クイックスタート:ARM テンプレートを使用して Azure Key Vault との間でシークレットの設定と取得を行う

[アーティクル]
08/08/2024

Azure Key Vault は、キー、パスワード、証明書、その他のシークレットなど、シークレットのための安全な保管場所を提供するクラウドサービスです。このクイックスタートでは、Azure Resource Manager テンプレート (ARM テンプレート) をデプロイしてキーコンテナーとシークレットを作成する過程を中心に取り上げます。

Azure Resource Manager テンプレートは JavaScript Object Notation (JSON) ファイルであり、プロジェクトのインフラストラクチャと構成が定義されています。このテンプレートでは、宣言型の構文が使用されています。デプロイしようとしているものを、デプロイを作成する一連のプログラミングコマンドを記述しなくても記述できます。

環境が前提条件を満たしていて、ARM テンプレートの使用に慣れている場合は、 [Azure へのデプロイ] ボタンを選択します。 Azure portal でテンプレートが開きます。

前提条件

この記事を完了するには:

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
Microsoft Entra ユーザーオブジェクト ID は、テンプレートによるアクセス許可の設定で必要です。次の手順を使用してオブジェクト ID (GUID) を取得します。
1. [使ってみる] を選択し、シェルウィンドウにスクリプトを貼り付けて、次の Azure PowerShell または Azure CLI コマンドを実行します。スクリプトを貼り付けるには、シェルを右クリックし、 [貼り付け] を選択します。
  - CLI
  - PowerShell
```
echo "Enter your email address that is used to sign in to Azure:" &&
read upn &&
az ad user show --id $upn --query "Id" &&
echo "Press [ENTER] to continue ..."
```
```
$upn = Read-Host -Prompt "Enter your email address used to sign in to Azure"
(Get-AzADUser -UserPrincipalName $upn).Id
Write-Host "Press [ENTER] to continue..."
```
2. オブジェクト ID を書き留めます。このクイックスタートの次のセクションで必要になります。

テンプレートを確認する

このクイックスタートで使用されるテンプレートは Azure クイックスタートテンプレートからのものです。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "metadata": {
    "_generator": {
      "name": "bicep",
      "version": "0.26.54.24096",
      "templateHash": "8629186205194254058"
    }
  },
  "parameters": {
    "keyVaultName": {
      "type": "string",
      "metadata": {
        "description": "Specifies the name of the key vault."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Specifies the Azure location where the key vault should be created."
      }
    },
    "enabledForDeployment": {
      "type": "bool",
      "defaultValue": false,
      "metadata": {
        "description": "Specifies whether Azure Virtual Machines are permitted to retrieve certificates stored as secrets from the key vault."
      }
    },
    "enabledForDiskEncryption": {
      "type": "bool",
      "defaultValue": false,
      "metadata": {
        "description": "Specifies whether Azure Disk Encryption is permitted to retrieve secrets from the vault and unwrap keys."
      }
    },
    "enabledForTemplateDeployment": {
      "type": "bool",
      "defaultValue": false,
      "metadata": {
        "description": "Specifies whether Azure Resource Manager is permitted to retrieve secrets from the key vault."
      }
    },
    "tenantId": {
      "type": "string",
      "defaultValue": "[subscription().tenantId]",
      "metadata": {
        "description": "Specifies the Azure Active Directory tenant ID that should be used for authenticating requests to the key vault. Get it by using Get-AzSubscription cmdlet."
      }
    },
    "objectId": {
      "type": "string",
      "metadata": {
        "description": "Specifies the object ID of a user, service principal or security group in the Azure Active Directory tenant for the vault. The object ID must be unique for the list of access policies. Get it by using Get-AzADUser or Get-AzADServicePrincipal cmdlets."
      }
    },
    "keysPermissions": {
      "type": "array",
      "defaultValue": [
        "list"
      ],
      "metadata": {
        "description": "Specifies the permissions to keys in the vault. Valid values are: all, encrypt, decrypt, wrapKey, unwrapKey, sign, verify, get, list, create, update, import, delete, backup, restore, recover, and purge."
      }
    },
    "secretsPermissions": {
      "type": "array",
      "defaultValue": [
        "list"
      ],
      "metadata": {
        "description": "Specifies the permissions to secrets in the vault. Valid values are: all, get, list, set, delete, backup, restore, recover, and purge."
      }
    },
    "skuName": {
      "type": "string",
      "defaultValue": "standard",
      "allowedValues": [
        "standard",
        "premium"
      ],
      "metadata": {
        "description": "Specifies whether the key vault is a standard vault or a premium vault."
      }
    },
    "secretName": {
      "type": "string",
      "metadata": {
        "description": "Specifies the name of the secret that you want to create."
      }
    },
    "secretValue": {
      "type": "securestring",
      "metadata": {
        "description": "Specifies the value of the secret that you want to create."
      }
    }
  },
  "resources": [
    {
      "type": "Microsoft.KeyVault/vaults",
      "apiVersion": "2023-07-01",
      "name": "[parameters('keyVaultName')]",
      "location": "[parameters('location')]",
      "properties": {
        "enabledForDeployment": "[parameters('enabledForDeployment')]",
        "enabledForDiskEncryption": "[parameters('enabledForDiskEncryption')]",
        "enabledForTemplateDeployment": "[parameters('enabledForTemplateDeployment')]",
        "tenantId": "[parameters('tenantId')]",
        "enableSoftDelete": true,
        "softDeleteRetentionInDays": 90,
        "accessPolicies": [
          {
            "objectId": "[parameters('objectId')]",
            "tenantId": "[parameters('tenantId')]",
            "permissions": {
              "keys": "[parameters('keysPermissions')]",
              "secrets": "[parameters('secretsPermissions')]"
            }
          }
        ],
        "sku": {
          "name": "[parameters('skuName')]",
          "family": "A"
        },
        "networkAcls": {
          "defaultAction": "Allow",
          "bypass": "AzureServices"
        }
      }
    },
    {
      "type": "Microsoft.KeyVault/vaults/secrets",
      "apiVersion": "2023-07-01",
      "name": "[format('{0}/{1}', parameters('keyVaultName'), parameters('secretName'))]",
      "properties": {
        "value": "[parameters('secretValue')]"
      },
      "dependsOn": [
        "[resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"
      ]
    }
  ],
  "outputs": {
    "location": {
      "type": "string",
      "value": "[parameters('location')]"
    },
    "name": {
      "type": "string",
      "value": "[parameters('keyVaultName')]"
    },
    "resourceGroupName": {
      "type": "string",
      "value": "[resourceGroup().name]"
    },
    "resourceId": {
      "type": "string",
      "value": "[resourceId('Microsoft.KeyVault/vaults', parameters('keyVaultName'))]"
    }
  }
}

テンプレートでは、次の 2 つの Azure リソースが定義されています。

Microsoft.KeyVault/vaults: Azure キーコンテナーが作成されます。
Microsoft.KeyVault/vaults/secrets: キーコンテナーシークレットが作成されます。

その他の Azure Key Vault テンプレートのサンプルは、Azure クイックスタートテンプレートのページから入手できます。

テンプレートのデプロイ

Azure にサインインし、テンプレートを開くには次のイメージを選択します。このテンプレートを使用すると、キーコンテナーとシークレットが作成されます。
次の値を選択または入力します。

指定がない場合、既定値を使用してキーコンテナーとシークレットを作成してください。
- サブスクリプション: Azure サブスクリプションを選択します。
- リソースグループ: [新規作成] を選択し、リソースグループの一意の名前を入力し、 [OK] をクリックします。
- 場所: 場所を選択します。たとえば [米国中部] です。
- Key Vault 名: キーコンテナーの名前を入力します。この名前は、.vault.azure.net 名前空間内でグローバルに一意である必要があります。次のセクションでデプロイを検証するときに、その名前が必要です。
- テナント ID: テンプレート関数によって自動的にテナント ID が取得されます。既定値を変更しないでください。
- Ad ユーザー ID: 前提条件から取得した Microsoft Entra ユーザーオブジェクト ID を入力します。
- シークレット名: キーコンテナーに格納するシークレットの名前を入力します。たとえば、adminpassword にします。
- シークレット値: シークレットの値を入力します。パスワードを保管する場合、前提条件で作成したパスワードを使用することをお勧めします。
- 上記の使用条件に同意する: 選択。
[購入] を選択します。キーコンテナーが正常にデプロイされると、次の通知が表示されます。

テンプレートをデプロイするには Azure portal を使用します。 Azure portal だけでなく、Azure PowerShell、Azure CLI、および REST API を使用することもできます。他のデプロイ方法については、「テンプレートのデプロイ」を参照してください。

デプロイされているリソースを確認する

Azure portal を使用し、キーコンテナーとシークレットを確認するか、次の Azure CLI または Azure PowerShell スクリプトを使用し、作成されたシークレットを一覧表示できます。

CLI
PowerShell

echo "Enter your key vault name:" &&
read keyVaultName &&
az keyvault secret list --vault-name $keyVaultName &&
echo "Press [ENTER] to continue ..."

$keyVaultName = Read-Host -Prompt "Enter your key vault name"
Get-AzKeyVaultSecret -vaultName $keyVaultName
Write-Host "Press [ENTER] to continue..."

出力は次のようになります。

CLI
PowerShell

CLI でのデプロイポータル検証の出力を示すスクリーンショット。

リソースをクリーンアップする

Key Vault に関する他のクイックスタートとチュートリアルは、このクイックスタートに基づいています。後続のクイックスタートおよびチュートリアルを引き続き実行する場合は、これらのリソースをそのまま残しておくことをお勧めします。不要になったら、リソースグループを削除します。これにより、Key Vault と関連リソースが削除されます。 Azure CLI または Azure PowerShell を使用してリソースグループを削除するには、次を実行します。

CLI
PowerShell

echo "Enter the Resource Group name:" &&
read resourceGroupName &&
az group delete --name $resourceGroupName &&
echo "Press [ENTER] to continue ..."

$resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
Remove-AzResourceGroup -Name $resourceGroupName
Write-Host "Press [ENTER] to continue..."

次のステップ

このクイックスタートでは、ARM テンプレートを使用してキーコンテナーとシークレットを作成し、デプロイを検証しました。 Key Vault と Azure Resource Manager の詳細については、引き続き以下の記事を参照してください。

Azure Key Vault の概要を確認する
Azure Resource Manager の詳細を確認する
Key Vault のセキュリティの概要を確認する

次の方法で共有

クイックスタート:ARM テンプレートを使用して Azure Key Vault との間でシークレットの設定と取得を行う

前提条件

テンプレートを確認する

テンプレートのデプロイ

デプロイされているリソースを確認する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

クイック スタート:ARM テンプレートを使用して Azure Key Vault との間でシークレットの設定と取得を行う

前提条件

テンプレートを確認する

テンプレートのデプロイ

デプロイされているリソースを確認する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

クイックスタート:ARM テンプレートを使用して Azure Key Vault との間でシークレットの設定と取得を行う