Azure Key Vault

Azure Key Vault は、シークレット（API キー、パスワード、接続文字列）、暗号化キー（データの暗号化に使用）、証明書（アプリケーション用の TLS/SSL 証明書）を安全に保存および管理するクラウド サービスです。機密性の高い値をアプリケーション コード、構成ファイル、環境変数に埋め込む代わりに、アプリケーションは実行時に Key Vault から値を取得します。これにより、資格情報をソース コードやデプロイ成果物から分離できます。

Key Vault には 2 つのティアがあります。Standard は、ソフトウェアベースの暗号化を使用してシークレットと証明書を保護します。Premium では、Hardware Security Module（HSM）で保護されたキーがサポートされます。暗号操作は改ざん耐性のあるハードウェア内で実行され、FIPS 140-2 Level 2（Standard）または Level 3（HSM）の認証を受けています。別のサービスであるManaged HSM は、最高レベルの保証要件に対応する、単一テナントの完全マネージド HSM を提供します。

各 Key Vault は、特定の Azure リソース グループとリージョンに作成されます。Vault 名は、vault.azure.net 名前空間内でグローバルに一意である必要があります。作成時にアクセス モデルを構成します。以前からあるVault アクセス ポリシー モデルを使用するか、推奨される Azure RBAC モデルを使用します。Azure RBAC モデルでは、Entra ID のロールによって、シークレット、キー、証明書への読み取りアクセスと書き込みアクセスを個別に制御できます。

Key Vault のシークレットとは、データベース パスワード、API キー、OAuth クライアント シークレット、ストレージ アカウントの接続文字列など、機密性の高い文字列値です。各シークレットには名前と値があり、有効期限や有効フラグなどの属性も任意で設定できます。アプリケーションは通常、マネージド ID を使用して Key Vault に対して認証し、Key Vault REST API を呼び出して実行時に最新のシークレット値を取得します。値をハードコーディングする必要はありません。

Key Vault には、データの暗号化と復号に使用する暗号キーが保存されます。Azure Storage、Azure SQL Database、Azure Disk Encryption などのサービスは Key Vault と統合し、Bring Your Own Key（BYOK） シナリオでカスタマー マネージド キー（CMK）を使用できます。CMK を使用すると、暗号化キーを自分で管理できます。Key Vault でキーを無効化すると、サービスによるデータの復号が直ちに阻止され、暗号学的な緊急停止スイッチとして機能します。

Key Vault は、TLS 証明書用の証明機関インターフェイスとして機能します。自己署名証明書を生成したり、既存の PFX/PEM ファイルをインポートしたり、Key Vault が DigiCert や GlobalSign などの信頼された CA に証明書を自動的に要求して更新するよう構成したりできます。証明書の有効期限が近づくと、Key Vault は自動更新を行い、Event Grid イベントを通じて管理者に通知できます。これにより、手動の更新作業が不要になります。

Key Vault は 2 つのアクセス モデルをサポートしています。Vault アクセス ポリシーは従来のモデルで、プリンシパルに対して Vault 内のすべてのシークレット、キー、または証明書へのアクセス許可を付与します。個々のシークレット名単位でアクセスを制限することはできません。新しく推奨されているAzure RBAC モデルでは、標準の RBAC ロール（Key Vault Secrets User、Key Vault Secrets Officer など）を使用し、拒否割り当てと Privileged Identity Management もサポートします。これにより、よりきめ細かな制御が可能になります。

一般的なパターンの 1 つは、Key Vault のシークレットをApp Service のアプリケーション設定として参照することです。アプリ設定にシークレット値を保存する代わりに、Key Vault 参照を保存します：@Microsoft.KeyVault(SecretUri=https://myvault.vault.azure.net/secrets/db-password/)。App Service は、アプリのマネージド ID を使用して実行時に最新のシークレット値を自動取得します。Key Vault でシークレットがローテーションされると、アプリは次回の再起動時に新しい値を取得します。

論理的な削除（既定で有効）では、削除された Key Vault の項目が 7～90 日間保持されるため、誤って削除した場合に復元できます。消去保護を有効にすると、サブスクリプション所有者を含む誰も、保持期間が終了するまで、論理的に削除された Vault やそのオブジェクトを完全に消去できなくなります。規制要件への対応とランサムウェアへの耐性を高めるため、両方を有効にすることが Azure Policy で適用されるセキュリティのベスト プラクティスです。

Key Vault に対するすべての操作（読み取り、書き込み、証明書の更新、キーの使用）は、Key Vault の監査ログに記録されます。診断設定を有効にすると、これらのログを Log Analytics ワークスペースまたはストレージ アカウントに転送して長期間保持できます。これにより、誰が、いつ、どの IP アドレスから、どのシークレットにアクセスしたかを完全に追跡でき、セキュリティ調査やコンプライアンスの証拠として役立ちます。

既定では、Key Vault はインターネット上にパブリック HTTPS エンドポイントを持ちます。高セキュリティ環境では、Key Vault をプライベート IP アドレスで VNet 内に配置するプライベート エンドポイントをデプロイし、パブリック エンドポイントを完全に無効化できます。プライベート エンドポイント経由で Key Vault にアクセスするアプリケーションの通信がパブリック インターネットを経由することはありません。これにより、データ流出防止の要件を満たし、VNet の外部から Key Vault を見えない状態にできます。

このレッスンで扱った Microsoft Azure Fundamentals（AZ-900）の概念について、理解度を確認します。

このレッスンでは、Key Vault が、管理および監査可能なサービスでシークレット、暗号化キー、TLS 証明書を保存すること、マネージド ID との統合により、アプリケーション コードに資格情報をハードコーディングする必要がなくなること、そして論理的な削除と消去保護によって、暗号化マテリアルの誤削除や悪意のある削除を防止できることを学びました。次は、Azure のクラウドネイティブ SIEM である Microsoft Sentinel について説明します。