✔️ 適用対象: すべての Azure ファイル共有
Azure Filesは、すべてのファイル共有データを静止状態で暗号化します。 この記事では、静止時の暗号化がどのように機能し、Azure Filesを導入する前に下すべき判断事項について説明します。つまり、データを暗号化する鍵を誰が管理するのか、そして2層目の暗号化が必要かどうかです。 自分の鍵を使用する手順については、「Azure Filesの顧客管理キーで静止時の暗号化の設定」をご覧ください。 クライアントとAzure Files間を移動するデータを保護するには、「Azure Files の転送中の暗号化の構成」をご覧ください。 その他の展開の決定については、「Azure Filesのデプロイメント計画」をご覧ください。
利用可能なオプションは、ファイル共有を作成するために使うリソースプロバイダーによって異なります。 クラシックファイル共有 (Microsoft.Storage) は、Microsoft 管理キー、顧客管理キー、インフラストラクチャ暗号化をサポートしています。 Microsoft.FileShares で作成されたファイル共有は、Microsoft 管理キーのみをサポートします。 リソースプロバイダー間のその他の違いについては、Azure Files管理の概念を参照してください。
| 暗号化オプション | クラシック ファイル共有 (Microsoft。ストレージ) | Microsoft.FileShares |
|---|---|---|
| Microsoft 管理キーによる保存データの暗号化 | Supported | Supported |
| カスタマー マネージド キー | Supported | サポートしていません |
| インフラストラクチャ暗号化 | Supported | サポートしていません |
保存データの暗号化の仕組み
Azure Filesはデータをディスクに書き込む際にデータを暗号化し、読み取る際に復号します。 暗号化はファイル共有のファイル システムの下位で行われ、Windows の BitLocker の動作と同様です。 サービスが暗号化を行うため、クライアントは暗号化鍵にアクセスする必要がなく、アプリケーションやクライアント設定を変更する必要もありません。 暗号化アットレストは、クライアントがSMB、NFS、FileRESTのいずれかを使っているかに関わらず、ファイルデータおよびメタデータに適用されます。
静止時の暗号化は常にオンで無効化できません。 メディア階層、請求モデル、冗長性に関係なく、すべてのファイル共有に適用されます。 ストレージ アカウントで geo 冗長ストレージが使用されている場合、セカンダリ リージョン内のデータも暗号化されます。 保存データの暗号化に追加料金はかかりません。
Azure Filesは256ビットのAES-GCMを使用し、FIPS 140-2に準拠しています。 Azure Files で使用される暗号モジュールの詳細については、「Cryptography API: Next Generation」を参照してください。
静止時の暗号化は、保存されているデータを保護します。 誰がファイルを読み取ったり変更したりできるかは制御しません。ファイル データへのアクセスを制御するには、「Azure ファイル共有をセキュリティで保護する」をご覧ください。
暗号化キー
Azure Files はキーを使用してデータを暗号化し、そのキーの管理者を選択できます。 デフォルトではMicrosoftが管理しています。 従来のファイル共有の場合は、自分で鍵を管理することができます。 いずれの場合も、Azure Filesは暗号化と復号をシームレスに処理します。
| 特性 | Microsoft によって管理されているキー | カスタマー マネージド キー |
|---|---|---|
| Default | Yes | いいえ |
| 暗号化と暗号化解除の操作 | Azure | Azure |
| キーストレージ | Microsoft キー ストア | Azure Key Vault または Azure Key Vault Managed HSM |
| キーのローテーション | Microsoft | あなた |
| キー コントロール | Microsoft | あなた |
Microsoft によって管理されているキー
Microsoft が管理するキーは設定を必要としません。 Microsoftはキーを保存・管理し、コンプライアンス要件に従ってローテーションします。 Microsoft.FileShares で作成されたファイル共有は常に Microsoft 管理のキーを使用します。 鍵のローテーションや監査に関して特定の要件がある場合は、カスタマー マネージド キーを使用することで、ローテーションの管理や監査を自身で行うことができます。
カスタマー マネージド キー
顧客管理キーを使用すると、ストレージ アカウント内のデータを保護するキーを管理できます。 キーは Azure キー コンテナー または Azure Key Vault Managed HSM に保存され、ストレージ アカウントはマネージド ID を使用してそのキーにアクセスします。 キーボールトはストレージアカウントとは異なる地域やサブスクリプションに置いても構いません。 また、サービス プロバイダーが顧客のキーで保護されたデータを保存する場合など、別の Microsoft Entra テナントに存在することもあります。
カスタマー マネージド キーはストレージ アカウント全体に適用されます。 ストレージアカウント内のすべてのクラシックファイル共有を1つのキーで保護し、ファイル共有ごとに異なるキーを使うことはできません。 ファイル共有に異なるキーが必要な場合は、それぞれ別のストレージアカウントに分けてください。
キーを管理する場合、そのローテーションを含むライフサイクルも管理することになります。 ストレージアカウントを最新のキーを自動的に使うように設定できます。 このオプションを使うと、ストレージ アカウントは新しいキー バージョンの作成後 24 時間以内にそのバージョンを使用し始めます。 あるいは、キーのバージョンを指定して、キーをローテーションするたびにストレージアカウントを更新する方法もあります。
ストレージアカウントはデータの読み書きのためにキーにアクセスできなければなりません。 キーを無効にしたり、ストレージ アカウントのそのキーへのアクセスを削除すると、アクセスを復元するまでクライアントはストレージ アカウント内のデータの読み書きができません。 この動作を使って意図的にアクセスを取り消すこともできますが、キーやその権限を誤って変更しても同じ結果になり、アクセスが取り消されます。 誤ってキーを変更することを防ぐために、キーを無効化したり権限を変更したりできる人を制限してください。 カスタマー マネージド キーについては、キー コンテナーまたはマネージド HSM において削除保護が設定されている必要があるため、削除されたキーは保存期間が終了するまで復元可能です。
顧客管理キーの設定、キーのローテーション、アクセスの取り消しの手順については、「Azure Files の顧客管理キーを使用して保存データ暗号化を構成する」をご覧ください。
インフラストラクチャ暗号化
インフラストラクチャ暗号化は、最初の暗号化層の下に、第 2 の暗号化層を追加します。 インフラ暗号化では、Azure Filesはデータを2回暗号化します。1回目はサービスレベルで選んだ鍵で、もう1回はインフラストラクチャレベルで別のMicrosoft管理キーで暗号化します。 この2つの層は異なる暗号化アルゴリズムと異なる鍵を使用しています。 もし一方のアルゴリズムや鍵が侵害されても、もう一方の層があなたのデータを引き続き保護します。
ほとんどのワークロードはインフラ暗号化を必要としません。なぜならサービスレベルの暗号化で十分だからです。 コンプライアンス要件で二重暗号化が必要な場合は、インフラ暗号化を活用しましょう。
展開前にインフラストラクチャの暗号化を計画してください。ストレージ アカウントを作成するときにのみ有効にできるからです。 既存のストレージアカウントでは有効化・無効化できません。 既に持っているデータに対してインフラ暗号化を使うには、新しいストレージアカウントを作成し、 そのデータを新しいファイル共有に移行してください。 Microsoft.FileSharesはインフラ暗号化をサポートしていません。
インフラストラクチャ暗号化付きのストレージアカウントを作成するには、 クラシックファイル共有のためのストレージアカウント作成の手順に従ってください。