次の方法で共有


新しいストレージ アカウントの同じテナントでカスタマー マネージド キーを構成する

Azure Storage は、保存されているストレージ アカウント内のすべてのデータを暗号化します。 規定では、データは Microsoft のマネージド キーで暗号化されます。 暗号化キーをさらに制御するために、独自のキーを管理することができます。 カスタマー マネージド キーは、Azure Key Vault または Azure Key Vault Managed Hardware Security Model (HSM) に格納する必要があります。

この記事では、新しいストレージ アカウントを作成するときにカスタマー マネージド キーによる暗号化を構成する方法について説明します。 カスタマー マネージド キーは、キー コンテナーに格納されます。

既存のストレージ アカウントのカスタマー マネージド キーを構成する方法については、「Azure Key Vault に既存のストレージ アカウントのカスタマー マネージド キーを構成する」を参照してください。

注意

Azure Key Vault と Azure Key Vault マネージド HSM では、カスタマー マネージド キーの構成用に同じ API と管理インターフェイスがサポートされています。 Azure Key Vault でサポートされているすべてのアクションが、Azure Key Vault マネージド HSM でもサポートされます。

キー コンテナーを構成する

新規または既存のキー コンテナーを使用して、カスタマー マネージド キーを格納することができます。 ストレージ アカウントとキーコンテナーは、同じテナント内の異なるリージョンまたはサブスクリプションに存在する場合があります。 Azure Key Vault の詳細については、Azure Key Vault の概要Azure Key Vault とは何であるかに関する記事を参照してください。

Azure Storage 暗号化でカスタマー マネージド キーを使うには、キー コンテナーに対して論理的な削除と消去保護の両方を有効にする必要があります。 新しいキー コンテナーを作成すると、論理的な削除は既定で有効になり、無効にすることはできません。 消去保護は、キー コンテナーの作成時または作成後に有効にすることができます。

Azure Key Vault では、Azure RBAC アクセス許可モデルを使用した Azure RBAC による認可がサポートされています。 Microsoft では、キー コンテナー アクセス ポリシーに対して Azure RBAC アクセス許可モデルを使用することをお勧めします。 詳細については、「 Azure RBAC を使用して Azure キー コンテナーへのアクセス許可をアプリケーションに付与する」を参照してください。

Azure portal を使ってキー コンテナーを作成する方法を学習するには、「クイック スタート: Azure portal を使用してキー コンテナーを作成する」を参照してください。 キー コンテナーを作成するときに、次の図に示すように、 [消去保護を有効にします] を選択します。

キー コンテナーを作成するときに消去保護を有効にする方法を示すスクリーンショット。

既存のキー コンテナーで消去保護を有効にするには、次の手順を実行します。

  1. Azure portal で、ご自身のキー コンテナーに移動します。
  2. [設定][プロパティ] を選択します。
  3. [消去保護] セクションで、 [消去保護を有効にします] を選択します。

キーを追加する

次に、キー コンテナーにキーを追加します。 キーを追加する前に、Key Vault Crypto Officer ロールが自分に割り当てられていることを確認してください。

Azure Storage の暗号化では、2,048、3,072、および 4,096 のサイズの RSA キーと RSA-HSM キーがサポートされています。 サポートされているキーの種類の詳細については、「キーについて」を参照してください。

Azure portal を使ってキーを追加する方法を学習するには、「クイック スタート: Azure portal を使用して Azure Key Vault との間でキーの設定と取得を行う」を参照してください。

ユーザー割り当てマネージド ID を使用してキー コンテナーへのアクセスを承認する

新しいストレージ アカウントのカスタマー マネージド キーを有効にする場合は、ユーザー割り当てマネージド ID を指定する必要があります。 既存のストレージ アカウントでは、ユーザー割り当てマネージド ID またはシステム割り当てマネージド ID のいずれかを使用してカスタマー マネージド キーを構成することがサポートされています。

ユーザー割り当てマネージド ID を使用してカスタマー マネージド キーを構成する場合、ユーザー割り当てマネージド ID を使用して、キーを含むキー コンテナーへのアクセスが認可されます。 ユーザー割り当て ID はカスタマー マネージド キーを構成する前に作成する必要があります。

ユーザー割り当てマネージド ID は、スタンドアロンの Azure リソースです。 ユーザー割り当てのマネージド ID の詳細については、「マネージド ID の種類」を参照してください。 ユーザー割り当てマネージド ID を作成して管理する方法については、「ユーザー割り当てマネージド ID の管理」を参照してください。

ユーザー割り当てマネージド ID には、キー コンテナー内のキーにアクセスするためのアクセス許可が必要です。 Key Vault Crypto Service Encryption User ロールを、キー コンテナー スコープを持つユーザー割り当てマネージド ID に割り当てて、これらのアクセス許可を付与します。

ユーザー割り当てマネージド ID でカスタマー マネージド キーを構成する前に、キー コンテナーにスコープ設定されたユーザー割り当てマネージド ID に Key Vault Crypto Service Encryption User ロールを割り当てる必要があります。 このロールは、ユーザー割り当てマネージド ID に、キー コンテナー内のキーにアクセスするためのアクセス許可を付与します。 Azure portal を使用して Azure RBAC ロールを割り当てる方法の詳細については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

Azure portal を使用してカスタマー マネージド キーを構成する場合は、ポータルのユーザー インターフェイスから既存のユーザー割り当て ID を選択できます。

新しいストレージ アカウントのカスタマー マネージド キーを構成する

新しいストレージ アカウントでカスタマー マネージド キーを使用して暗号化を構成する場合は、関連付けられているキー コンテナーで新しいバージョンが使用可能になるたびに、Azure Storage 暗号化に使用するキー バージョンを自動更新することを選択できます。 または、キーのバージョンが手動で更新されるまで暗号化に使用するキーのバージョンを明示的に指定できます。

ストレージ アカウントの作成時にカスタマー マネージド キーを構成する場合は、キー コンテナーへのアクセスの承認に既存のユーザー割り当てマネージド ID を使用する必要があります。 ユーザー割り当てマネージド ID には、キー コンテナーにアクセスするための適切なアクセス許可が必要です。 詳細については、Azure Key Vault に対する認証に関する記事を参照してください。

キー バージョンの自動更新の暗号化を構成する

Azure Storage では、暗号化に使用されているカスタマー マネージド キーを、キー コンテナーの最新キー バージョンを使用するように自動更新できます。 Azure Storage では、新しいキー バージョンの確認のため、キー コンテナーが毎日チェックされます。 新しいバージョンが使用可能になると、Azure Storage は自動的に、暗号化に最新バージョンのキーの使用を開始します。

重要

Azure Storage では、新しいキー バージョンの確認のため、キー コンテナーが 1 日に 1 回だけチェックされます。 キーを交換するときは、必ず 24 時間待って、古いバージョンを無効化するようにしてください。

キーのバージョンを自動更新するように新しいストレージ アカウントでカスタマー マネージド キーを構成するには、次の手順を実行します。

  1. Azure portal で [Storage accounts] (ストレージ アカウント) ページに移動し、[作成] ボタンを選択して新しいアカウントを作成します。

  2. ストレージ アカウントを作成する」に示されている手順に従って、[基本][詳細設定][ネットワーキング][データ保護] の各タブのフィールドに入力します。

  3. [暗号化] タブの [カスタマー マネージド キーのサポートを有効にする] フィールドで、カスタマー マネージド キーのサポートを有効にするサービスを指定します。

  4. [Encryption type] (暗号化の種類) フィールドで、[Customer-managed keys (CMK)] (カスタマー マネージド キー (CMK)) を選択します。

  5. [暗号化キー] フィールドで、[キー コンテナーとキーを選択する] を選択し、キー コンテナーとキーを指定します。

  6. [ユーザー割り当て ID] フィールドで、既存のユーザー割り当てマネージド ID を選択します。

    Azure portal で新しいストレージ アカウントのカスタマー マネージド キーを構成する方法を示すスクリーンショット。

  7. [確認] ボタンを選択して検証し、アカウントを作成します。

新しいストレージ アカウントの作成時にキー バージョンを手動で更新して、カスタマー マネージド キーを構成することもできます。 「キー バージョンを手動で更新するように暗号化を構成する」で説明されている手順に従います。

キー バージョンを手動で更新するように暗号化を構成する

キーのバージョンを手動で更新する場合は、ストレージ アカウントの作成中、カスタマー マネージド キーによる暗号化を構成するときに、そのバージョンを明示的に指定します。 この場合、キー コンテナーで新しいバージョンが作成されると、Azure Storage でキー バージョンが自動的に更新されません。 新しいキー バージョンを使用するには、Azure Storage の暗号化に使用されるバージョンを手動で更新する必要があります。

ストレージ アカウントの作成時にカスタマー マネージド キーを構成する場合は、キー コンテナーへのアクセスの承認に既存のユーザー割り当てマネージド ID を使用する必要があります。 ユーザー割り当てマネージド ID には、キー コンテナーにアクセスするための適切なアクセス許可が必要です。 詳細については、Azure Key Vault に対する認証に関する記事を参照してください。

Azure portal でキーのバージョンを手動更新するようにカスタマー マネージド キーを構成するには、ストレージ アカウントの作成中に、バージョンを含むキー URI を指定します。 URI としてキーを指定するには、次の手順のようにします。

  1. Azure portal で [Storage accounts] (ストレージ アカウント) ページに移動し、[作成] ボタンを選択して新しいアカウントを作成します。

  2. ストレージ アカウントを作成する」に示されている手順に従って、[基本][詳細設定][ネットワーキング][データ保護] の各タブのフィールドに入力します。

  3. [暗号化] タブの [カスタマー マネージド キーのサポートを有効にする] フィールドで、カスタマー マネージド キーのサポートを有効にするサービスを指定します。

  4. [Encryption type] (暗号化の種類) フィールドで、[Customer-managed keys (CMK)] (カスタマー マネージド キー (CMK)) を選択します。

  5. Azure portal でキーの URI を調べるには、キー コンテナーに移動して、 [キー] 設定を選択します。 目的のキーを選択し、キーを選択してそのバージョンを表示します。 そのバージョンの設定を表示するには、キーのバージョンを選択します。

  6. URI を示している [キー識別子] フィールドの値をコピーします。

    Azure portal におけるキー コンテナーのキー URI を示すスクリーンショット。

  7. ストレージ アカウントの [暗号化キー] の設定で、 [キー URI を入力] オプションを選択します。

  8. コピーした URI を [キー URI] フィールドに貼り付けます。 キーのバージョンの手動更新を構成するには、URI にキーのバージョンを含めます。

  9. [ID の選択] リンクを選択して、ユーザー割り当てマネージド ID を 指定します。

    Azure portal でキー URI を入力する方法を示すスクリーンショット。

  10. [確認] ボタンを選択して検証し、アカウントを作成します。

キーを変更する

Azure Storage 暗号化に使用しているキーは、いつでも変更できます。

注意

キーまたはキー バージョンを変更すると、ルート暗号化キーの保護は変わりますが、Azure Storage アカウント内のデータは常に暗号化されたままです。 データを確実に保護するための追加のアクションは必要ありません。 キーを変更するかキー バージョンをローテーションしても、パフォーマンスには影響しません。 キーの変更かキー バージョンのローテーションに関連するダウンタイムはありません。

Azure portal でキーを変更するには、次の手順を実行します。

  1. お使いのストレージ アカウントに移動し、 [暗号化] の設定を表示します。
  2. キー コンテナーを選択し、新しいキーを選択します。
  3. 変更を保存します。

新しいキーが別のキー コンテナーにある場合は、新しいコンテナー内のキーへのアクセス権をマネージド ID に付与する必要があります。 キー バージョンの手動更新を選択する場合は、キー コンテナーの URI を更新する必要もあります。

カスタマー マネージド キーを使用するストレージ アカウントへのアクセスを取り消す

カスタマー マネージド キーを使用しているストレージ アカウントへのアクセスを一時的に取り消すには、キー コンテナーで現在使用されているキーを無効にします。 キーの無効化と再有効化に関連するパフォーマンスへの影響やダウンタイムはありません。

キーが無効化されると、クライアントは BLOB またはそのメタデータとの間で行われる読み取りまたは書き込み操作を呼び出すことができません。 失敗する操作の詳細については、 カスタマー マネージド キーを使用するストレージ アカウントへのアクセスを取り消すを参照してください。

注意事項

キー コンテナーでキーを無効にすると、Azure Storage アカウント内のデータは暗号化されたままになりますが、キーを再度有効にするまでアクセスできなくなります。

Azure portal でカスタマー マネージド キーを無効にするには、以下の手順に従います。

  1. キーを含むキー コンテナーに移動します。

  2. [オブジェクト][キー] を選択します。

  3. キーを右クリックし、[無効] を選択します。

    キー コンテナーでカスタマー マネージド キーを無効にする方法を示すスクリーンショット。

キーを無効にすると、ストレージ アカウント内のデータへのアクセス試行がエラー コード 403 (許可されていません) で失敗します。 キーを無効にすることによって影響を受けるストレージ アカウント操作のリストについては、「カスタマー マネージド キーを使用するストレージ アカウントへのアクセスを取り消す」を参照してください。

Microsoft マネージド キーに切り替える

Azure portal、PowerShell、または Azure CLI を使用して、カスタマー マネージド キーから Microsoft マネージド キーにいつでも戻すことができます。

Azure portal でカスタマー マネージド キーから Microsoft マネージド キーに戻すには、以下の手順に従います。

  1. ストレージ アカウントに移動します。

  2. [セキュリティとネットワーク] で、[暗号化] を選択します。

  3. [暗号化の種類][Microsoft マネージド キー] に変更します。

    ストレージ アカウントで Microsoft マネージド キーに切り替える方法を示すスクリーンショット。

次のステップ