キーについて

Azure Key Vault には、暗号化キーを格納および管理するための 2 種類のリソースが用意されています。 コンテナーは、ソフトウェアで保護されたキーと HSM (ハードウェア セキュリティ モジュール) で保護されたキーをサポートしています。 マネージド HSM は、HSM で保護されたキーのみをサポートしています。

リソースの種類 キーの保護方法 サポートされているキーの種類 データプレーン エンドポイント ベース URL
資格情報コンテナー ソフトウェアで保護され、HSM で保護されている (Premium SKU の HSM キーの種類) RSA、EC、および (Premium のみ) oct-HSM (対称/AES、プレビュー) https://<vault-name>.vault.azure.net
マネージド HSM HSM で保護された RSA-HSM、EC-HSM、oct-HSM (対称/AES) https://<hsm-name>.managedhsm.azure.net
  • コンテナー - コンテナーは、最も一般的なクラウド アプリケーションのシナリオに適した、低コスト、容易なデプロイ、マルチテナント、ゾーン回復性 (使用可能な場合)、高可用性の、キー管理ソリューションを提供します。
  • マネージド HSM - マネージド HSM は、暗号化キーを格納および管理するために、シングルテナントの高可用性 HSM を提供します。 価値の高いキーを処理するアプリケーションと使用シナリオに最適です。 最も厳密なセキュリティ、コンプライアンス、および規制の要求を満たすためにも役立ちます。

注

この記事では、Key Vault (保管庫) 内のキーについて説明します。 Managed HSM に固有の詳細については、「 Managed HSM のキーについて 」と「 キーの種類、アルゴリズム、および操作 (Managed HSM)」を参照してください。

注

コンテナーでは、暗号化キーに加えて、シークレット、証明書、ストレージ アカウント キーなど、いくつかの種類のオブジェクトを格納および管理することもできます。

Key Vaultの暗号化キーは、JSON Web キー (JWK) オブジェクトです。 Azure Key Vaultでは、次の JavaScript Object Notation (JSON) および JavaScript Object Signing and Encryption (JOSE) 仕様が使用されます。

Azure Key Vaultでは、JWK/JWA の基本仕様を拡張して、その実装に固有のキー型を有効にします。

保管庫は、FIPS 140 検証済みの HSM を使用して保存されているキーを保護します。 HSM プラットフォーム 1 は FIPS 140-2 レベル 2 のキー バージョンを保護し、HSM プラットフォーム 2 は FIPS 140-3 レベル 3 HSM でキー バージョンを保護します。 HSM プラットフォーム 2 では、すべての新しいキーとキー バージョンが保護されるようになりました。 キー バージョンを保護する HSM プラットフォームを特定するには、 その hsmPlatform 属性を 取得します。

地理的境界の詳細については、Microsoft Azure セキュリティ センターを参照してください。

キーの種類と保護方法

Key Vault Premium と Standard では、RSA キーと EC キーがサポートされます。

HSM で保護されたキー (Key Vault Premium)

キーの種類 サイズ/曲線
EC-HSM: 楕円曲線キー P-256、P-384、P-521、secp256k1/P-256K
RSA-HSM: RSA キー 2048 ビット、3072 ビット、4096 ビット
oct-HSM: 対称 (AES) キー (プレビュー) 128 ビット、192 ビット、256 ビット

対称キー (oct-HSM) (プレビュー)

Important

Azure Key Vault Premium での対称 (oct-HSM/AES) キーのサポートは、現在パブリック プレビュー段階です。 プレビュー機能は、サービス レベル アグリーメントなしで as-is提供され、運用環境のワークロードには推奨されません。 詳細については、「 Microsoft Azure プレビューの追加使用条件」を参照してください。

Azure Key Vault Premium では、oct-HSM キーの種類を通じて HSM で保護された対称キーがサポートされます。 ボールト内の対称キーは HSM によってのみ保護され、Premium ボールトが必要です。

  • サポートされるサイズ: 128 ビット、192 ビット、256 ビット。
  • サポートされる操作:encrypt、 decrypt、 wrapKey、および unwrapKey。
  • サポートされているアルゴリズム: 暗号化および鍵ラップには AES-KW、AES-GCM、AES-CBC、HMAC の署名/検証には HS256、HS384、HS512。 アルゴリズムの詳細については、「 キーの種類、アルゴリズム、および操作」を参照してください。

例: AES キーを作成する

az keyvault key create \
    --vault-name <vault-name> \
    --name sample-aes-key \
    --kty oct-HSM \
    --size 256 \
    --ops encrypt decrypt wrapKey unwrapKey

例: データの暗号化

az keyvault key encrypt \
    --vault-name <vault-name> \
    --name sample-aes-key \
    --algorithm A256GCM \
    --value aGVsbG8gd29ybGQ=

注

AES-GCM 操作の場合は、暗号化応答から iv、 result、および tag の値を保存します。 正常に復号化するには、3 つの値がすべて必要です。 それらを 1 回の呼び出しでキャプチャするには、CLI --query オプション ( --query "{iv:iv, result:result, tag:tag}") を使用します。

ソフトウェアで保護されたキー (Key Vault Standard および Premium)

キーの種類 サイズ/曲線
RSA: ソフトウェアで保護された RSA キー 2048 ビット、3072 ビット、4096 ビット
EC: ソフトウェアで保護された楕円曲線キー P-256、P-384、P-521、secp256k1/P-256K

Managed HSM のサポートについては、「 Managed HSM のキーについて」を参照してください。

コンプライアンス

キーの種類と出力先 コンプライアンス
コンテナー内の、ソフトウェアで保護された (HSM プラットフォーム 0) キー FIPS 140-2 レベル 1
HSM プラットフォーム 1 で保護されたキー (Premium SKU) はボールトに保管されています。 FIPS 140-2 レベル 2
コンテナー内の、HSM プラットフォーム 2 で保護されたキー (Premium SKU) FIPS 140-3 レベル 3

量子耐性、量子セーフ、またはポスト量子暗号化

"量子耐性"、"量子セーフ"、および "ポスト量子" 暗号化は、クラシック コンピューターと量子コンピューターの両方からの解読攻撃に対して耐性があると考えられる暗号アルゴリズムを記述するために使用されるすべての用語です。 Azure Key Vault Premium (プレビュー) と Managed HSM によって提供される AES アルゴリズムで使用される 256 ビット対称 (oct-HSM/AES) キーは、量子耐性があります。 詳細については、「 商用国家セキュリティ アルゴリズム スイート 2.0」および「Quantum Computing FAQ」を参照してください。

キーの種類、アルゴリズム、操作、属性、タグの詳細については、「キーの種類、アルゴリズム、および操作」を参照してください。

使用シナリオ

使用する場合 例
カスタマー マネージド キーを使用した統合リソース プロバイダー向けの Azure サーバー側のデータ暗号化 Azure Key Vault
クライアント側のデータ暗号化 Azure Key Vault を使用したクライアント側の暗号化
キーのない TLS Key Vault クライアント ライブラリを使用する

次のステップ

  • 最終更新: