Azure Container Registry では、保存したイメージやその他のアーティファクトを自動的に暗号化します。 既定では、Azure によって、サービス マネージド キーが使用され、保存されているレジストリ コンテンツが自動的に暗号化されます。 カスタマー マネージド キーを使用することで、既定の暗号化を追加の暗号化レイヤーで補完できます。
この記事は、4 部構成のチュートリアル シリーズのパート 1 です。 チュートリアルの内容:
- カスタマー マネージド キーの概要
- カスタマー マネージド キーを有効にする
- 顧客管理キーのローテーションと無効化
- カスタマー マネージド キーのトラブルシューティング
顧客管理キーについて
カスタマー マネージド キーを使用する場合は、Azure Key Vault または Azure Key Vault Managed HSM に保存した独自のキーを使用します。 カスタマー マネージド キーを有効にすると、そのローテーションを管理し、それを使用するアクセスとアクセス許可を制御し、その使用を監査できます。
組み込まれている主な機能は次のとおりです。
規制コンプライアンス: Azure はサービスマネージド キーを使用して、保存されているレジストリ コンテンツを自動的に暗号化しますが、カスタマー マネージド キーの暗号化は、規制コンプライアンスのガイドラインを満たすのに役立ちます。
Azure Key Vaultとの統合: カスタマー マネージド キーでは、Azure Key Vault および Azure Key Vault Managed HSM との統合により、サーバー側暗号化がサポートされます。 暗号化キーは、どちらのキー ストアでも作成またはインポートできます。
キー ライフサイクル管理: カスタマー マネージド キーを Key Vault または Managed HSM と統合すると、ローテーションや管理を含むキー ライフサイクルを完全に制御し、責任を負うことができます。
カスタマー マネージド キーを有効にする前に
カスタマー マネージド キーを使用して Azure Container Registry を構成する前に、次の情報を考慮してください。
- この機能は、コンテナー レジストリの Premium サービス レベルで使用できます。 詳細については、「Azure Container Registry サービス階層」を参照してください。
- 現在カスタマー マネージド キーを有効にできるのは、レジストリを作成するときだけです。
- レジストリでカスタマー マネージド キーを有効にした後に、暗号化を無効にすることはできません。
- キー ストアにアクセスするには、 ユーザー割り当て マネージド ID を構成する必要があります。 後で、必要に応じて、キー アクセス用にレジストリの システム割り当て マネージド ID を有効にすることができます。
- Azure Container Registry でサポートされているのは、RSA または RSA HSM キーのみです。 楕円曲線キーは現在サポートされていません。
- レジストリ暗号化用に構成する前に、マネージド HSM をプロビジョニングしてアクティブ化する必要があります。 詳細については、「 Managed HSM のプロビジョニングとアクティブ化」を参照してください。
- Managed HSM では、Key Vault のアクセス ポリシーではなく、ローカルのロールベースのアクセス制御 (RBAC) を使用します。 可能な場合は暗号化キーのスコープで、レジストリ ID に Managed HSM Crypto Service Encryption ユーザー ロールを割り当てます。
- マネージド HSM の可用性は、Azure クラウドとリージョンによって異なります。 Managed HSM を使用する予定の場所とクラウドで使用可能であることを確認します。
- カスタマー マネージド キーで暗号化されたレジストリでは、Azure Container Registry タスクに関するログを 24 時間のみ保持できます。 それより長くログを保持するには、「タスク実行ログを表示および管理する」を参照してください。
- 現在、カスタマー マネージド キーで暗号化されたレジストリでは、コンテンツの信頼はサポートされていません。
カスタマー マネージド キーのバージョンを更新する
Azure Container Registryでは、新しいキー バージョンが Key Vault または Managed HSM で使用できる場合、レジストリ暗号化キーの自動ローテーションと手動ローテーションの両方がサポートされます。
重要
カスタマー マネージド キーの暗号化を使用するレジストリでは、キー バージョンを頻繁に更新 (ローテーション) することは重要なセキュリティ上の考慮事項です。 組織のコンプライアンス ポリシーに従って、キー ストアのキー バージョンを定期的に更新してください。
キーのバージョンを自動的に更新する: レジストリがバージョン管理されていないキーで暗号化されている場合、Azure Container Registryはキー ストアで新しいキー バージョンを定期的にチェックし、1 時間以内にカスタマー マネージド キーを更新します。 カスタマー マネージド キーを使用してレジストリ暗号化を有効にする場合は、キーのバージョンを省略します。 Azure Container Registry は、最新のキー バージョンを自動的に使用し、そのバージョンに更新します。
キー バージョンを手動で更新する: レジストリが特定のキー バージョンで暗号化されている場合、カスタマー マネージド キーを手動でローテーションするまで、そのバージョンが Azure Container Registry で暗号化に使用されます。 カスタマー マネージド キーを使用するレジストリ暗号化を有効にする場合は、キー バージョンを指定することをお勧めします。 Azure Container Registry では、レジストリの暗号化に特定のバージョンのキーが使用されます。
詳細については、「キーのローテーション」と「キーのバージョンを更新する」を参照してください。
次のステップ
- Azure CLI、Azure portal、または Azure Resource Manager テンプレートを使用してカスタマー マネージド キーでコンテナー レジストリを有効にするには、次の記事「カスタマー マネージド キーを有効にする」を参照してください。
- Azure での保存時の暗号化についてさらに学習します。
- キー コンテナーへのアクセスを保護する方法、または Managed HSM ローカル RBAC ロールを管理する方法について説明します。