DevOps
DevOpsの実践以前は、チームはソフトウェアプログラムのビジネス要件を集め、コードを書く責任がありました。 その後、別のQAチームが孤立した開発環境でプログラムをテストしました。 要件が満たされれば、QAチームは運用コードを公開して展開しました。 展開チームはさらにネットワークやデータベースなどのグループに細分化されました。 独立したチームへの引き渡しはボトルネックを生み出しました。
DevOpsはチームにより安全で高品質なソリューションをより速く、かつ低コストで提供することを可能にします。 組織はソフトウェアやサービスを利用する際に、動的で信頼性の高い体験を期待しています。 各担当チームは、ソフトウェア更新時の反復作業を迅速に実行し、更新による影響を測定する必要があります。 問題解決や価値提供のために、新たな開発の繰り返しを迅速に行わなければなりません。
Microsoft Azureのようなクラウドプラットフォームは従来のボトルネックを排除し、インフラのコモディティ化を支援します。 ソフトウェアはすべてのビジネスにおける重要な差別化要因であり、ビジネス成果の要素です。 組織、開発者、ITワーカーはDevOpsの実践を理解しておくべきです。
成熟した DevOps 実践者は、次のプラクティスのいくつかを採用します。 これらのプラクティスには、ビジネス シナリオに基づいて戦略を形作るユーザーが関係します。 ツールは、さまざまなプラクティスの自動化に役立ちます。
- チームは アジャイル計画とプロジェクト管理 の手法を用いて、作業をスプリントに計画・分離し、チームのキャパシティを管理し、変化するビジネスニーズに迅速に対応できるよう支援します。
- 通常は Git を使用したバージョン コントロールにより、チームは世界中のどこにいてもソースを共有でき、ソフトウェア開発ツールと統合してリリース パイプラインを自動化できます。
- 継続的インテグレーションは、実行中のコードのマージとテストを推進します。これにより、障害を早期に検出できるようになります。 その他の利点としては、マージ問題に無駄な時間が減り、開発チームへの迅速なフィードバックが得られることがあります。
- 環境の保護とテストのためのソフトウェア ソリューションの継続的デリバリーにより、組織はバグを迅速に修正し、絶えず変化するビジネス要件に対応できます。
- 実行中のアプリケーションの監視、アプリケーションの健全性や顧客利用状況を含む本番環境のモニタリングは、組織が仮説を立て、戦略を迅速に検証または否定するのに役立ちます。 このプロセスは、さまざまなログ形式で豊富なデータを収集・保存します。
- インフラストラクチャ・アズ・コード(IaC) は、ネットワークや仮想マシンの作成および解体を自動化・検証し、安全で安定したアプリケーションホスティングプラットフォームの提供を支援する実践です。
- チームは マイクロサービス アーキテクチャを用いて、ビジネスのユースケースを小規模な再利用可能なサービスに分離しています。 このアーキテクチャでは、スケーラビリティと効率性が実現されます。
次の手順
セキュリティおよび監査ソリューションの詳細については、次の記事をご覧ください。