2 セットの認証資格情報を持つリソースのシークレットのローテーションを自動化する

Azure サービスに対して認証する最善の方法はマネージド ID を使用することですが、一部のシナリオでは引き続きアクセスキーまたはパスワードが必要です。これらの資格情報を頻繁にローテーションして、リークの影響を軽減します。

このチュートリアルでは、2 セットの認証資格情報を使用するデータベースとサービスの定期的なシークレットローテーションを自動化する方法について説明します。さまざまな資産タイプにわたる自動ローテーションの概要については、「Azure Key Vaultの自動ローテーションについて」を参照してください。

具体的には、このチュートリアルでは、Azure Key Vault にシークレットとして格納されている Azure Storage アカウントキーをローテーションします。 Azure Event Grid通知によってトリガーされる関数を使用します。

Important

Azure Storageの場合は、共有アカウントキーよりもマネージド ID を使用したMicrosoft Entra ID承認を優先します。コンプライアンスが許可されている場合は、ストレージアカウントで共有キーの承認を無効にし、キーローテーションの必要性を完全に排除します。このチュートリアルのパターンは、ワークロードにストレージアカウントキーまたは接続文字列が必要な場合にのみ使用します。

このチュートリアルで説明する回転ソリューションを次に示します。

回転ソリューションを示す図。

このソリューションでは、Azure Key Vaultは、各ストレージアカウントアクセスキーを同じシークレットのバージョンとして格納し、連続するバージョンのプライマリキーとセカンダリキーを交互に格納します。 1 つのアクセスキーがシークレットの最新バージョンとして格納されると、代替キーが再生成され、新しい最新バージョンとしてKey Vaultに追加されます。この設計により、新しく再生成されたキーを取得するための完全な回転サイクルがアプリケーションに与えられます。

シークレットの有効期限の 30 日前に、Key Vaultは有効期限近くのイベントを Event Grid に発行します。
Event Grid がイベントサブスクリプションを確認し、HTTP POST を使用して、このイベントをサブスクライブしている関数アプリエンドポイントを呼び出します。
関数アプリは、(最新のキーではなく) 代替キーを識別し、ストレージアカウントを呼び出して再生成します。
関数アプリは、再生成されたキーを新しいバージョンのシークレットとしてAzure Key Vaultに追加します。

[前提条件]

Azure サブスクリプション。無料で作成できます。
Azure Cloud Shell。このチュートリアルでは、PowerShell 環境でポータル Cloud Shellを使用します。
Azure Key Vault。
2 つのAzureストレージアカウント。

注

共有ストレージアカウントキーをローテーションすると、そのキーから生成されたアカウントレベルの Shared Access Signature (SAS) が取り消されます。ローテーション後、アカウントレベルの SAS トークンを再生成して、アプリケーションの中断を回避します。

既存のキーコンテナーと 2 つのストレージアカウントがない場合は、次のデプロイリンクを使用します。

[リソースグループ] で、 [新規作成] を選択します。グループ ボールトのローテーション に名前を付け、OK を選択します。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

これで、キーコンテナーと 2 つのストレージアカウントが作成されました。 Azure CLIまたはAzure PowerShellで、このセットアップを確認します。

Azure CLI
Azure PowerShell

az resource list -o table -g vaultrotation

Get-AzResource -Name 'vaultrotation*' | Format-Table

結果は次の出力のようになります。

Name                     ResourceGroup         Location    Type                               Status
-----------------------  --------------------  ----------  ---------------------------------  --------
vaultrotation-kv         vaultrotation      westus      Microsoft.KeyVault/vaults
vaultrotationstorage     vaultrotation      westus      Microsoft.Storage/storageAccounts
vaultrotationstorage2    vaultrotation      westus      Microsoft.Storage/storageAccounts

キーローテーション関数を作成してデプロイする

次に、システム割り当てマネージド ID とその他の必要なコンポーネントを含む関数アプリを作成し、ストレージアカウントキーのローテーション関数をデプロイします。

回転関数には、次のコンポーネントと構成が必要です。

Azure App Service プラン。
関数アプリトリガーを管理するためのストレージアカウント。
関数アプリがキーコンテナー内のシークレットにアクセスできるようにするAzureロールの割り当て。
関数アプリに割り当てられたストレージアカウントキーオペレーターのサービスロールによって、ストレージアカウントのアクセスキーにアクセスできます。
Event Grid トリガーと HTTP トリガーを含むキーローテーション関数 (オンデマンドローテーション用)。
SecretNearExpiry イベントの Event Grid イベントサブスクリプション。

Azure テンプレートのデプロイリンクを選択します。
リソースグループの一覧で、vaultrotationを選択します。
ストレージアカウント RG に、ストレージ アカウントが配置されているリソースグループの名前を入力します。ストレージアカウントがローテーション関数と同じリソースグループにある場合は、既定の [resourceGroup().name] のままにします。
[ ストレージアカウント名] に、アクセスキーをローテーションするストレージアカウントの名前を入力します。前提条件からストレージアカウントを使用する場合は、既定の [concat(resourceGroup().name, 'storage')] のままにします。
Key Vault RG に、key vaultが配置されているリソースグループの名前を入力します。キーコンテナーがローテーション関数と同じリソースグループにある場合は、既定の [resourceGroup().name] のままにします。
Key Vault Name にキーコンテナー名を入力します。 [concat(resourceGroup().name, '-kv')]からキーコンテナーを使用する場合は、既定ののままにします。
App Service プランの種類で、ホスティングプランを選択します。 Premium プラン は、キーコンテナーがファイアウォールの内側にある場合にのみ必要です。
[ 関数アプリ名] に、関数アプリ名を入力します。
[ シークレット名] に、アクセスキーを格納するシークレット名を入力します。
[Repo URL]\(リポジトリ URL\) に、関数コードのGitHubの場所 (https://github.com/Azure-Samples/KeyVault-Rotation-StorageAccountKey-PowerShell.git) を入力します。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

デプロイが完了すると、ストレージアカウント、サーバーファーム、関数アプリ、および Application Insights リソースが作成されます。

[デプロイが完了しました] ページを示すスクリーンショット。

注

この ARM テンプレートでは、App Service ソース管理 (Kudu) デプロイを使用して、GitHubから関数コードをプルします。本番ワークロードには、func azure functionapp publish や WEBSITE_RUN_FROM_PACKAGE を使用した zip デプロイなどのパッケージベースのデプロイをお勧めします。デプロイが失敗した場合は、[ 再デプロイ ] を選択して再試行します。

ローテーション関数のデプロイテンプレートとコードは、Azure-Samples/KeyVault-Rotation-StorageAccountKey-PowerShell にあります。

ストレージアカウントのアクセスキーをKey Vaultシークレットに追加する

まず、コンテナー内のシークレットを管理できるように、Key Vault Secrets Officer ロールを自分自身に割り当てます。

Azure CLI
Azure PowerShell

az role assignment create --role "Key Vault Secrets Officer" --assignee <email-address-of-user> --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/vaultrotation-kv

New-AzRoleAssignment -SignInName <email-address-of-user> -RoleDefinitionName "Key Vault Secrets Officer" -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.KeyVault/vaults/vaultrotation-kv"

これで、ストレージアカウントのアクセスキーの値を持つシークレットを作成できるようになりました。値と共に、ストレージアカウントのリソース ID、シークレットの有効期間、キー ID をタグとして追加して、ローテーション関数がストレージアカウント内のキーを再生成できるようにします。

ストレージアカウントのリソース ID を決定します。 idプロパティです。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

キー値を取得できるように、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

有効期間を 60 日に設定したシークレットをキーボールトに追加し、（デモ用に）有効期限を明日に設定して、ローテーションがすぐにトリガーされるようにします。 key1ValueとstorageAccountResourceIdの取得した値を使用して、次のコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey --vault-name vaultrotation-kv --value <key1-value> --tags "CredentialId=key1" "ProviderAddress=<storage-account-resource-id>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (Get-Date).AddDays(+1).ToString('yyyy-MM-ddTHH:mm:ssZ')
$secretValue = ConvertTo-SecureString -String '<key1-value>' -AsPlainText -Force
$tags = @{
    CredentialId='key1'
    ProviderAddress='<storage-account-resource-id>'
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

このシークレットは数分以内に SecretNearExpiry イベントをトリガーします。これにより、有効期限が 60 日に設定された状態でシークレットをローテーションする関数がトリガーされます。この構成では、 SecretNearExpiry イベントは 30 日 (有効期限の 30 日前) ごとに発生し、ローテーション関数は key1 と key2の間で交互に発生します。

ストレージアカウントキーとKey Vault シークレットを取得し、それらを比較することで、アクセスキーが再生成されたことを確認します。

次のコマンドを使用して、シークレット情報を取得します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey -AsPlainText

CredentialIdが代替keyNameに更新され、valueが再生成されていることに注意してください。

最初のストレージアカウントの A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

キーの値がキーコンテナー内のシークレットと一致していることに注意してください:

最初のストレージアカウントの A Z ストレージアカウントキーリストコマンドの出力を示すスクリーンショット。

複数のストレージアカウントに対して既存のローテーション関数を使用する

同じ関数アプリを再利用して、複数のストレージアカウントのキーをローテーションできます。

既存のローテーション関数に別のストレージアカウントのキーを追加するには、次のものが必要です。

関数アプリがストレージアカウントのアクセスキーにアクセスできるように、その関数アプリに割り当てられたストレージアカウントキーオペレーターサービスロール。
SecretNearExpiry イベントの Event Grid イベントサブスクリプション。

Azure テンプレートのデプロイリンクを選択します。
リソースグループの一覧で、vaultrotationを選択します。
ストレージアカウント RG に、ストレージ アカウントが配置されているリソースグループの名前を入力します。ストレージアカウントがローテーション関数と同じリソースグループにある場合は、既定の [resourceGroup().name] のままにします。
[ ストレージアカウント名] に、アクセスキーをローテーションするストレージアカウントの名前を入力します。
Key Vault RG に、key vaultが配置されているリソースグループの名前を入力します。キーコンテナーがローテーション関数と同じリソースグループにある場合は、既定の [resourceGroup().name] のままにします。
キーコンテナー名 に、キーコンテナー名を入力します。
[ 関数アプリ名] に、関数アプリ名を入力します。
[ シークレット名] に、アクセスキーを格納するシークレット名を入力します。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

Key Vault シークレットにストレージアカウントアクセスキーを追加する

ストレージアカウントのリソース ID を決定します。この値は、 id プロパティにあります。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage2

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

key2 値を取得できるように、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage2

Get-AzStorageAccountKey -Name vaultrotationstorage2 -ResourceGroupName vaultrotation

有効期間を 60 日に設定したシークレットをキーボールトに追加し、（デモ用に）有効期限を明日に設定して、ローテーションがすぐにトリガーされるようにします。 key2ValueとstorageAccountResourceIdの取得した値を使用して、次のコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey2 --vault-name vaultrotation-kv --value <key2-value> --tags "CredentialId=key2" "ProviderAddress=<storage-account-resource-id>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (get-date).AddDays(+1).ToString("yyyy-MM-ddTHH:mm:ssZ")
$secretValue = ConvertTo-SecureString -String '<key1-value>' -AsPlainText -Force
$tags = @{
    CredentialId='key2';
    ProviderAddress='<storage-account-resource-id>';
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey2 -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

次のコマンドを使用して、シークレット情報を取得します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey2

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey2 -AsPlainText

CredentialIdが代替keyNameに更新され、valueが再生成されていることに注意してください。

2 つ目のストレージアカウントの A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage2

Get-AzStorageAccountKey -Name vaultrotationstorage2 -ResourceGroupName vaultrotation

キーの値が Key Vault 内のシークレットと一致していることを確認してください。

2 番目のストレージアカウントの A Z ストレージアカウントキーリストコマンドの出力を示すスクリーンショット。

シークレットのローテーションを無効にする

シークレットのローテーションを無効にするには、そのシークレットの Event Grid サブスクリプションを削除します。 Azure PowerShell Remove-AzEventGridSubscription コマンドレットまたは Azure CLI az eventgrid event-subscription delete コマンドを使用します。

AI を使用して他のサービスのローテーション機能をカスタマイズする

このチュートリアルでは、Azure Storage アカウントのシークレットローテーションについて説明しますが、デュアル資格情報を使用する他のAzure サービスにローテーション機能を適応させることができます。 GitHub Copilotは、サービスで動作するように PowerShell ローテーション関数コードを変更するのに役立ちます。

I'm using the Azure Key Vault dual-credential secret rotation tutorial for Storage accounts. Help me modify the PowerShell rotation function to work with Azure Cosmos DB instead. The function should:
1. Connect to Cosmos DB and regenerate the secondary key
2. Store the new key in Key Vault as a new secret version
3. Alternate between primary and secondary keys on each rotation
Show me the changes needed to the PowerShell function code, including the correct Cosmos DB PowerShell cmdlets.

GitHub Copilotは AI を活用しているため、驚きや間違いが起こりうる可能性があります。詳細については、Copilot FAQ を参照してください。

次のステップ

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-08

2 セットの認証資格情報を持つリソースのシークレットのローテーションを自動化する

[前提条件]

キー ローテーション関数を作成してデプロイする

ストレージ アカウントのアクセス キーをKey Vaultシークレットに追加する

複数のストレージ アカウントに対して既存のローテーション関数を使用する

Key Vault シークレットにストレージ アカウント アクセス キーを追加する