デプロイデータの暗号化

[アーティクル]
06/01/2023

クラウドで Azure Container Instances (ACI) リソースを実行すると、ACI サービスにより、コンテナーに関連するデータが収集されて永続化されます。 ACI では、このデータはクラウドに永続化されるときに自動的に暗号化されます。この暗号化によってデータは保護され、組織のセキュリティとコンプライアンスのコミットメントを満たすのに役立ちます。 ACI では、ユーザー独自のキーでこのデータを暗号化するオプションも用意されており、ACI のデプロイに関するデータをさらにきめ細かく制御できます。

ACI のデータ暗号化について

ACI のデータは、256 ビット AES 暗号化を使用して暗号化および暗号化解除されます。 ACI のすべてのデプロイで有効になっているため、この暗号化を利用するために、デプロイまたはコンテナーを変更する必要はありません。これには、デプロイに関するメタデータ、環境変数、コンテナーに渡されるキー、コンテナーが停止した後でも見られるように保持されるログが含まれます。暗号化によってコンテナーグループのパフォーマンスが影響を受けることはなく、暗号化に追加コストはかかりません。

Microsoft のマネージドキーを利用してコンテナーデータを暗号化することも、独自のキーで暗号化を管理することもできます。次の表では、これらのオプションを比較します。

	Microsoft のマネージドキー	カスタマーマネージドキー
暗号化/暗号化解除の操作	Azure	Azure
キー記憶域	Microsoft キーストア	Azure Key Vault
キーのローテーションの責任	Microsoft	Customer
キーへのアクセス	Microsoft のみ	Microsoft、顧客

この記事では、カスタマーマネージドキーを使用してデータを暗号化するための次の 2 つのフローを確認します。

標準の Azure Key Vault に格納されているカスタマーマネージドキーを使用してデータを暗号化する
信頼されたサービスが有効になっているネットワークで保護された Azure Key Vault に格納されているカスタマーマネージドキーを使用してデータを暗号化する。

標準の Azure Key Vault に格納されているカスタマーマネージドキーを使用してデータを暗号化する

前提条件

Azure Cloud Shell で Bash 環境を使用します。詳細については、「Azure Cloud Shell の Bash のクイックスタート」を参照してください。
CLI リファレンスコマンドをローカルで実行する場合、Azure CLI をインストールします。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。
- ローカルインストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。認証プロセスを完了するには、ターミナルに表示される手順に従います。その他のサインインオプションについては、Azure CLI でのサインインに関するページを参照してください。
- 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。拡張機能の詳細については、Azure CLI で拡張機能を使用する方法に関するページを参照してください。
- az version を実行し、インストールされているバージョンおよび依存ライブラリを検索します。最新バージョンにアップグレードするには、az upgrade を実行します。

ACI 用のサービスプリンシパルを作成する

最初のステップでは、Azure テナントに、Azure Container Instances サービスへのアクセス許可を付与するためのサービスプリンシパルが割り当てられていることを確認します。

重要

次のコマンドを実行してサービスプリンシパルを正常に作成するには、お使いのテナントでサービスプリンシパルを作成するためのアクセス許可があることを確認します。

次の CLI コマンドを実行すると、Azure 環境に ACI の SP がセットアップされます。

az ad sp create --id 6bb8e274-af5d-4df2-98a3-4fd78b4cafd9

このコマンドを実行すると、"displayName": "Azure Container Instance Service" で設定されたサービスプリンシパルが表示されます。

サービスプリンシパルを正常に作成できない場合は、次のようにします。

テナントでこれを行うためのアクセス許可があることを確認します
ACI にデプロイするためのサービスプリンシパルがテナントに既に存在するかどうかを確認します。そのためには、az ad sp show --id 6bb8e274-af5d-4df2-98a3-4fd78b4cafd9 を実行し、代わりにそのサービスプリンシパルを使用します

Key Vault リソースを作成する

Azure portal、Azure CLI、または Azure PowerShell を使用して、Azure Key Vault を作成します。

キーコンテナーのプロパティについては、次のガイドラインを使用します。

名前:一意の名前が必要です。
サブスクリプション:サブスクリプションを選択します。
[リソースグループ] で、既存のリソースグループを選択するか、新しく作成してリソースグループ名を入力します。
[場所] プルダウンメニューで、場所を選択します。
他のオプションは、既定値のままにしておいても、追加の要件に基づいて選択してもかまいません。

重要

カスタマーマネージドキーを使用して ACI のデプロイテンプレートを暗号化する場合は、キーコンテナーで [論理的な削除] と [Do Not Purge](消去しない) の 2 つのプロパティを設定することをお勧めします。これらのプロパティは既定では有効になっていませんが、新規または既存のキーコンテナーに対して PowerShell または Azure CLI を使用して有効にすることができます。

新しいキーを生成する

キーコンテナーが作成されたら、Azure portal でリソースに移動します。リソースブレードの左側のナビゲーションメニューで、[設定] の [キー] をクリックします。 [キー] のビューで、[生成/インポート] をクリックして新しいキーを生成します。このキーに対する一意の名前を指定し、他の設定は必要に応じて使用します。

新しいキーを生成する

アクセスポリシーを設定する

ACI サービスによるキーへのアクセスを許可するための、新しいアクセスポリシーを作成します。

キーが生成されたら、キーコンテナーリソースブレードに戻り、[設定] の下にある [アクセスポリシー] をクリックします。
キーコンテナーの [アクセスポリシー] ページで、 [アクセスポリシーの追加] をクリックします。
[キーのアクセス許可] を、[取得] と [キーの折り返しを解除] を含むように設定します
[プリンシパルの選択] で、Azure Container Instance Service を選択します
下部にある [追加] をクリックします

アクセスポリシーがお使いのキーコンテナーのアクセスポリシーに表示されるようになります。

新しいアクセスポリシー

JSON デプロイテンプレートを変更する

重要

カスタマーマネージドキーによるデプロイデータの暗号化は、現在ロールアウト中の最新の API バージョン (2019-12-01) で使用できます。デプロイテンプレートでこの API バージョンを指定してください。これに関して何か問題がある場合は、Azure サポートにご連絡ください。

キーコンテナーのキーとアクセスポリシーを設定した後は、次のプロパティを ACI のデプロイテンプレートに追加します。テンプレートを使用した ACI リソースのデプロイについて詳しくは、「チュートリアル: Resource Manager テンプレートを使用してマルチコンテナーグループをデプロイする」のテンプレートを編集した完全なテンプレートです。

resources の下で、apiVersion を 2019-12-01 に設定します。
デプロイテンプレートのコンテナーグループプロパティセクションに、次の値を含む encryptionProperties を追加します。
- vaultBaseUrl: お使いのキーコンテナーの DNS 名。ポータルのキーコンテナーリソースの概要ブレードで確認できます。
- keyName: 前に生成したキーの名前。
- keyVersion: スキーマの現在のバージョン。これは、キー自体をクリックして確認できます (キーコンテナーリソースの [設定] セクションの [キー] の下)
コンテナーグループのプロパティの下に、Standard プロパティと値 sku を追加します。 API version 2019-12-01 では sku プロパティは必須です。

次のテンプレートスニペットは、デプロイデータを暗号化するための追加のプロパティを示しています。

[...]
"resources": [
    {
        "name": "[parameters('containerGroupName')]",
        "type": "Microsoft.ContainerInstance/containerGroups",
        "apiVersion": "2019-12-01",
        "location": "[resourceGroup().location]",    
        "properties": {
            "encryptionProperties": {
                "vaultBaseUrl": "https://example.vault.azure.net",
                "keyName": "acikey",
                "keyVersion": "xxxxxxxxxxxxxxxx"
            },
            "sku": "Standard",
            "containers": {
                [...]
            }
        }
    }
]

次に示すのは、「チュートリアル: Resource Manager テンプレートを使用してマルチコンテナーグループをデプロイする」のテンプレートを編集した完全なテンプレートです。

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "containerGroupName": {
      "type": "string",
      "defaultValue": "myContainerGroup",
      "metadata": {
        "description": "Container Group name."
      }
    }
  },
  "variables": {
    "container1name": "aci-tutorial-app",
    "container1image": "mcr.microsoft.com/azuredocs/aci-helloworld:latest",
    "container2name": "aci-tutorial-sidecar",
    "container2image": "mcr.microsoft.com/azuredocs/aci-tutorial-sidecar"
  },
  "resources": [
    {
      "name": "[parameters('containerGroupName')]",
      "type": "Microsoft.ContainerInstance/containerGroups",
      "apiVersion": "2019-12-01",
      "location": "[resourceGroup().location]",
      "properties": {
        "encryptionProperties": {
            "vaultBaseUrl": "https://example.vault.azure.net",
            "keyName": "acikey",
            "keyVersion": "xxxxxxxxxxxxxxxx"
        },
        "sku": "Standard",  
        "containers": [
          {
            "name": "[variables('container1name')]",
            "properties": {
              "image": "[variables('container1image')]",
              "resources": {
                "requests": {
                  "cpu": 1,
                  "memoryInGb": 1.5
                }
              },
              "ports": [
                {
                  "port": 80
                },
                {
                  "port": 8080
                }
              ]
            }
          },
          {
            "name": "[variables('container2name')]",
            "properties": {
              "image": "[variables('container2image')]",
              "resources": {
                "requests": {
                  "cpu": 1,
                  "memoryInGb": 1.5
                }
              }
            }
          }
        ],
        "osType": "Linux",
        "ipAddress": {
          "type": "Public",
          "ports": [
            {
              "protocol": "tcp",
              "port": "80"
            },
            {
                "protocol": "tcp",
                "port": "8080"
            }
          ]
        }
      }
    }
  ],
  "outputs": {
    "containerIPv4Address": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ContainerInstance/containerGroups/', parameters('containerGroupName'))).ipAddress.ip]"
    }
  }
}

リソースをデプロイする

デスクトップ上でテンプレートファイルを作成および編集した場合は、そのファイルをドラッグすることによって Cloud Shell ディレクトリにアップロードできます。

az group create コマンドを使用して、リソースグループを作成します。

az group create --name myResourceGroup --location eastus

az deployment group create コマンドを使用してテンプレートをデプロイします。

az deployment group create --resource-group myResourceGroup --template-file deployment-template.json

数秒以内に、Azure から最初の応答を受信します。デプロイが完了すると、ACI サービスによって保持されているそのデプロイに関連したデータはすべて、指定したキーで暗号化されます。

信頼されたサービスが有効になっているネットワークで保護された Azure Key Vault でカスタマーマネージドキーを使用してデータを暗号化する

Key Vault リソースを作成する

Azure portal、Azure CLI、または Azure PowerShell を使用して、Azure Key Vault を作成します。まず、必要なキーをコンテナーに追加できるように、ネットワーク制限を適用しないでください。以降の手順では、ネットワーク制限を追加し、信頼できるサービスを有効にします。

キーコンテナーのプロパティについては、次のガイドラインを使用します。

名前:一意の名前が必要です。
サブスクリプション:サブスクリプションを選択します。
[リソースグループ] で、既存のリソースグループを選択するか、新しく作成してリソースグループ名を入力します。
[場所] プルダウンメニューで、場所を選択します。
他のオプションは、既定値のままにしておいても、追加の要件に基づいて選択してもかまいません。

重要

新しいキーを生成する

キー作成設定 (PNG) のスクリーンショット。

コンテナーグループのユーザー割り当てマネージド ID を作成する

az identity create コマンドを使用して、サブスクリプション内に ID を作成します。 Key Vault の作成に使ったのと同じリソースグループを使用することも、別のものを使用することもできます。

az identity create \
  --resource-group myResourceGroup \
  --name myACIId

後続のステップで ID を使用するために、az identity show コマンドを使って ID のサービスプリンシパル ID とリソース ID を変数に格納します。

# Get service principal ID of the user-assigned identity
spID=$(az identity show \
  --resource-group myResourceGroup \
  --name myACIId \
  --query principalId --output tsv)

アクセスポリシーを設定する

ユーザー割り当て ID で暗号化のためにキーにアクセスしたり、ラップ解除したりできるようにするための新しいアクセスポリシーを作成します。

az keyvault set-policy \
    --name mykeyvault \
    --resource-group myResourceGroup \
    --object-id $spID \
    --key-permissions get unwrapKey

Azure Key Vault のネットワークアクセス許可を変更する

次のコマンドは、Azure Key Vault 向けに Azure Firewall を設定し、ACI アクセスなどの Azure の信頼されたサービスを許可します。

az keyvault update \
    --name mykeyvault \
    --resource-group myResourceGroup \
    --default-action Deny

az keyvault update \
    --name mykeyvault \
    --resource-group myResourceGroup \
    --bypass AzureServices

JSON デプロイテンプレートを変更する

重要

カスタマーマネージドキーによるデプロイデータの暗号化は、2022-09-01 API バージョン以降で使用できます。 2022-09-01 API バージョンは、ARM または REST 経由でのみ使用できます。これに関して何か問題がある場合は、Azure サポートにご連絡ください。キーコンテナーのキーとアクセスポリシーを設定した後は、次のプロパティを ACI のデプロイテンプレートに追加します。テンプレートを使用した ACI リソースのデプロイについて詳しくは、「チュートリアル: Resource Manager テンプレートを使用してマルチコンテナーグループをデプロイする」のテンプレートを編集した完全なテンプレートです。

resources の下で、apiVersion を 2022-09-01 に設定します。
デプロイテンプレートのコンテナーグループプロパティセクションに、次の値を含む encryptionProperties を追加します。
- vaultBaseUrl: キーコンテナーの DNS 名。ポータルのキーコンテナーリソースの概要ブレードで確認できます
- keyName: 前に生成したキーの名前。
- keyVersion: スキーマの現在のバージョン。これは、キー自体をクリックして確認できます (キーコンテナーリソースの [設定] セクションの [キー] の下)
- identity: これは、前に作成したマネージド ID インスタンスのリソース URI です
コンテナーグループのプロパティの下に、Standard プロパティと値 sku を追加します。 API バージョン 2022-09-01 では sku プロパティは必須です。
リソースの下に、次の値を含む、ACI でマネージド ID を使用するために必要な identity オブジェクトを追加します。
- type: 使用されている ID の種類 (ユーザー割り当てまたはシステム割り当て)。このケースでは "UserAssigned" に設定されます
- userAssignedIdentities: 上記の encryptionProperties オブジェクトで使用したのと同じユーザー割り当て ID のリソース URI。

次のテンプレートスニペットは、デプロイデータを暗号化するための追加のプロパティを示しています。

[...]
"resources": [
    {
        "name": "[parameters('containerGroupName')]",
        "type": "Microsoft.ContainerInstance/containerGroups",
        "apiVersion": "2019-12-01",
        "location": "[resourceGroup().location]",    
        "identity": {
         "type": "UserAssigned",
         "userAssignedIdentities": {
           "/subscriptions/XXXXXXXXXXXXXXXXXXXXXX/resourcegroups/XXXXXXXXXXXXXXXXXXXXXX/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myACIId": {}
         }
        },
        "properties": {
            "encryptionProperties": {
                "vaultBaseUrl": "https://example.vault.azure.net",
                "keyName": "acikey",
                "keyVersion": "xxxxxxxxxxxxxxxx",
                "identity": "/subscriptions/XXXXXXXXXXXXXXXXXXXXXX/resourcegroups/XXXXXXXXXXXXXXXXXXXXXX/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myACIId"
            },
            "sku": "Standard",
            "containers": {
                [...]
            }
        }
    }
]

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "containerGroupName": {
      "type": "string",
      "defaultValue": "myContainerGroup",
      "metadata": {
        "description": "Container Group name."
      }
    }
  },
  "variables": {
    "container1name": "aci-tutorial-app",
    "container1image": "mcr.microsoft.com/azuredocs/aci-helloworld:latest",
    "container2name": "aci-tutorial-sidecar",
    "container2image": "mcr.microsoft.com/azuredocs/aci-tutorial-sidecar"
  },
  "resources": [
    {
      "name": "[parameters('containerGroupName')]",
      "type": "Microsoft.ContainerInstance/containerGroups",
      "apiVersion": "2022-09-01",
      "location": "[resourceGroup().location]",
      "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
          "/subscriptions/XXXXXXXXXXXXXXXXXXXXXX/resourcegroups/XXXXXXXXXXXXXXXXXXXXXX/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myACIId": {}
        }
      },
      "properties": {
        "encryptionProperties": {
          "vaultBaseUrl": "https://example.vault.azure.net",
          "keyName": "acikey",
          "keyVersion": "xxxxxxxxxxxxxxxx",
          "identity": "/subscriptions/XXXXXXXXXXXXXXXXXXXXXX/resourcegroups/XXXXXXXXXXXXXXXXXXXXXX/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myACIId"
        },
        "sku": "Standard",
        "containers": [
          {
            "name": "[variables('container1name')]",
            "properties": {
              "image": "[variables('container1image')]",
              "resources": {
                "requests": {
                  "cpu": 1,
                  "memoryInGb": 1.5
                }
              },
              "ports": [
                {
                  "port": 80
                },
                {
                  "port": 8080
                }
              ]
            }
          },
          {
            "name": "[variables('container2name')]",
            "properties": {
              "image": "[variables('container2image')]",
              "resources": {
                "requests": {
                  "cpu": 1,
                  "memoryInGb": 1.5
                }
              }
            }
          }
        ],
        "osType": "Linux",
        "ipAddress": {
          "type": "Public",
          "ports": [
            {
              "protocol": "tcp",
              "port": "80"
            },
            {
              "protocol": "tcp",
              "port": "8080"
            }
          ]
        }
      }
    }
  ],
  "outputs": {
    "containerIPv4Address": {
      "type": "string",
      "value": "[reference(resourceId('Microsoft.ContainerInstance/containerGroups/', parameters('containerGroupName'))).ipAddress.ip]"
    }
  }
}

リソースをデプロイする

az group create コマンドを使用して、リソースグループを作成します。

az group create --name myResourceGroup --location eastus

az deployment group create コマンドを使用してテンプレートをデプロイします。

az deployment group create --resource-group myResourceGroup --template-file deployment-template.json

デプロイ データの暗号化

ACI のデータ暗号化について

標準の Azure Key Vault に格納されているカスタマー マネージド キーを使用してデータを暗号化する

前提条件

ACI 用のサービス プリンシパルを作成する

Key Vault リソースを作成する

新しいキーを生成する

アクセス ポリシーを設定する

JSON デプロイ テンプレートを変更する

リソースをデプロイする

信頼されたサービスが有効になっているネットワークで保護された Azure Key Vault でカスタマー マネージド キーを使用してデータを暗号化する

Key Vault リソースを作成する

新しいキーを生成する

コンテナー グループのユーザー割り当てマネージド ID を作成する

アクセス ポリシーを設定する

Azure Key Vault のネットワーク アクセス許可を変更する

JSON デプロイ テンプレートを変更する

リソースをデプロイする

その他のリソース

デプロイデータの暗号化

標準の Azure Key Vault に格納されているカスタマーマネージドキーを使用してデータを暗号化する

ACI 用のサービスプリンシパルを作成する

アクセスポリシーを設定する

JSON デプロイテンプレートを変更する

信頼されたサービスが有効になっているネットワークで保護された Azure Key Vault でカスタマーマネージドキーを使用してデータを暗号化する

コンテナーグループのユーザー割り当てマネージド ID を作成する

アクセスポリシーを設定する

Azure Key Vault のネットワークアクセス許可を変更する

JSON デプロイテンプレートを変更する