エンクレーブ内でのカスタマー マネージド キー (CMK) 暗号化の設定

CMK を必要とする Azure エンクレーブ ポリシーに準拠するようにカスタマー マネージド キーをデプロイする最速の方法は、Common Dependencies サービス カタログ テンプレートを使用することです。

マネージド ディスクやその他の Azure PaaS サービス (Azure Disk Encryption (ADE)、Server-Side 暗号化 (SSE)、ホストでの暗号化など) でデータをセキュリティで保護するために、いくつかの種類の暗号化を使用できます。 Azureエンクレーブの既定のガバナンスとサイバーセキュリティ体制に従って、エンクレーブにデプロイされたすべてのリソースに対してカスタマー マネージド キー暗号化が必要です。

手動デプロイ方法の前提条件

• 管理 VM からのポータル アクセス (通常は 192.168.x.x/26)。
  • Azure portal と Microsoft Azure サービスへのコミュニティ エンドポイントを作成します。
    • 既定のエンドポイントは、共通のMicrosoft サイトとエンドポイントへのアクセスを定義するコミュニティ内に作成できます。 その場合は、この手順をスキップできます。
  • コミュニティ エンドポイントへのエンクレーブ接続を作成します。
• キー コンテナー、またはそのキー コンテナーを含むワークロード リソース グループに対するKey Vault Contributor ロールを持っています。

このガイドの手順

• KV RSA 2048 キー または Bring Your Own Key を作成します。
• KV キーへのアクセス許可を持つマネージド ID を作成します。

エンクレーブ キー保管庫

すべてのエンクレーブは、エンクレーブ インフラストラクチャの既定のリソース グループにAzure Key Vaultと共にデプロイされます。 Azure Key Vault は、シークレットを安全に格納してアクセスするためのクラウド サービスです。 シークレットは、API キー、パスワード、証明書、暗号化キーなど、アクセスを厳密に制御する必要があるあらゆるものです。 既定では、エンクレーブ共同作成者は、キー、シークレット、または証明書をエンクレーブ Key Vaultにアップロードし、他のAzure サービスの既存のAzure機能と設計パターンを利用して CMK 暗号化をサポートできるようにする必要があります。

CMK 暗号化の設定の例については、次の手順で詳 しい手順 や記事を参照してください。

Key Vaultにキーを作成する

• Azure方法に関する記事 - 手順 6. の後にキーの作成が開始される

ディスク暗号化セット (Windows IaaS)

• Azure のハウツー記事 - KV の作成後から開始するを読む
• 詳細情報

Azure PaaS の例 (ストレージ アカウント)

• カスタマー マネージド キーの概要
• 既存のストレージ アカウント
• 新しいストレージ アカウント

サービス カタログから CMK を作成する (最も高速かつ簡単)

一般的なAzure サービスの検証済みテンプレートのサービス カタログからキー コンテナーを作成するには、次の手順に従います。

ポータルを使用して CMK を作成する

または、ポータルを使用して CMK を作成することもできます。

このガイドの手順

1. 管理者 VM にサインインします。
2. 管理者 VM からアクセス ポリシーを作成します。
3. Key Vaultで CMK のキーを生成します。

Azure ポータルへのエンクレーブ アクセスを有効にする

Key Vault のアクセスは KV 仮想ネットワークに制限されるため、キー コンテナーのキーは、Azure ポータルから管理 VM 内から作成する必要があります。

• Azure ポータルにアクセスするために、コミュニティ エンドポイントへのエンクレーブ接続を作成します。  

管理者 VM にサインインする

以下の Admin VM へのサインイン手順に従ってサインインしてください。

管理 VM からKey Vaultを更新する

1. 管理者 VM のサインイン後、Microsoft Edge (スタート メニューなど) を開きます。
2. https://portal.azure.comまたはドメイン固有のポータル URL に移動します。

管理 VM からアクセス ポリシーを作成する

Key Vault のアクセスは KV 仮想ネットワークに制限されるため、キー コンテナーのキーは、Azure ポータルから管理 VM 内から作成する必要があります。

1. ポータルからKey Vaultに移動し、左側にあるAccess Policyを選択します。
2. Create を選択します。
3. [テンプレートから構成] ドロップダウンを選択し、 Key Managementを選択します。
4. [原則] タブに Next を選択します。
5. 検索バーにユーザー名を入力し、ユーザー アカウントを選択します。
6. Nextを選択し、Createします。

Key Vault で CMK のキーを生成する

1. ポータルからKey Vaultに移動し、左側にあるKeysを選択します。
2. Generate/Import を選択します。
3. 新しいキーの名前を入力します。
4. Create を選択します。 既定のオプションでは、RSA 2048 キーを作成する必要があります。
5. 作成したキー名をコピーします。
6. 管理者 VM からサインアウトできます。

ユーザー割り当てマネージド ID を作成する

エンクレーブ用のユーザー割り当てマネージド ID を作成します。

詳細については、次を参照してください。

• ディスク暗号化の構成 詳細については、以下をご覧ください。
• Windowsでキーを生成する
• ストレージ アカウント CMK のKey Vaultを構成する