Azure Key Vault の新機能

[アーティクル]
01/30/2024

ここでは、Azure Key Vault の新機能について説明します。新しい機能と改善点については、Azure の更新情報の Key Vault チャンネルでも発表されます。

2023 年 7 月

Azure Key Vault のキーローテーション構成を管理するための組み込みポリシー。このポリシーを使用すると、キーコンテナー内の既存のキーを監査して、すべてのキーがローテーション用に構成され、組織の標準に準拠していることを確認できます。

詳細については、「キーローテーションガバナンスの構成」を参照してください

2023 年 6 月

Key Vault は、セキュリティ強化を目的として TLS 1.2 以降を適用します。まだ以前のバージョンの TLS を使用している場合は、「お使いの環境で TLS 1.2 のサポートを有効にする」を参照してクライアントを更新し、Key Vault サービスへのアクセスが中断されないようにします。こちらのサンプル Kusto クエリを使用して Key Vault ログを監視することで、クライアントによって使用される TLS バージョンを監視できます。

2023 年 5 月

Azure RBAC が、Azure Key Vault データプレーンに推奨される認可システムになりました。 Azure RBAC は Azure Resource Manager に基づいて構築されており、Azure リソースのアクセスを詳細に管理できます。 Azure RBAC では、ロールの割り当てを作成することによって、リソースへのアクセスを制御します。これには、セキュリティプリンシパル、ロールの定義 (定義済みの一連のアクセス許可)、スコープ (リソースのグループまたは個々のリソース) の 3 つの要素が含まれます。

詳細については、「Azure ロールベースのアクセス制御 (Azure RBAC) とアクセスポリシーの比較 | Microsoft Learn」を参照してください

2023 年 2 月

Azure ロールベースのアクセス制御 (RBAC) への移行を管理するための組み込みポリシーがプレビュー段階になりました。組み込みポリシーを使用すると、既存のキーコンテナーを監査し、すべての新しいキーコンテナーに Azure RBAC アクセス許可モデルを使用するように強制できます。新しい組み込みポリシーを適用する方法については、RBAC の移行ガバナンスに関する記事を参照してください。

2022 年 4 月

Key Vault での暗号化キーの自動ローテーションが一般提供になりました。

詳細については、Key Vault でのキー自動ローテーションの構成に関する記事を参照してください。

2022 年 1 月

アプリケーションのパフォーマンスを高めるために、Azure Key Vault サービスのスループットの制限が引き上げられ、各コンテナーの以前のクォータの 2 倍になりました。つまり、シークレットの GET と RSA 2,048 ビットソフトウェアキーでは、10 秒間に 4,000 件の GET トランザクションを受け取りますが、以前は 10 秒間に 2,000 件でした。サービスクォータは操作の種類に固有であり、すべての一覧は「Azure Key Vault サービスの制限」で確認できます。

Azure の更新のお知らせについては、「一般提供: すべてのお客様の Azure Key Vault サービスの制限の引き上げ」 (https://azure.microsoft.com/updates/azurekeyvaultincreasedservicelimits/) を参照してください

2021 年 12 月

Key Vault での暗号化キーの自動ローテーションはプレビュー段階です。 Event Grid 統合を通じてキーにローテーションポリシーを設定し、自動ローテーションをスケジュールしたり、有効期限通知を構成したりできます。

詳細については、Key Vault でのキー自動ローテーションの構成に関する記事を参照してください。

2021 年 10 月

Azure Key Vault と Azure Policy の統合が一般提供になり、実稼働環境で使用する準備が整いました。この機能は、Azure でのセキュアシークレット管理を簡素化する一方で、Key Vault、キー、シークレット、証明書に対して定義できるポリシーの適用も強化するという我々の取り組みに向けての第一歩です。 Azure Policy では、Key Vault とそのオブジェクトに対して、組織のセキュリティ推奨事項とコンプライアンス規制への準拠を確実にするためのガードレールを設けることができます。これにより、Azure 環境内の既存シークレットについて、ポリシーベースの適用とオンデマンドのコンプライアンス評価をリアルタイムで実行できます。ポリシーによって実行された監査の結果はコンプライアンスダッシュボードで表示でき、リソースとコンポーネントが準拠しているかどうかをドリルダウンして確認できます。キー、シークレット、証明書のガバナンスを提供する組み込みポリシーの完全なスイートが、Key Vault に対する Azure ポリシーによって提供されます。

Azure Key Vault を Azure Policy と統合して新しいポリシーを割り当てる方法について学ぶことができます。発表内容はこちらからご覧ください。

2021 年 6 月

Azure Key Vault Managed HSM が一般提供になりました。 Managed HSM は、FIPS 140-2 レベル 3 適合の HSM を使用してクラウドアプリケーションの暗号化キーを保護するための、フルマネージド、高可用性、シングルテナント、高スループット、標準準拠を特徴とするクラウドサービスを提供します。

詳細については、Azure Key Vault Managed HSM の概要に関する記事を参照してください。

2021 年 2 月

Azure Key Vault データプレーン承認用の Azure ロールベースのアクセス制御 (RBAC) が一般提供になりました。この機能により、管理グループから個々のキー、証明書、シークレットに対して使用可能なロール割り当てスコープを使用して、Key Vault キー、証明書、シークレットの RBAC を管理できるようになりました。

詳細については、「Azure のロールベースのアクセス制御を使用して Key Vault のキー、証明書、シークレットへのアクセス権を付与する」を参照してください。

2020 年 10 月

警告

これらの更新は、Azure Key Vault の実装に影響を与える可能性があります。

今後は既定で論理的な削除をサポートするために、Azure Key Vault PowerShell コマンドレットは次の 2 点が変更されました。

Update-AzKeyVault の DisableSoftDelete と EnableSoftDelete パラメーターが非推奨になりました。
Get-AzKeyVaultSecret コマンドレットの出力に SecretValueText 属性がなくなりました。

2020 年 7 月

警告

これら 2 つの更新は、Azure Key Vault の実装に影響を与える可能性があります。

既定で有効になる論理的な削除

新規および既存のすべてのキーコンテナーに対して、論理的な削除を有効にする必要があります。今後数か月の間に、論理的な削除をオプトアウトする機能は非推奨になります。この破壊的になる可能性のある変更の詳細と、影響を受けるキーコンテナーを見つけて事前に更新する手順については、「すべてのキーコンテナーでの論理的な削除の有効化」をご覧ください。

Azure TLS 証明書の変更

Microsoft では、異なるルート証明機関 (CA) のセットからの TLS 証明書を使用するように、Azure サービスが更新されています。この変更は、現在の CA 証明書が CA/ブラウザーフォーラムのベースライン要件の 1 つに準拠していないため行われています。詳細については、「Azure TLS 証明書の変更」を参照してください。

2020 年 6 月

Azure Monitor for Key Vault がプレビュー段階になりました。 Azure Monitor ではキーコンテナーの要求、パフォーマンス、エラー、待機時間の統合ビューにより、キーコンテナーの包括的な監視が提供されます。詳細については、Azure Monitor for Key Vault (プレビュー) に関するページを参照してください。

2020 年 5 月

Key Vault の "Bring Your Own Key" (BYOK) が一般提供されるようになりました。 Azure Key Vault の BYOK の仕様に関するページを参照し、HSM で保護されたキーを Key Vault (BYOK) にインポートする方法について学習してください。

2020 年 3 月

プライベートエンドポイントをプレビューで使用できるようになりました。 Azure Private Link サービスを使用すると、自分の仮想ネットワーク内のプライベートエンドポイント経由で、Azure Key Vault および Azure でホストされている顧客サービスやパートナーサービスにアクセスできます。 Key Vault と Azure Private Link を統合する方法を学習してください。

2019

次世代 Azure Key Vault SDK のリリース。使用例については、Python、.NET、Java、Node.js の Azure Key Vault シークレットクイックスタートを参照してください
Key Vault 証明書を管理するための新しい Azure ポリシー。「Key Vault 用の Azure Policy 組み込み定義」を参照してください。
Azure Key Vault 仮想マシン拡張機能が一般提供されるようになりました。「Linux 用の Key Vault 仮想マシン拡張機能」および「Windows 用の Key Vault 仮想マシン拡張機能」を参照してください。
Azure Key Vault のイベントドリブンシークレット管理が Azure Event Grid で使用できるようになりました。詳細については、Azure Key Vault でのイベントの Event Grid スキーマに関するページを参照し、Azure Event Grid でキーコンテナー通知を受信して応答する方法を学習してください。

2018

今年リリースされた新機能と統合:

Azure Functions との統合。キーコンテナーの操作に Azure Functions を利用するシナリオの例については、シークレットのローテーションの自動化に関するページを参照してください。
Azure Databricks との統合。これにより、Azure Databricks では次の 2 種類のシークレットスコープがサポートされるようになります: Azure Key Vault に基づくものと、Databricks に基づくもの。詳細については、「Azure Key Vault に基づくシークレットスコープを作成する」を参照してください
Azure Key Vault の仮想ネットワークサービスエンドポイント。

2016

今年リリースされた新機能:

マネージドストレージアカウントキー。 Azure Storage と簡単に統合できるように、ストレージアカウントキーの機能が追加されました。詳細については、マネージドストレージアカウントキーの概要に関する記事を参照してください。
論理的な削除。論理削除機能により、キーコンテナーおよびキーコンテナーオブジェクトのデータ保護が強化されます。詳細については、論理的な削除に関する記事を参照してください。

2015