適用対象:
SQL Server
Azure Arc によって有効になっている SQL Server では、SQL Server 用 Azure 拡張機能で、サービスマネージド証明書とサービスマネージド アプリ登録用の Microsoft Entra ID の証明書を自動的にローテーションできます。 カスタマー マネージド証明書とカスタマー マネージド アプリの登録の場合は、手順に従って Microsoft Entra ID に使用される証明書をローテーションできます。
注
Microsoft Entra ID は、以前は Azure Active Directory (Azure AD) と呼ばれていました。
この記事では、証明書の自動ローテーションとカスタマー マネージド証明書ローテーションのしくみについて説明し、Windows および Linux オペレーティング システムのプロセスの詳細を示します。
次のいずれかの方法で有効にすることができます。
Azure Key Vault によって証明書が自動的にローテーションされます。 Key Vault では、証明書の有効期間が 80% に設定された後、証明書が既定でローテーションされます。 この設定を使用して構成できます。 手順については、「Key Vault での証明書の自動ローテーションの構成」を参照してください。 証明書の有効期限が切れている場合、自動ローテーションは失敗します。
前提条件
この記事で説明する機能は、Microsoft Entra ID による認証用に構成された Azure Arc によって有効化された SQL Server のインスタンスに適用されます。 そのようなインスタンスを構成する方法については、次を参照してください。
サービス マネージド証明書のローテーション
サービス マネージド証明書のローテーションでは、SQL Server 用の Azure 拡張機能によって証明書がローテーションされます。
重要
サービスで管理される証明書のローテーションを有効にするには、証明書とアプリの登録の両方をサービス管理として構成する必要があります。 この構成がないと、自動ローテーションは行われません。
サービスが証明書を管理できるようにするには、キーに署名するアクセス許可を持つサービス プリンシパルのアクセス ポリシーを追加します。 「Key Vault アクセス ポリシーを割り当てる (レガシ)」を参照してください。 アクセス ポリシーの割り当ては、Arc サーバーのサービス プリンシパルを明示的に参照する必要があります。
重要
サービス管理証明書のローテーションを有効にするには、Arc サーバーマネージド ID にキーアクセス許可 Sign を割り当てる必要があります。 このアクセス許可が割り当てられていない場合、サービスで管理される証明書のローテーションは有効になりません。
手順については、「証明書の作成と割り当て」を参照してください。
注
アプリケーションが独自のキーをローリングするために必要な特別なアクセス許可はありません。 「Application: addKey」を参照してください。
新しい証明書が検出されると、アプリの登録に自動的にアップロードされます。
注
Linux の場合、Microsoft Entra ID に使用されているアプリ登録から以前の証明書は削除されず、Linux マシンで実行されている SQL Server を手動で再起動する必要があります。
顧客が管理する証明書のローテーション
顧客が管理する証明書のローテーションの場合:
Azure Key Vault で証明書の新しいバージョンを作成します。
Azure Key Vault では、証明書の有効期間に対して任意の割合を設定できます。
Azure Key Vault で証明書を構成する場合は、そのライフサイクル属性を定義します。 次に例を示します。
- 有効期間 - 証明書の有効期限が切れる日時。
- 有効期間アクションの種類 - 有効期限が近づくとどうなりますか(自動更新、アラートなど)。
証明書の構成オプションの詳細については、「作成時の証明書ライフサイクル属性の更新」を参照してください。
新しい証明書を
.cer形式でダウンロードし、古い証明書の代わりにアプリ登録にアップロードします。
注
Linux の場合は、新しい証明書が認証に使用されるように、SQL Server サービスを手動で再起動する必要があります。
Azure Key Vault で新しい証明書が作成されると、SQL Server 用の Azure 拡張機能によって毎日新しい証明書がチェックされます。 新しい証明書が使用可能な場合、拡張機能はサーバーに新しい証明書をインストールし、以前の証明書を削除します。
新しい証明書がインストールされると、以前の証明書は使用されないため、アプリの登録から削除できます。
新しい証明書がサーバーにインストールされるまで、最大 24 時間かかる場合があります。 アプリの登録から以前の証明書を削除する推奨時間は、証明書の新しいバージョンを作成してから 24 時間後です。
新しいバージョンの証明書が作成され、サーバーにインストールされているが、アプリの登録にはアップロードされていない場合、ポータルには、[Microsoft Entra ID] の下の [SQL Server - Azure Arc] リソースにエラー メッセージが表示されます。