Azure AI Bot Service での保存データの暗号化

[アーティクル]
12/26/2023

この記事の対象: SDK v4

Azure AI Bot Service は、データがクラウドに保存されている場合にそのデータを自動的に暗号化し、データを保護して、組織のセキュリティとコンプライアンスのコミットメントを満たします。

暗号化と暗号化解除は透過的であり、暗号化とアクセスはユーザーによって管理されます。データは既定でセキュリティ保護され、暗号化を利用するためにコードまたはアプリケーションを変更する必要はありません。

暗号化キーの管理について

サブスクリプションでは、Microsoft が管理する暗号化キーが既定で使用されます。カスタマーマネージドキーと呼ばれるユーザー独自のキーでボットリソースを管理できます。カスタマーマネージドキーを使用すると、Azure AI Bot Service に格納されたデータのアクセス制御の作成、ローテーション、無効化、取り消しを、より柔軟に行うことができます。また、データを保護するために使われる暗号化キーを監査することもできます。

データを暗号化する場合、Azure AI Bot Service は 2 つのレベルの暗号化を使用して暗号化します。カスタマーマネージドキーが有効になっていない場合、使用されるキーはどちらも Microsoft が管理するキーです。カスタマーマネージドキーが有効になっている場合、データはカスタマーマネージドキーと Microsoft マネージドキーの両方で暗号化されます。

Azure Key Vault でのカスタマーマネージドキー

カスタマーマネージドキー機能を利用するには、Azure Key Vault にキーを格納して管理する必要があります。独自のキーを作成してキーコンテナーに格納することも、Azure Key Vault API を使ってキーを生成することもできます。 Azure Bot リソースとキーコンテナーは異なるサブスクリプションにあってもかまいませんが、同じ Microsoft Entra ID テナントに存在する必要があります。 Azure Key Vault の詳細については、「Azure Key Vault とは」をご覧ください。

カスタマーマネージドキーを使用する場合、Azure AI Bot Service はストレージ内のデータを暗号化します。そのキーへのアクセスが取り消された場合、またはキーが削除された場合、ボットは Azure AI Bot Service を使用してメッセージを送受信することはできず、Azure portal でボットの構成にアクセスしたり編集したりすることはできません。

ポータルを使用して Azure Bot リソースを作成すると、Azure によってアプリ ID とパスワードが生成されますが、Azure Key Vault には格納されません。キーコンテナーは、Azure AI Bot Service と共に使用できます。詳細については、「Key Vault に接続するように Web アプリを構成する」を参照してください。 Key Vault を使用してシークレットを格納および取得する方法の例については、「クイックスタート: .NET 用 Azure Key Vault シークレットクライアントライブラリ (SDK v4)」を参照してください。

重要

Azure AI Bot Service チームは、キーにアクセスしないと、カスタマーマネージド暗号化キーボットを復旧できません。

どのデータが暗号化されていますか?

Azure AI Bot Service は、ボット、ボットが使用するチャネル、開発者が設定する構成設定、および必要に応じて、現在アクティブな会話のレコードに関する顧客データを格納します。また、一時的に、24 時間以内の間、Direct Line または Web チャットチャネル経由で送信されたメッセージと、アップロードされた添付ファイルが格納されます。

すべての顧客データは、Azure AI Bot Service の 2 つの暗号化レイヤーで暗号化されます。Microsoft マネージド暗号化キーを使用するか、もしくはMicrosoft とカスタマーマネージド暗号化キーを使用するかです。 Azure AI Bot Service は、Microsoft マネージド暗号化キーを使用して一時的に格納されたデータを暗号化し、Azure Bot リソースの構成に応じて、Microsoft またはカスタマーマネージド暗号化キーを使用して長期的なデータを暗号化します。

Note

Azure AI Bot Service は、Azure AI Bot Service の外部の他のサービスでユーザーとの間でメッセージを配信する機能を顧客に提供するために存在するため、暗号化はこれらのサービスに拡張されません。つまり、Azure AI Bot Service の制御下では、この記事のガイダンスに従ってデータが暗号化されて格納されます。ただし、サービスを離れて別のサービスに配信される場合、データは復号化され、TLS 1.2 暗号化を使用してターゲットサービスに送信されます。

Azure Key Vault インスタンスを構成する方法

Azure AI Bot Service でカスタマーマネージドキーを使用するには、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスで 2 つのプロパティを設定する必要があります。論理的な削除と消去の保護です。これらの機能により、何らかの理由でキーが誤って削除された場合でもキーを回復できます。論理的な削除と消去の保護の詳細については、「Azure Key Vault の論理的な削除の概要」を参照してください。

Screenshot of soft delete and purge protection enabled.

既存の Azure Key Vault インスタンスを使用している場合は、Azure portal の [プロパティ] セクションを見て、これらのプロパティが有効であることを確認できます。これらのプロパティのいずれかが有効になっていない場合は、「論理的な削除と消去の保護を有効にする方法」のキーコンテナー セクションを参照してください。

Azure AI Bot Service にキーコンテナーへのアクセス権を付与する

このために作成したキーコンテナーに Azure AI Bot Service がアクセスできるようにするには、アクセスポリシーを設定する必要があります。これにより、Azure AI Bot Service のサービスプリンシパルに現在のアクセス許可セットが付与されます。キーコンテナーの作成方法など、Azure Key Vault の詳細については、「Azure Key Vault について」を参照してください。

キーコンテナーを含むサブスクリプションに Azure AI Bot Service リソースプロバイダーを登録します。
1. Azure ポータルにアクセスします。
2. [サブスクリプション] ブレードで、キーコンテナーを含むサブスクリプションを選択します。
3. [リソースプロバイダー] ブレードを開き、Microsoft.BotService リソースプロバイダーを登録します。
Azure Key Vault では、Azure ロールベースのアクセス制御 (RBAC) または Vault アクセスポリシーの 2 種類のアクセス許可モデルがサポートされます。どちらのアクセス許可モデルを使用するか選択できます。キーコンテナーの [ネットワーク] ブレードのファイアウォールと仮想ネットワークが、すべてのネットワークからのパブリックアクセスを許可するように設定されていることをこの手順で確認してください。さらに、オペレーターにキー管理操作のアクセス許可が付与されていることを確認してください。
1. キーコンテナーで Azure RBAC アクセス許可モデルを設定するには。
  1. [キーコンテナー] ブレードを開き、キーコンテナーを選択します。
  2. [Access Control (IAM)] ブレードに移動し、Key Vault Crypto Service Encryption User ロールを Bot Service CMEK Prod に割り当てます。この変更を行うことができるのは、サブスクリプション所有者ロールを持つユーザーだけです。
2. Key Vault アクセスポリシーのアクセス許可モデルをキーコンテナーで設定するには。
  1. [キーコンテナー] ブレードを開き、キーコンテナーを選択します。
  2. Bot Service CMEK Prod アプリケーションをアクセスポリシーとして追加し、次のアクセス許可を割り当てます。
  - 取得 (キー管理操作から)
  - キーの折り返しを解除 (暗号化操作から)
  - キーの折り返し (暗号化操作から)
  1. [保存] を選択して、行ったすべての変更を保存します。
キーコンテナーにファイアウォールのバイパスを許可します。
1. [キーコンテナー] ブレードを開き、キーコンテナーを選択します。
2. [ネットワーク] ブレードを開き、 [ファイアウォールと仮想ネットワーク] タブを選択します。
3. [アクセスの許可] が [パブリックアクセスを無効にする] に設定されている場合は、[信頼されたMicrosoft サービスがこのファイアウォールをバイパスすることを許可する] が選択されていることを確認してください。
4. [保存] を選択して、行ったすべての変更を保存します。