Azure ベースのネットワーク通信の暗号化にゼロトラストの原則を適用する

[アーティクル]
04/13/2024

この記事では、以下の方法で Azure 環境との間および Azure 環境内でのネットワーク通信を暗号化するためのゼロトラストの原則を適用するためのガイダンスを提供します。

ゼロトラストの標準	定義	以下により適合
明示的に検証する	常に利用可能なすべてのデータポイントに基づいて認証および承認してください。	Azure VPN Gateway 接続に条件付きアクセスポリシーを使用し、ユーザーから仮想マシンへの接続に Secure Shell (SSH) とリモートデスクトッププロトコル (RDP) を使用します。
最小限の特権アクセスを使用する	ジャスト・イン・タイムおよびジャスト・エナフ・アクセス（JIT/JEA）、リスクベースのアダプティブ・ポリシー、データ保護により、ユーザー・アクセスを制限します。	ダイレクトポート付きの Azure ExpressRoute に対して静的接続関連付けキー (CAK) を使用するように Microsoft Enterprise Edge (MSEE) デバイスを構成し、マネージド ID を使用して ExpressRoute 回線リソースに対する認証を行います。
侵害を前提とする	影響範囲を最小限に抑えるために、アクセスをセグメント化します。エンドツーエンドの暗号化を検証し、分析を使用して可視性を得て、脅威検出を促進し、防御を強化します。	転送中のデータの機密性、整合性、信頼性を提供する暗号化方法とプロトコルを使用して、ネットワークトラフィックを保護します。 Azure Monitor を使用して ExpressRoute のネットワークパフォーマンスメトリックとアラートを提供します。 Azure Bastion を使用して Bastion サービスから個々のセッションを管理し、切断を削除したり強制します。

ネットワークトラフィックの暗号化には以下のレベルが存在します。

ネットワーク層の暗号化
- インターネットまたはオンプレミスネットワークから Azure VNet および仮想マシンへの通信をセキュリティで保護して検証する
- Azure VNet 内および複数の Azure VNet にわたる通信をセキュリティで保護して検証する
アプリケーション層の暗号化
- Azure Web アプリケーションの保護
Azure 仮想マシンで実行されているワークロードの保護

リファレンスアーキテクチャ

次の図は、オンプレミスまたはインターネット上のユーザーと管理者間の暗号化された通信に関するこのゼロトラストガイダンスの参照アーキテクチャと、この記事で説明する手順に関する Azure 環境内のコンポーネントを示しています。

この図の中の数字は以下のセクションの各手順に対応しています。

この記事の内容は？

ゼロトラストの原則は、インターネットまたはオンプレミスネットワーク上のユーザーと管理者から Azure クラウドへの、あるいは Azure クラウド内での参照アーキテクチャに対して適用されます。次の表は、このアーキテクチャ全体のネットワークトラフィックの暗号化を保証するための推奨事項を示しています。

手順	タスク	適用されるゼロトラストの原則
1	ネットワーク層の暗号化を実装する。	明示的に検証する最小限の特権アクセスを使用する侵害を前提とする
2	オンプレミスネットワークから Azure VNet への通信をセキュリティで保護して検証する。	明示的に検証する侵害を前提とする
3	Azure VNet 内および複数の Azure VNet にわたる通信をセキュリティで保護して検証する。	侵害を前提とする
4	アプリケーション層の暗号化を実装する。	明示的に検証する侵害を前提とする
5	Azure Bastion を使用して Azure 仮想マシンを保護する。	侵害を想定する

手順 1: ネットワーク層の暗号化を実装する

ネットワーク層の暗号化は、オンプレミスおよび Azure 環境にゼロトラストの原則を適用する場合に重要です。ネットワークトラフィックがインターネットを経由する場合は、攻撃者によるトラフィック傍受の可能性があり、データは宛先に到達する前に中身を見られたり変更されているかもしれないということを常に想定しておく必要があります。データがインターネット内をどのようにルーティングされるかはサービスプロバイダーによって制御されるため、オンプレミスネットワークを出た瞬間から Microsoft のクラウドに至るまでのデータのプライバシーと整合性は自分で確保する必要があります。

次の図は、ネットワーク層の暗号化を実装するための参照アーキテクチャを示しています。

以下の 2 つのセクションでは、Azure ネットワークサービスがプロトコルをサポートしているインターネットプロトコルセキュリティ (IPsec) と Media Access Control Security (MACsec)、およびこれらが使用されていることを確認する方法について説明します。

IPsec

IPsec は、インターネットプロトコル (IP) 通信のセキュリティを提供するプロトコルのグループです。これは、一連の暗号化アルゴリズムを使用して、ネットワークパケットを認証して暗号化します。 IPSec は、仮想プライベートネットワーク (VPN) を確立するために使用されるセキュリティカプセル化プロトコルです。 IPsec VPN トンネルは、メインモードと呼ばれるフェーズ 1 とクイックモードと呼ばれるフェーズ 2 の 2 つのフェーズで構成されます。

IPsec のフェーズ 1 はトンネルの確立であり、ピアは暗号化、認証、ハッシュ、Diffie-Hellman アルゴリズムなど、インターネットキー交換 (IKE) セキュリティアソシエーションのパラメーターをネゴシエートします。ピアは、ID を確認するために、事前共有キーを交換します。 IPsec のフェーズ 1 は、メインモードとアグレッシブモードという 2 つのモードで動作できます。 Azure VPN Gateway は、IKE、IKEv1、IKEv2 の 2 つのバージョンをサポートしており、メインモードでのみ動作します。メインモードでは、Azure VPN Gateway とオンプレミスデバイスの間の接続の ID の暗号化が保証されます。

IPsec のフェーズ 2 では、ピアはデータ転送のセキュリティパラメーターをネゴシエートします。このフェーズでは、双方のピアが、暗号化と認証アルゴリズム、セキュリティアソシエーション (SA) の有効期間の値、および IPsec トンネル経由でどのトラフィックが暗号化されるかを定義するトラフィックセレクター (TS) について同意します。フェーズ 1 で作成されたトンネルは、このネゴシエーションのための安全なチャネルとして機能します。 IPsec では、認証ヘッダー (AH) プロトコルまたはカプセル化セキュリティペイロード (ESP) プロトコルを使用して IP パケットをセキュリティで保護できます。 AH は整合性と認証を提供しますが、ESP はさらに機密性 (暗号化) も提供します。 IPsec フェーズ 2 は、トランスポートモードまたはトンネルモードで動作できます。トランスポートモードでは、IP パケットのペイロードのみが暗号化されますが、トンネルモードでは IP パケット全体が暗号化され、新しい IP ヘッダーが追加されます。 IPsec フェーズ 2 は、IKEv1 または IKEv2 の上に確立できます。現在の Azure VPN Gateway IPsec の実装でサポートされているのは、トンネルモードの ESP だけです。

IPsec をサポートする Azure サービスの一部を以下に示します。

Azure VPN Gateway
- サイト間 VPN 接続
- VNet 間接続
- ポイント対サイト接続
Azure バーチャル WAN
- VPN サイト
- ユーザー VPN 構成

これらのサービスの IPsec を有効にするために変更する必要がある設定はありません。これらは既定で有効になっています。

MACsec と Azure Key Vault

MACsec (IEEE 802.1AE) は、イーサネットリンク経由で認証と暗号化を提供することで、データリンク層で侵害の想定のゼロトラストの原則を適用するネットワークセキュリティ標準です。 MACsec では、すべてのネットワークトラフィック (たとえ同じローカルエリアネットワーク内にあったとしても) が悪意のあるアクターによって侵害されたり傍受されている可能性があると想定します。 MACsec は、2 つのネットワークインターフェイス間で共有されるセキュリティキーを使用して、各フレームを検証して保護します。この構成を実現できるのは、2 つの MACsec 対応デバイス間においてだけです。

MACsec は、接続の関連付けを使用して構成されます。これは、ネットワークインターフェイスが受信および送信のセキュリティチャネルを作成するために使用する属性のセットです。作成されると、これらのチャネル経由のトラフィックは、2 つの MACsec セキュリティで保護されたリンクを介して交換されます。 MACsec には、以下の 2 つの接続関連付けモードがあります。

静的接続関連付けキー (CAK) モード: 接続関連付けキー名 (CKN) と割り当てられた CAK を含む事前共有キーを使用して MACsec セキュリティで保護されたリンクが確立されます。これらのキーは、リンクの両端で構成されます。
動的 CAK モード: このセキュリティキーは、リモート認証ダイヤルインユーザーサービス (RADIUS) サーバーなどの一元化された認証デバイスを使用できる 802.1x 認証プロセスを使用して動的に生成されます。

ダイレクトポートを使用して Azure ExpressRoute を構成する場合、Microsoft Enterprise Edge (MSEE) デバイスは、CAK と CKN を Azure Key Vault 内に保存することで静的 CAK をサポートします。 Azure Key Vault 内の値にアクセスするには、ExpressRoute 回線リソースを認証するためのマネージド ID を構成します。このアプローチでは、Azure Key Vault からキーにアクセスできるのが承認されたデバイスだけになるため、最小限の特権アクセスの使用のゼロトラストの原則に従っていることになります。詳細については、「ExpressRoute Direct ポートでの MACsec の構成」を参照してください。

手順 2: オンプレミスネットワークから Azure VNet への通信をセキュリティで保護して検証する

さまざまな規模のビジネスでクラウド移行がより一般的になるにつれて、ハイブリッド接続が重要な役割を果たすようになっています。オンプレミスネットワークと Azure の間のネットワーク通信をセキュリティで保護するだけでなく、検証して監視することも重要です。

次の図は、オンプレミスネットワークから Azure VNet への通信をセキュリティで保護して検証するための参照アーキテクチャを示しています。

Azure には、以下の 2 つのオンプレミスネットワークを Azure VNet 内のリソースに接続するためのオプションがあります。

Azure VPN Gateway を使用すると、IPsec を使用してサイト間 VPN トンネルを作成し、中央オフィスまたはリモートオフィス内のネットワークと Azure VNet 間のネットワーク通信を暗号化して認証できます。また、個々のクライアントがポイント対サイト接続を確立して、VPN デバイスなしで Azure VNet 内のリソースにアクセスすることもできるようになります。ゼロトラストに準拠するには、Azure VPN Gateway 接続に対して Entra ID 認証と条件付きアクセスポリシーを構成して、接続しているデバイスの ID とコンプライアンスを検証します。詳細については、「Microsoft Tunnel VPN ゲートウェイと条件付きアクセスポリシーの使用」を参照してください。
Azure ExpressRoute は、高帯域幅のプライベート接続を提供し、これにより接続プロバイダーの助けを借りてオンプレミスネットワークを Azure に拡張することができます。ネットワークトラフィックはパブリックインターネットを経由しないため、既定ではデータは暗号化されません。 ExpressRoute 経由のトラフィックを暗号化するには、IPsec トンネルを構成します。ただし、ExpressRoute 経由で IPsec トンネルを実行する場合、帯域幅はトンネル帯域幅に制限されるため、ExpressRoute 回線の帯域幅を確保するために複数のトンネルを実行する必要があるかもしれないことに注意してください。詳細については、「ExpressRoute プライベートピアリング経由のサイト間 VPN 接続 - Azure VPN Gateway」を参照してください。

ExpressRoute Direct ポートを使用している場合は、BGP ピアを確立するときに認証を有効にするか、MACsec を構成してレイヤー 2 の通信をセキュリティで保護することで、ネットワークセキュリティを強化できます。 MACsec はイーサネットフレームの暗号化を提供し、利用者のエッジルーターと Microsoft のエッジルーターの間でのデータの機密性、整合性、信頼性を確保します。

Azure ExpressRoute は、ネットワークパフォーマンスメトリックとアラートのための Azure Monitor もサポートします。

暗号化により、不正な傍受からデータを保護できますが、ネットワークトラフィックを暗号化および復号化するための追加の処理レイヤーが導入され、パフォーマンスに影響が出る可能性があります。また、インターネットを経由するネットワークトラフィックは、ネットワーク待機時間を発生させる可能性のある複数のネットワークデバイスを通過する必要があるため、予測が困難となる可能性があります。 Microsoft は、パフォーマンスの問題を回避するために ExpressRoute の使用を推奨しています。ExpressRoute は、ワークロードに合わせてカスタマイズできる信頼性の高いネットワークパフォーマンスと帯域幅の割り当てを提供します。

Azure VPN Gateway と ExpressRoute のどちらを使用するかを判断する場合は、以下の質問について検討してください。

オンプレミスネットワークと Azure 間でアクセスする予定のファイルやアプリケーションの種類はどのようなものですか? 大量のデータを転送するための継続的な帯域幅が必要ですか?
アプリケーションを最適に実行するために待機時間を継続的に短くする必要がありますか?
ハイブリッド接続のネットワークパフォーマンスと正常性を監視する必要がありますか?

これらの質問のいずれかに対する答えが "はい" である場合は、オンプレミスネットワークを Azure に接続する主要な方法として Azure ExpressRoute を使用する必要があります。

ExpressRoute と Azure VPN Gateway を共存させることができる一般的なシナリオは以下の 2 つです。

ブランチオフィスを Azure に接続するには Azure VPN Gateway を使用し、メインオフィスの接続には ExpressRoute を使用することができます。
ExpressRoute サービスが停止している場合は、中央オフィス用の Azure へのバックアップ接続として Azure VPN Gateway を使用することもできます。

手順 3: Azure VNet 内および複数の Azure VNet にわたる通信をセキュリティで保護して検証する

Azure 内のトラフィックでは、下位レベルの暗号化が行われています。異なるリージョンの VNet 間をトラフィックが移動する際に、Microsoft は MACsec を使用してデータリンク層でピアリングトラフィックを暗号化して認証します。

次の図は、Azure VNet 内および複数の Azure VNet にわたる通信をセキュリティで保護して検証するための参照アーキテクチャを示しています。

しかし、ゼロトラストを確保するには、暗号化だけでは不十分です。 Azure VNet 内および複数の Azure VNet にわたるネットワーク通信を検証して監視する必要もあります。 Azure VPN Gateway またはネットワーク仮想アプライアンス (NVA) の助けを借りた VNet 間でのさらなる暗号化と検証も可能ですが、一般的な方法ではありません。 Microsoft は、細かいポリシーを適用して異常を検出できる一元化されたトラフィック検査モデルを使用するようにネットワークトポロジを設計することを推奨しています。

VPN ゲートウェイまたは仮想アプライアンスを構成するオーバーヘッドを軽減するには、特定のサイズの仮想マシンに対する VNet 暗号化を有効にして、VNet 内、および複数の VNet ピアリングにわたる仮想マシン間のトラフィックをホストレベルで暗号化して検証します。

手順 4: アプリケーション層で暗号化を実装する

アプリケーション層の暗号化は、ユーザーが Web アプリケーションまたはデバイスを操作する際のすべてのデータと通信の暗号化を義務付けるゼロトラストのための重要な要素となります。アプリケーション層の暗号化により、検証され信頼されたエンティティのみが Web アプリケーションまたはデバイスにアクセスできるようになります。

次の図は、アプリケーション層で暗号化を実装するための参照アーキテクチャを示しています。

アプリケーション層での暗号化の最も一般的な例の 1 つは、Web ブラウザーと Web サーバーの間のデータを暗号化するハイパーテキスト転送プロトコルセキュア (HTTPS) です。 HTTPS は、トランスポート層セキュリティ (TLS) プロトコルを使用してクライアントとサーバー間の通信を暗号化し、TLS デジタル証明書を使用して、Web サイトやドメインの ID と信頼性を検証します。

アプリケーション層セキュリティの別の例は、クライアントとサーバー間のデータを暗号化する Secure Shell (SSH) とリモートデスクトッププロトコル (RDP) です。これらのプロトコルは、承認されコンプライアンスに準拠しているデバイスまたはユーザーのみがリモートリソースにアクセスできるようにするための多要素認証と条件付きアクセスポリシーもサポートしています。 Azure 仮想マシンへの SSH 接続と RDP 接続のセキュリティ保護については、手順 5 を参照してください。

Azure Web アプリケーションの保護

Azure Front Door または Azure Application Gateway を使用して、Azure Web アプリケーションを保護できます。

Azure Front Door

Azure Front Door は、Microsoft のエッジロケーションを通じてエンドユーザーへのコンテンツ配信を最適化するグローバル配信サービスです。 Web Application Firewall (WAF) や Private Link サービスなどの機能を使用すると、Microsoft 内部のネットワークを使用して配信元にプライベートにアクセスしながら、Microsoft ネットワークのエッジ上にある Web アプリケーションに対する悪意のある攻撃を検出してブロックできます。

データを保護するために、Azure Front Door エンドポイントへのトラフィックは、エンドポイントとの間で送受信されるすべてのトラフィックに関して、HTTPS とエンドツーエンド TLS を使用して保護されます。トラフィックは、クライアントから配信元、および配信元からクライアントへの両方で暗号化されます。

Azure Front Door は、HTTPS 要求を処理し、自身のプロファイル内のどのエンドポイントが関連するドメイン名を持つかを決定します。次に、パスを確認し、どのルーティング規則がその要求のパスと一致するかを決定します。キャッシュが有効である場合、Azure Front Door はキャッシュをチェックして、有効な応答があるかどうかを確認します。有効な応答がない場合は、Azure Front Door で、要求されたコンテンツを提供できる最適な配信元が選択されます。要求が配信元に送信される前に、ルールセットを要求に適用して、ヘッダー、クエリ文字列、または配信元の宛先を変更できます。

Azure Front Door では、フロントエンド TLS とバックエンド TLS の両方がサポートされています。フロントエンド TLS は、クライアントと Azure Front Door の間のトラフィックを暗号化します。バックエンド TLS は、Azure Front Door と配信元の間のトラフィックを暗号化します。 Azure Front Door では、TLS 1.2 と TLS 1.3 がサポートされています。カスタム TLS 証明書を使用するか、Azure Front Door によって管理される証明書を使用するように Azure Front Door を構成できます。

Note

さらにパケット検査を行うために、NVA への接続に Private Link 機能を使用することもできます。

Azure Application Gateway

Azure Application Gateway は、レイヤー 7 で動作するリージョンロードバランサーです。これは HTTP URL 属性に基づいて Web トラフィックをルーティングして分散します。トラフィックをルーティングして分散するには、以下の 3 つの異なる方法を使用できます。

HTTP のみ: Application Gateway は、暗号化されていない形式で受信 HTTP 要求を受け取り適切な宛先にルーティングします。
SSL 終端: Application Gateway は、受信 HTTPS 要求をインスタンスレベルで復号化し、それらを検査し、暗号化されていない状態で宛先にルーティングします。
エンドツーエンド TLS: Application Gateway は、受信 HTTPS 要求をインスタンスレベルで復号化し、それらを検査し、再暗号化してから宛先にルーティングします。

最も安全なオプションは、認証証明書または信頼されたルート証明書の使用を要求して機密データの暗号化と転送を行えるエンドツーエンド TLS です。また、これらの証明書のバックエンドサーバーへのアップロードと、これらのバックエンドサーバーが Application Gateway に認識されていることの確認も要求します。詳細については、「Application Gateway を使用したエンドツーエンド TLS の構成」を参照してください。

さらに、オンプレミスのユーザーまたは別の VNet 内の仮想マシン上のユーザーは、同じ TLS 機能を備えた Application Gateway の内部フロントエンドを使用できます。 Microsoft は、エンドポイントのフロントエンド保護を強化するために、暗号化だけでなく常に WAF を有効にすることを推奨しています。

手順 5: Azure Bastion を使用して Azure 仮想マシンを保護する

Azure Bastion は、TLS 接続経由で仮想マシンに安全に接続できるようにするマネージド PaaS サービスです。この接続は、Azure portal から、またはネイティブクライアントを通して仮想マシン上のプライベート IP アドレスに対して確立できます。 Bastion を使用する利点は以下のとおりです。

Azure 仮想マシンにはパブリック IP アドレスが必要ありません。接続は HTTPS 用の TCP ポート 443 経由で行われ、ほとんどのファイアウォールを通過できます。
仮想マシンはポートスキャンから保護されます。
Azure Bastion プラットフォームは常に更新され、ゼロデイ攻撃から保護されます。

Bastion を使用すると、単一のエントリポイントから仮想マシンへの RDP 接続と SSH 接続を制御できます。個々のセッションは Azure portal の Bastion サービスから管理できます。ユーザーがそのマシンに接続していることが不適切だと思われる場合には、実行中のリモートセッションを削除したり強制的に切断することもできます。

次の図は、Azure Bastion を使用して Azure 仮想マシンを保護するための参照アーキテクチャを示しています。

Azure 仮想マシンを保護するには、Azure Bastion をデプロイし、RDP と SSH を使用したプライベート IP アドレスでの仮想マシンへの接続を開始します。

次のステップ

Azure ネットワークへのゼロトラストの適用の詳細については、以下を参照してください。

Azure ベースのネットワーク通信の暗号化にゼロトラストの原則を適用する

リファレンスアーキテクチャ

この記事の内容は？