Key Vault 仮想マシン (VM) 拡張機能を Azure Cloud Services (延長サポート) に適用する

[アーティクル]
07/24/2024

この記事では、Windows 用の Azure Key Vault VM 拡張機能に関する基本的な情報と、Azure Cloud Services で有効にする方法について説明します。

Key Vault VM 拡張機能とは

Key Vault VM 拡張機能では、Azure キーコンテナーに保存されている証明書の自動更新が行われます。具体的には、拡張機能では、キーコンテナーに格納されている確認済みの証明書のリストが監視されます。拡張機能により変更が検出されると、対応する証明書が取得およびインストールされます。詳細については、Windows 用の Key Vault VM 拡張機能に関する記事を参照してください。

Key Vault VM 拡張機能の新機能

Key Vault VM 拡張機能は Azure Cloud Services (延長サポート) プラットフォームでサポートされたため、証明書をエンドツーエンドで管理できるようになりました。拡張機能を使用すると、事前に定義されたポーリング間隔で、構成済みのキーコンテナーから証明書をプルしてインストールし、サービスで使用できるようになります。

Key Vault VM 拡張機能の使用方法

次の手順では、まずコンテナーにブートストラップ証明書を作成し、Microsoft Entra ID からトークンを取得して、Azure Cloud Services に Key Vault VM 拡張機能をインストールする方法を示します。このトークンは、コンテナーで拡張機能を認証する際に役立ちます。認証プロセスが設定され、拡張機能がインストールされると、すべての最新の証明書が定期的なポーリング間隔で自動的にプルされます。

Note

Key Vault VM 拡張機能は、Windows 証明書ストア内のすべての証明書を、VM 拡張機能設定の certificateStoreLocation プロパティによって指定された場所にダウンロードします。現在、Key Vault VM 拡張機能は、ローカルシステム管理者アカウントにのみ証明書の秘密キーへのアクセスを許可します。

前提条件

Azure Key Vault VM 拡張機能を使うには、Microsoft Entra テナントが必要です。詳細については、クイックスタート: テナントの設定を参照してください。

Azure Key Vault VM 拡張機能を有効にする

コンテナーで証明書を生成し、その証明書の .cer ファイルをダウンロードします。
Azure portal で [アプリの登録] に移動します。
アプリの登録 ページで、新しい登録 を選択します。
次のページでフォームに入力し、アプリの作成を完了します。
証明書の .cer ファイルを Microsoft Entra アプリポータルにアップロードします。

必要に応じて、Key Vault の Azure Event Grid 通知機能を使用して証明書をアップロードできます。
Key Vault で Microsoft Entra アプリにシークレットアクセス許可を付与します。
- ロールベースのアクセス制御 (RBAC) プレビューを使っている場合は、作成した Microsoft Entra アプリの名前を検索し、それを Key Vault Secrets User (プレビュー) ロールに割り当てます。
- コンテナーアクセスポリシーを使っている場合は、作成した Microsoft Entra アプリに Secret-Get アクセス許可を割り当てます。詳細については、アクセスポリシーの割り当てに関する記事を参照してください

cloudService リソース用の Azure Resource Manager テンプレートスニペットを使用して、Key Vault VM 拡張機能をインストールします。

{
    "osProfile":
    {
        "secrets":
        [
            {
                "sourceVault":
                {
                    "id": "[parameters('sourceVaultValue')]"
                },
                "vaultCertificates":
                [
                    {
                        "certificateUrl": "[parameters('bootstrpCertificateUrlValue')]"
                    }
                ]
            }
        ]
    },
    "extensionProfile":
    {
        "extensions":
        [
            {
                "name": "KVVMExtensionForPaaS",
                "properties":
                {
                    "type": "KeyVaultForPaaS",
                    "autoUpgradeMinorVersion": true,
                    "typeHandlerVersion": "1.0",
                    "publisher": "Microsoft.Azure.KeyVault",
                    "settings":
                    {
                        "secretsManagementSettings":
                        {
                            "pollingIntervalInS": "3600",
                            "certificateStoreName": "My",
                            "certificateStoreLocation": "LocalMachine",
                            "linkOnRenewal": false,
                            "requireInitialSync": false,
                            "observedCertificates": "[parameters('keyVaultObservedCertificates']"
                        },
                        "authenticationSettings":
                        {
                            "clientId": "Your AAD app ID",
                            "clientCertificateSubjectName": "Your boot strap certificate subject name [Do not include the 'CN=' in the subject name]"
                        }
                    }
                }
            }
        ]
    }
}

ServiceDefinition.csdef でブートストラップ証明書の証明書ストアを指定する必要があります。

    <Certificates>
             <Certificate name="bootstrapcert" storeLocation="LocalMachine" storeName="My" />
    </Certificates>

次のステップ

Azure Cloud Services (延長サポート) での監視を有効にすることによって、デプロイをさらに向上させます。

次の方法で共有