チュートリアル: Key Vaultで証明書の自動ローテーションを構成する

Azure Key Vaultは、デジタル証明書のプロビジョニング、管理、展開に役立ちます。 証明書には、証明機関 (CA) によって署名されたパブリックまたはプライベートの TLS/SSL 証明書、または自己署名証明書を使用できます。 Key Vaultは CA とのパートナーシップを通じて証明書を要求および更新することもできます。これにより、完全な証明書ライフサイクル管理ソリューションが提供されます。

Azure Key Vaultのさまざまな資産タイプにわたる自動ローテーションの概要については、「Azure Key Vaultの自動ローテーションについて」を参照してください。

このチュートリアルでは、証明書の有効期間、自動ローテーション頻度、および CA 属性を更新します。

• Azure ポータルを使用して証明書を管理します。
• CA プロバイダー アカウントを追加します。
• 証明書の有効期間を更新します。
• 証明書の自動ローテーション頻度を更新します。
• Azure PowerShellを使用して証明書の属性を更新します。

開始する前に、Key Vault基本的な概念を参照してください。

Azure サブスクリプションがない場合は、開始する前に free アカウントを作成します。

Azureにサインインする

Azure ポータルにサインインします。

コンテナーの作成

次の 3 つの方法のいずれかを使用して、キーボールトを作成します。

• Azure ポータルを使用してキー コンテナーを作成します
• Azure CLI
• Azure PowerShell

Key Vaultで証明書を作成する

証明書を作成するか、証明書をkey vaultにインポートします (Key Vaultで証明書を作成する手順を参照)。 このチュートリアルでは、 ExampleCertificate という名前の証明書を使用します。

証明書のライフサイクル属性を更新する

Azure Key Vaultでは、作成時またはその後に証明書のライフサイクル属性を更新できます。

Key Vaultで作成される証明書は次のとおりです。

• 自己署名証明書。
• Key Vaultと提携している CA で作成された証明書。
• Key Vaultと提携していない CA で作成された証明書。

現在、Key Vaultには次のパートナー CA があります。

• DigiCert: Key Vaultは OV または EV TLS/SSL 証明書を提供します。
• GlobalSign: Key Vaultは OV または EV TLS/SSL 証明書を提供します。

Key Vaultは、CA パートナーシップを通じて証明書を自動ローテーションします。 Key Vaultはパートナーシップを通じて証明書を自動的に要求および更新するため、自動ローテーションは、パートナー以外の CA で作成された証明書には適用されません。

注

CA プロバイダーのアカウント管理者は、Key Vault が TLS/SSL 証明書の作成、更新、および使用を行うために使用する資格情報を作成します。

作成時に証明書のライフサイクル属性を更新する

1. Key Vaultのプロパティ ページで、Certificates を選択します。

2. [Generate/Import](生成/インポート) を選択します。

3. [ 証明書の作成 ] 画面で、次の値を更新します。

   • 有効期間: 月単位で値を入力します。 有効期間の短い証明書は、セキュリティのベスト プラクティスです。 既定では、新しく作成された証明書の有効期間は 12 か月です。

   • 有効期間アクションの種類: 証明書の自動更新とアラート アクションを選択し、 有効期間の割合 または 有効期限の日数を更新します。 既定では、自動更新は証明書の有効期間の 80% に設定されます。 ドロップダウン メニューから、次のいずれかのオプションを選択します。

     特定の時刻に自動的に更新する	特定の時点ですべての連絡先にメールを送信する
     自動回転をオンにします。	自動回転せず、連絡先にのみ通知します。

     詳細については、「証明書の 有効期限に関する通知を受け取る」を参照してください。

4. を選択してを作成します。

保存されている証明書のライフサイクル属性を更新する

1. キー コンテナーを選択します。

2. Key Vaultのプロパティ ページで、Certificates を選択します。

3. 更新する証明書を選択します。 このチュートリアルでは、 ExampleCertificate という名前の証明書を使用します。

4. 上部のメニュー バーで、[ 発行ポリシー] を選択します。

   

5. [ 発行ポリシー ] 画面で、次の値を更新します。

   • 有効期間: 月単位の値を更新します。
   • 有効期間アクションの種類: 証明書の自動更新とアラート アクションを選択し、 有効期間の割合 または 有効期限の日数を更新します。

   

6. 保存 を選択します。

Von Bedeutung

証明書の 有効期間アクションの種類 を変更すると、既存の証明書にすぐに適用されます。

PowerShell を使用して証明書属性を更新する

Set-AzKeyVaultCertificatePolicy -VaultName $vaultName `
                                -Name $certificateName `
                                -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]

ヒント

証明書の一覧の更新ポリシーを変更するには、次の例のように、File.csvを含むVaultName,CertNameを入力します。
vault1,Cert1​
vault2,Cert2​

$file = Import-CSV C:\Users\myfolder\ReadCSVUsingPowershell\File.csv ​
foreach($line in $file)​
{​
Set-AzKeyVaultCertificatePolicy -VaultName $vaultName -Name $certificateName -RenewAtNumberOfDaysBeforeExpiry [276 or appropriate calculated value]
}

パラメーターの詳細については、 az keyvault 証明書を参照してください。

リソースをクリーンアップする

他のKey Vaultチュートリアルは、このチュートリアルに基づいて構築されています。 それらを使用する予定の場合は、リソースを所定の位置に置いたままにしておきます。 不要になったら、リソース グループを削除します。 リソース グループを削除すると、キー コンテナーと関連リソースが削除されます。

ポータルでリソース グループを削除するには:

1. ポータルの上部にある [検索 ] ボックスにリソース グループ名を入力し、結果から選択します。
2. [リソース グループの削除] を選択します。
3. [ リソース グループ名の入力: ] ボックスにリソース グループ名を入力し、[削除] を選択 します。

次のステップ

このチュートリアルでは、証明書のライフサイクル属性を更新しました。 Key Vaultとそのアプリケーションとの統合方法の詳細については、以下を参照してください。

• Key Vault の概要
• Azure Key Vaultでの証明書の作成の管理
• Azure Key Vault での自動回転の理解