Azure Red Hat OpenShift でカスタマーマネージドキーを使用して OS ディスクを暗号化する

既定では、Microsoft Azureは自動生成されたキーを使用して、Azure Red Hat OpenShift クラスター内の仮想マシン (VM) の OS ディスクを暗号化します。セキュリティを強化するために、クラスターのデプロイ時に自己管理キーを使用して OS ディスクを暗号化できます。この機能を使用すると、カスタマーマネージドキーを使用して機密データを暗号化することで、より詳細な制御を行えます。

カスタマーマネージドキーを持つクラスターでは、そのキーで既定のストレージクラスが有効になっています。そのため、これらのキーは OS ディスクとデータディスクの両方を暗号化します。 Azure Key Vaultは、カスタマーマネージドキーを格納します。 Key Vaultを使用してキーを作成および管理する方法の詳細については、Azure Key Vault基本的な概念を参照してください。

ホストベースの暗号化では、Azure Red Hat OpenShift ノード VM の仮想マシンホストに格納されているデータは、保存時に暗号化されます。このデータは、暗号化されてAzure Storageに流れます。ホストベースの暗号化とは、一時ディスクがプラットフォームマネージドキーを使用して保存時に暗号化されていることを意味します。

OS ディスクとデータディスクのキャッシュは、プラットフォームマネージドキーまたはカスタマーマネージドキーを使用して保存時に暗号化されます。キーの種類は、これらのディスクに設定した暗号化の種類によって異なります。既定では、Azure Red Hat OpenShiftを使用すると、OS ディスクとデータディスクはプラットフォームマネージドキーを使用して保存時に暗号化されます。この既定の設定は、これらのディスクのキャッシュも既定でプラットフォームマネージドキーを使用して保存時に暗号化されることを意味します。

次のセクションの暗号化手順に従って、独自のマネージドキーを指定できます。この手順で指定したキーによって、これらのディスクのキャッシュも暗号化されます。

制限事項

お客様は、キーコンテナーとディスク暗号化セットをAzureに維持する必要があります。キーを維持しないと、クラスター Azure Red Hat OpenShift破損します。 VM は動作を停止し、その結果、Azure Red Hat OpenShift クラスター全体が機能しなくなります。

Azure Red Hat OpenShift エンジニアリングチームはキーにアクセスできません。そのため、キーをバックアップ、レプリケート、または取得することはできません。

ディスク暗号化セットを使用して暗号化キーを管理する方法の詳細については、「Azure Disk Storageのサーバー側暗号化」を参照してください。

[前提条件]

アクセス許可を確認します。 Azure Red Hat OpenShift クラスター、キーコンテナー、ディスク暗号化セットを作成するためのアクセス許可が必要です。
Key Vault Crypto Officer ロールがあることを確認します。このロールには、キーを作成するためのアクセス許可があります。
Azure サブスクリプションが複数ある場合は、リソースプロバイダーを登録します。登録の詳細については、「リソースプロバイダーを登録する」を参照してください。
サブスクリプションで EncryptionAtHost 機能が有効になっていることを確認します。これを有効にするには、次を実行します。
```
az feature register --namespace Microsoft.Compute --name EncryptionAtHost
```
次を実行すると、機能の現在の状態を確認できます。
```
az feature show --namespace Microsoft.Compute --name EncryptionAtHost
```

Key Vaultのインスタンスを作成する

キーを格納するには、Key Vaultのインスタンスを使用する必要があります。消去保護を有効にした新しいキーコンテナーを作成します。次に、キーコンテナー内に新しいキーを作成して、独自のカスタムキーを格納します。

環境変数を設定します。

export KEYVAULT_NAME=aro-enckv
export KEYVAULT_KEY_NAME=aro-key
export DISK_ENCRYPTION_SET_NAME=aro-des
export LOCATION=<location-name>
export RESOURCEGROUP=<resource-group-name>

キーコンテナーを作成します。
```
az keyvault create \
    --name $KEYVAULT_NAME \
    --resource-group $RESOURCEGROUP \
    --location $LOCATION \
    --enable-purge-protection true
```
注

消去保護を有効にする必要があります。「Azure Key Vaultを設定する」を参照してください。

省略可能: 消去保護が有効になっているため、削除後にキーコンテナー名をすぐに再利用することはできません。 --retention-days <NUMBER_OF_DAYS> 指定を追加することで、コンテナーを論理削除状態に保持する期間を制御できます。既定値は 90 日ですが、より小さい値 (最小 7 日間) に設定すると、名前をより迅速に再利用できます。

キーコンテナーにキーを作成します。

az keyvault key create \
    --vault-name $KEYVAULT_NAME \
    --name $KEYVAULT_KEY_NAME \
    --protection software

キーコンテナーのリソース ID とキー URL 変数を設定します。

KEYVAULT_ID=$(az keyvault show --name $KEYVAULT_NAME --query "[id]" -o tsv)

KEYVAULT_KEY_URL=$(az keyvault key show --vault-name $KEYVAULT_NAME --name $KEYVAULT_KEY_NAME --query "[key.kid]" -o tsv)

ディスク暗号化セットを作成する

Azure Red Hat OpenShift クラスター内のディスクの参照ポイントとして、Azure ディスク暗号化セットを使用します。これは、前の手順で作成したキーコンテナーに接続され、その場所からカスタマーマネージドキーをプルします。

ディスク暗号化セットを作成します。

az disk-encryption-set create \
    --name $DISK_ENCRYPTION_SET_NAME \
    --location $LOCATION \
    --resource-group $RESOURCEGROUP \
    --source-vault $KEYVAULT_ID \
    --key-url $KEYVAULT_KEY_URL

ディスク暗号化セットのリソース ID と ID 変数を指定します。

DES_ID=$(az disk-encryption-set show --name $DISK_ENCRYPTION_SET_NAME --resource-group $RESOURCEGROUP --query 'id' -o tsv)

DES_IDENTITY=$(az disk-encryption-set show --name $DISK_ENCRYPTION_SET_NAME --resource-group $RESOURCEGROUP --query "[identity.principalId]" -o tsv)

キーコンテナーにアクセスするためのディスク暗号化セットのアクセス許可を付与する

ディスク暗号化セットのマネージド ID で暗号化キーを使用する必要があります。 Key Vault Crypto Service Encryption User や Key Vault Crypto User など、必要なキーアクセス許可を提供する組み込みロールを割り当てます。または、ディスク暗号化セットに必要なキー操作を実行するために必要なアクセス許可 (wrapkey、 unwrapkey、 get) が含まれている限り、カスタムロールを使用します。

az role assignment create \
    --assignee $DES_IDENTITY \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KEYVAULT_ID

Azure Red Hat OpenShift クラスターを作成する

クラスターを作成するときに、ディスク暗号化セットを指定することで、カスタマーマネージドキーを有効にすることができます。 --disk-encryption-set パラメーターを使用します。たとえば、「 --disk-encryption-set $DES_ID 」のように入力します。

サービスプリンシパルを使用してクラスターを作成するには、「Azure Red Hat OpenShift クラスターの作成」の手順に従います。

--disk-encryption-set パラメーターを使用してクラスターを作成する例を次に示します。

az aro create \
    --resource-group $RESOURCEGROUP \
    --name $CLUSTER \
    --vnet aro-vnet \
    --master-subnet master-subnet \
    --worker-subnet worker-subnet \
    --disk-encryption-set $DES_ID

注

マスターノードではなく、ワーカーノードの既存のクラスターでのみカスタマーマネージドキーを有効にすることができます。この構成を実現できます。詳細については、マシンセットのカスタマーマネージド暗号化キーの有効化やコンピューティングマシンセットの変更など、Red Hat のドキュメントを参照してください。

マネージド ID を持つAzure Red Hat OpenShift クラスターを作成するには、クラスターを作成する前に、machine-api ID とdisk-csi-driver ID を付与する必要があります。また、ディスク暗号化セットのAzure Red Hat OpenShiftファーストパーティサービスプリンシパルMicrosoft.Compute/diskEncryptionSets/readアクセス許可を付与する必要もあります。

machine-api ID、disk-csi-driver ID および ARO ファーストパーティサービスプリンシパルのロール割り当ての例:

az role assignment create \
  --assignee-object-id "$(az identity show --resource-group $RESOURCEGROUP --name disk-csi-driver --query principalId -o tsv)" \
  --assignee-principal-type ServicePrincipal \
  --role <ROLE> \
  --scope $DES_ID"

az role assignment create \
  --assignee-object-id "$(az identity show --resource-group $RESOURCEGROUP --name machine-api --query principalId -o tsv)" \
  --assignee-principal-type ServicePrincipal \
  --role <ROLE> \
  --scope $DES_ID

az role assignment create \
  --assignee-object-id "$(az ad sp list --display-name "Azure Red Hat OpenShift RP" --query '[0].id' -o tsv)" \
  --assignee-principal-type ServicePrincipal \
  --role <ROLE> \
  --scope $DES_ID

Azure Red Hat OpenShift クラスターを作成すると、すべての VM がカスタマーマネージド暗号化キーで暗号化されます。

キーを正しく構成したことを確認するには、次のコマンドを実行します。

クラスターの VM、ディスク、およびその他のインフラストラクチャが配置されているクラスターリソースグループの名前を取得します。
```
CLUSTERRESOURCEGROUP=$(az aro show --resource-group $RESOURCEGROUP --name $CLUSTER --query 'clusterProfile.resourceGroupId' -o tsv | cut -d '/' -f 5)
```
ディスクに正しいディスク暗号化セットが接続されていることを確認します。
```
az disk list --resource-group $CLUSTERRESOURCEGROUP --query '[].encryption'
```

出力diskEncryptionSetIdフィールドは、Azure Red Hat OpenShift クラスターの作成時に指定したディスク暗号化セットを指している必要があります。

カスタマーマネージドキーとAzure Policyの適用に対するマネージド HSM (mHSM) サポートを追加する

カスタマーマネージドキーのマネージド HSM (mHSM) サポートを追加し、特定の暗号化属性を要求および拒否することもできます。このサポートには、API とAzure Policyの変更が必要です。

mHSM キーとカスタマーマネージドキーを使用してAzure Red Hat OpenShift クラスターを作成するには、次の手順に従います。

Azure CLIを使用して、マネージド HSM をプロビジョニングしてアクティブ化します。

前の手順から環境変数をエクスポートします。

export HSM_NAME=<hsm-name>
export RESOURCE_GROUP=<resource-group>

Azure Resource Managerを使用して消去保護とキー管理を有効にします。

az keyvault update-hsm \
  --hsm-name $HSM_NAME \
  --resource-group $RESOURCE_GROUP \
  --enable-purge-protection true

az keyvault setting update \
  --hsm-name $HSM_NAME \
  --name AllowKeyManagementOperationsThroughARM \
  --value true

mHSM をアクティブ化するには、残りの手順を完了します。マネージド HSM をアクティブ化します。

mHSM でキーを作成できるように、 Managed HSM Crypto User ロールを自分に付与します。

oid=$(az ad signed-in-user show --query id -o tsv)
az keyvault role assignment create \        
  --hsm-name $HSM_NAME \ 
  --role "Managed HSM Crypto User" \ 
  --assignee $oid \ 
  --scope /keys

mHSM キーを作成します。

マネージド ID を作成し、mHSM に対してManaged HSM Crypto Service Encryption Userロールを付与します。

export UA_IDENTITY=<new-ua-identity>

HSM_ID="https://${HSM_NAME}.managedhsm.azure.net"

az identity create \
  --resource-group $RESOURCE_GROUP \
  --name $UA_IDENTITY

IDENTITY_OBJECT_ID=$(az identity show \ 
  --resource-group $RESOURCE_GROUP \ 
  --name $UA_IDENTITY \ 
  --query principalId -o tsv) 

az keyvault role assignment create \ 
  --id "$HSM_ID" \ 
  --role "Managed HSM Crypto Service Encryption User" \ 
  --assignee-object-id "$IDENTITY_OBJECT_ID" \ 
  --scope "/keys/byok-key"

以下を考慮して、ディスク暗号化セットを作成します。
1. 暗号化の種類を次のように設定します。 Encryption at-rest with a customer-managed key.
2. 前の手順で作成したユーザー割り当て ID を使用します。
3. ディスク暗号化セットを作成する前に、ロールの割り当てを完了します。

前の手順から環境変数をエクスポートします。

export LOCATION=<yourLocation>
export CLUSTER=<yourNewClusterName> 
export VIRTUAL_NETWORK=<yourVirtualNetwork>
export KEYVAULT_NAME=<yourKeyvaultName>
export KEYVAULT_KEY_NAME=byok-key 
export DISK_ENCRYPTION_SET_NAME=<yourDiskEncryptionSetName>

新しいディスク暗号化セットを使用してクラスターを作成します。

DES_ID=$(az disk-encryption-set show -n $DISK_ENCRYPTION_SET_NAME -g $RESOURCE_GROUP --query 'id' -o tsv) 

az aro create --resource-group $RESOURCE_GROUP \ 
  --name $CLUSTER  \ 
  --vnet $VIRTUAL_NETWORK  \ 
  --master-subnet master-subnet \ 
  --worker-subnet worker-subnet \ 
  --disk-encryption-set $DES_ID

クラスターが起動したら、暗号化を確認します。

az disk list -g $VIRTUAL_NETWORK --query "[].{DiskName:name, VM:managedBy, EncryptionType:encryption.type, DiskEncryptionSet:encryption.diskEncryptionSetId}" -o table

暗号化を確認するには、EncryptionAtRestWithCustomerKey列でEncryptionTypeを探します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-30