Azure Database for PostgreSQL でデータ暗号化を構成する

この記事では、Azure Database for PostgreSQL フレキシブル サーバー インスタンスのデータ暗号化を構成する手順について説明します。

Important

データ暗号化にシステム マネージド キーまたはカスタマー マネージド キーのどちらを使用するかを決定できる唯一のポイントは、サーバーの作成時です。 その決定を行い、サーバーを作成したら、2 つのオプションを切り替えることはできません。

この記事では、新しいサーバーを作成し、そのデータ暗号化オプションを構成する方法について説明します。 顧客が管理する暗号化キーを使用するようにデータ暗号化が構成されている既存のサーバーについては、以下を学習します。

• サービスが暗号化キーにアクセスする別のユーザー割り当てマネージド ID を選択する方法。
• 別の暗号化キーを指定する方法、または現在データ暗号化に使用されている暗号化キーをローテーションする方法。

Azure Database for PostgreSQL のコンテキストでのデータ暗号化の詳細については、 データ暗号化に関するページを参照してください。

サーバーのプロビジョニング中にシステム マネージド キーを使用してデータ暗号化を構成する

ポータル

Azure portal を使用して以下を実行します。

1. 新しい Azure Database for PostgreSQL フレキシブル サーバー インスタンスのプロビジョニング中に、[ セキュリティ ] タブでデータ暗号化が構成されます。 [データ暗号化キー] で、[ サービスマネージド キー ] ラジオ ボタンを選択します。

   

2. geo 冗長バックアップ ストレージをサーバーと共にプロビジョニングできるようにする場合、サーバーが 2 つの個別の暗号化キーを使用するため、[ セキュリティ ] タブの側面が若干変わります。 1 つはサーバーをデプロイするプライマリ リージョン用、もう 1 つはサーバー バックアップが非同期的にレプリケートされるペアリージョン用です。

   

CLI

az postgres flexible-server create コマンドを使用して、新しいサーバーのプロビジョニング中に、システム割り当て暗号化キーを使用してデータ暗号化を有効にすることができます。

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

注

前のコマンドには、データ暗号化のためにシステム割り当てキーを使用してサーバーを作成する必要があることを指定する特別なパラメーターはありません。 システム割り当てキーを使用したデータ暗号化が既定のオプションであるためです。 また、プロビジョニングされたサーバーの他の機能を構成する方法によってプレゼンスと値が異なる他のパラメーターで提供されるコマンドを完了する必要があることに注意してください。

サーバーのプロビジョニング中にカスタマー マネージド キーを使用してデータ暗号化を構成する

ポータル

Azure portal を使用して以下を実行します。

1. ユーザー割り当てマネージド ID がまだない場合は、1 つ作成します。 サーバーで geo 冗長バックアップが有効になっている場合は、別の ID に作成する必要があります。 これらの各 ID は、2 つのデータ暗号化キーのそれぞれにアクセスするために使用されます。

注

これは必須ではありませんが、リージョンの回復性を維持するために、サーバーと同じリージョンにユーザー マネージド ID を作成することをお勧めします。 また、サーバーで geo バックアップ冗長が有効になっている場合は、geo 冗長バックアップのデータ暗号化キーへのアクセスに使用される 2 番目のユーザー マネージド ID を、サーバーの ペアリージョン に作成することをお勧めします。

1. キー ストアがまだ 1 つ作成されていない場合は、Azure Key Vault を 1 つ作成するか、1 つの Managed HSM を作成します。 要件を満たしていることを確認します。 また、キー ストアを構成する前と、キーを作成して必要なアクセス許可をユーザー割り当てマネージド ID に割り当てる前に、 推奨事項 に従ってください。 サーバーで geo 冗長バックアップが有効になっている場合は、2 つ目のキー ストアを作成する必要があります。 その 2 つ目のキー ストアは、サーバーの ペアになっているリージョン にコピーされたバックアップが暗号化されるデータ暗号化キーを保持するために使用されます。

注

データ暗号化キーを保持するために使用するキー ストアは、サーバーと同じリージョンにデプロイする必要があります。 また、サーバーで geo バックアップ冗長が有効になっている場合は、geo 冗長バックアップのデータ暗号化キーを保持するキー ストアを、サーバーの ペアリージョン に作成する必要があります。

1. キーストアにキーを 1 つ作成します。 サーバーで geo 冗長バックアップが有効になっている場合は、各キー ストアに 1 つのキーが必要です。 これらのキーのいずれかを使用して、すべてのサーバーのデータ (すべてのシステム データベースとユーザー データベース、一時ファイル、サーバー ログ、先書きログ セグメント、バックアップを含む) を暗号化します。 2 番目のキーを使用して、サーバーの ペアになっているリージョン に非同期的にコピーされるバックアップのコピーを暗号化します。

2. 新しい Azure Database for PostgreSQL フレキシブル サーバー インスタンスのプロビジョニング中に、[ セキュリティ ] タブでデータ暗号化が構成されます。 [データ暗号化キー] で、[ カスタマー マネージド キー ] ラジオ ボタンを選択します。

   

3. geo 冗長バックアップ ストレージをサーバーと共にプロビジョニングできるようにする場合、サーバーが 2 つの個別の暗号化キーを使用するため、[ セキュリティ ] タブの側面が若干変わります。 1 つはサーバーをデプロイするプライマリ リージョン用、もう 1 つはサーバー バックアップが非同期的にレプリケートされるペアリージョン用です。

   

4. [ユーザー割り当てマネージド ID] で、[ID の変更] を選択します。

   

5. ユーザー割り当てマネージド ID の一覧から、Azure Key Vault に格納されているデータ暗号化キーへのアクセスにサーバーで使用するものを選択します。

   

6. [] を選択し、[] を追加します。

   

7. 現在のバージョンが手動または自動的にローテーションされるたびに、選択したキーの最新バージョンへの参照をサービスで自動的に更新できるようにする場合は、[キーバージョンの 自動更新を使用する] を選択します。 キーバージョンの自動更新を使用する利点については、キーバージョンの自動更新に関 する記事を参照してください。

   

8. [ キーの選択] を選択します。

   

9. サブスクリプション には、サーバーが作成されるサブスクリプションの名前が自動的に設定されます。 データ暗号化キーを保持するキー ストアは、サーバーと同じサブスクリプションに存在する必要があります。

   

10. [ キー ストアの種類] で、データ暗号化キーを格納するキー ストアの種類に対応するラジオ ボタンを選択します。 この例では、 キー コンテナーを選択しますが、 Managed HSM を選択した場合のエクスペリエンスは似ています。

    

11. キー コンテナー (または、そのストレージの種類を選択した場合は Managed HSM) を展開し、データ暗号化キーが存在するインスタンスを選択します。

    

    注

    ドロップダウン ボックスを展開すると、[ 使用可能な項目がありません] と表示されます。 サーバーと同じリージョンにデプロイされているキー コンテナーのすべてのインスタンスが一覧表示されるまで、数秒かかります。

12. [ キー] を展開し、データ暗号化に使用するキーの名前を選択します。

    

13. [ キーバージョンの自動更新を使用する] を選択しなかった場合は、特定のバージョンのキーも選択する必要があります。 これを行うには、[ バージョン] を展開し、データ暗号化に使用するキーのバージョンの識別子を選択します。

    

14. [ 選択] を選択します。

    

15. 新しいサーバーの他のすべての設定を構成し、[ 確認と作成] を選択します。

    

CLI

az postgres flexible-server create コマンドを使用して、新しいサーバーのプロビジョニング中に、ユーザー割り当て暗号化キーを使用してデータ暗号化を有効にすることができます。

サーバーで geo 冗長バックアップが有効になっていない場合:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

注

前のコマンドは、プロビジョニングされたサーバーの他の機能を構成する方法によってプレゼンスと値が異なる他のパラメーターで完了する必要があります。

サーバーで geo 冗長バックアップが有効になっている場合:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

注

前のコマンドは、プロビジョニングされたサーバーの他の機能を構成する方法によってプレゼンスと値が異なる他のパラメーターで完了する必要があります。

既存のサーバーでカスタマー マネージド キーを使用してデータ暗号化を構成する

データ暗号化にシステム マネージド キーまたはカスタマー マネージド キーのどちらを使用するかを決定できる唯一のポイントは、サーバーの作成時です。 その決定を行い、サーバーを作成したら、2 つのオプションを切り替えることはできません。 1 つから別のバックアップに変更する場合は、 サーバーで使用可能なすべてのバックアップを新しいサーバーに復元する必要があります。 復元の構成中に、新しいサーバーのデータ暗号化構成を変更することができます。

カスタマー マネージド キーを使用してデータ暗号化を使用してデプロイされた既存のサーバーでは、いくつかの構成変更を実行できます。 変更できる点は、暗号化に使用されるキーへの参照と、キー ストアに保持されているキーにアクセスするためにサービスによって使用されるユーザー割り当てマネージド ID への参照です。

Azure Database for PostgreSQL のフレキシブル サーバー インスタンスが保持するキーへの参照を更新する必要があります。

• キー ストアに格納されているキーが手動または自動でローテーションされ、Azure Database for PostgreSQL フレキシブル サーバー インスタンスが特定のバージョンのキーを指している場合。 キーを指しているが、特定のバージョンのキーを指していない場合 (自動 キー バージョンの更新を有効 にした場合)、キーが手動または自動的にローテーションされるたびに、サービスによって最新バージョンのキーが自動的に参照されます。
• 別のキー ストアに格納されている同じキーまたは別のキーを使用する場合。

別の ID を使用する場合は常に、Azure Database for PostgreSQL フレキシブル サーバー インスタンスが暗号化キーにアクセスするために使用するユーザー割り当てマネージド ID を更新する必要があります。

ポータル

Azure portal を使用して以下を実行します。

1. Azure Database for PostgreSQL フレキシブル サーバー インスタンスを選択します。

2. リソース メニューの [ セキュリティ] で、[ データ暗号化] を選択します。

   

3. サーバーがキーが保持されているキー ストアにアクセスするユーザー割り当てマネージド ID を変更するには、[ ユーザー割り当てマネージド ID ] ドロップダウンを展開し、使用可能な ID のいずれかを選択します。

   

   注

   コンボ ボックスに表示される ID は、Azure Database for PostgreSQL フレキシブル サーバー インスタンスが割り当てられた ID のみです。 これは必須ではありませんが、リージョンの回復性を維持するために、サーバーと同じリージョンのユーザー マネージド ID を選択することをお勧めします。 また、サーバーで geo バックアップ冗長が有効になっている場合は、geo 冗長バックアップのデータ暗号化キーへのアクセスに使用される 2 番目のユーザー マネージド ID が、サーバーの ペアになっているリージョン に存在することをお勧めします。

4. データ暗号化キーへのアクセスに使用するユーザー割り当てマネージド ID が Azure Database for PostgreSQL フレキシブル サーバー インスタンスに割り当てられず、Microsoft Entra ID に対応するオブジェクトを持つ Azure リソースとして存在しない場合は、[ 作成] を選択して作成できます。

   

5. [ ユーザー割り当てマネージド ID の作成 ] パネルで、作成するユーザー割り当てマネージド ID の詳細を入力し、データ暗号化キーにアクセスするために Azure Database for PostgreSQL フレキシブル サーバー インスタンスに自動的に割り当てます。

   

6. データ暗号化キーへのアクセスに使用するユーザー割り当てマネージド ID が Azure Database for PostgreSQL フレキシブル サーバー インスタンスに割り当てられていないが、Microsoft Entra ID 内の対応するオブジェクトを持つ Azure リソースとして存在する場合は、[ 選択] を選択して割り当てることができます。

   

7. ユーザー割り当てマネージド ID の一覧から、Azure Key Vault に格納されているデータ暗号化キーへのアクセスにサーバーで使用するものを選択します。

   

8. [] を選択し、[] を追加します。

   

9. 現在のバージョンが手動または自動的にローテーションされるたびに、選択したキーの最新バージョンへの参照をサービスで自動的に更新できるようにする場合は、[キーバージョンの 自動更新を使用する] を選択します。 キーバージョンの自動更新を使用する利点については、「[キー バージョンの自動更新](concepts-data-encryption.md##CMK キー バージョンの更新)」を参照してください。

   

10. キーをローテーションし、[キー の自動バージョン更新を使用する] が有効になっていない場合。 または、別のキーを使用する場合は、Azure Database for PostgreSQL フレキシブル サーバー インスタンスを更新して、新しいキー バージョンまたは新しいキーを指す必要があります。 これを行うには、キーのリソース識別子をコピーし、[ キー識別子 ] ボックスに貼り付けます。

    

11. Azure portal にアクセスするユーザーに、キー ストアに格納されているキーにアクセスするためのアクセス許可がある場合は、別の方法を使用して、新しいキーまたは新しいキー バージョンを選択できます。 これを行うには、[ キーの選択方法] で [キーの選択] ラジオ ボタン を選択 します。

    

12. [ キーの選択] を選択します。

    

13. サブスクリプション には、サーバーが作成されるサブスクリプションの名前が自動的に設定されます。 データ暗号化キーを保持するキー ストアは、サーバーと同じサブスクリプションに存在する必要があります。

    

14. [ キー ストアの種類] で、データ暗号化キーを格納するキー ストアの種類に対応するラジオ ボタンを選択します。 この例では、 キー コンテナーを選択しますが、 Managed HSM を選択した場合のエクスペリエンスは似ています。

    

15. キー コンテナー (または、そのストレージの種類を選択した場合は Managed HSM) を展開し、データ暗号化キーが存在するインスタンスを選択します。

    

    注

    ドロップダウン ボックスを展開すると、[ 使用可能な項目がありません] と表示されます。 サーバーと同じリージョンにデプロイされているキー コンテナーのすべてのインスタンスが一覧表示されるまで、数秒かかります。

16. [ キー] を展開し、データ暗号化に使用するキーの名前を選択します。

    

17. [ キーバージョンの自動更新を使用する] を選択しなかった場合は、特定のバージョンのキーも選択する必要があります。 これを行うには、[ バージョン] を展開し、データ暗号化に使用するキーのバージョンの識別子を選択します。

    

18. [ 選択] を選択します。

    

19. 加えられた変更に問題がなければ、[ 保存] を選択します。

    

CLI

az postgres flexible-server update コマンドを使用して、既存のサーバーのユーザー割り当て暗号化キーを使用してデータ暗号化を構成できます。

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

注

前のコマンドは、既存のサーバーの他の機能を構成する方法によってプレゼンスと値が異なる他のパラメーターで完了する必要がある場合があります。

キーへのアクセスに使用するユーザー割り当てマネージド ID のみを変更する場合でも、データ暗号化に使用するキーのみを変更する場合でも、同時に両方を変更する場合でも、パラメーター --identity と --key の両方を指定する必要があります (geo 冗長バックアップの場合は --backup-identity と --backup-key )。 いずれか 1 つを指定しても、両方を指定しない場合は、次のいずれかのエラーが発生します。

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

--key パラメーターに渡された値 (または geo 冗長バックアップの場合は--backup-key) が指すキーが存在しない場合、またはリソース識別子が --identity パラメーターに渡されるユーザー割り当てマネージド ID (geo 冗長バックアップの場合は ore --backup-identity) にキーにアクセスするために必要なアクセス許可がない場合は、次のエラーが発生します。

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

サーバーで geo 冗長バックアップが有効になっている場合は、geo 冗長バックアップの暗号化に使用されるキーと、そのキーへのアクセスに使用される ID を構成できます。 これを行うには、 --backup-identity パラメーターと --backup-key パラメーターを使用できます。

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

パラメーター --backup-identity と --backup-key を az postgres flexible server update コマンドに渡し、geo 冗長バックアップが有効になっていない既存のサーバーを参照すると、次のエラーが発生します。

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

--identityおよび--backup-identityパラメーターに渡される ID (存在し、有効な場合) は、Azure Database for PostgreSQL フレキシブル サーバー インスタンスに関連付けられているユーザー割り当てマネージド ID の一覧に自動的に追加されます。 これは、コマンドが後で他のエラーで失敗した場合でも当てはまる場合です。 このような場合は、 az postgres フレキシブル サーバー ID コマンドを使用して、Azure Database for PostgreSQL フレキシブル サーバー インスタンスに割り当てられたユーザー割り当てマネージド ID を一覧表示、割り当て、または削除することができます。 Azure Database for PostgreSQL フレキシブル サーバー インスタンスでのユーザー割り当てマネージド ID の構成の詳細については、ユーザー割り当てマネージド ID を既存のサーバーに関連付ける、ユーザー割り当てマネージド ID を既存のサーバーに関連付ける、関連付けられているユーザー割り当てマネージド ID を表示する方法を参照してください。

関連コンテンツ

• データ暗号化