テーブルやキューの顧客管理キーをサポートするアカウントを作成してください

Azureポータルでアカウントの暗号化キーに依存するストレージアカウントを作成するには、以下の手順に従ってください:

1. Azureポータルの上部にある検索ボックスで「ストレージアカウント」を検索して選択します。

2. [ ストレージ アカウント ] ページで、[ 新規] を選択します。

3. 「基本」タブの欄を埋めてください。

4. 「Advanced」タブで「 Tables and Queues 」セクションを見つけ、「 顧客管理キーのサポートを有効にする」を選択してください。

   

PowerShellを使ってアカウントの暗号化キーに依存するストレージアカウントを作成するには、Azure PowerShellモジュール(バージョン3.4.0以降)をインストールしていることを確認してください。 詳細については、「 Azure PowerShell モジュールのインストール」を参照してください。

次に、適切なパラメータで New-AzStorageAccount コマンドを呼び出して汎用v2ストレージアカウントを作成します。

• -EncryptionKeyTypeForQueueオプションを含め、その値をAccountに設定して、Queueストレージ内のデータを暗号化するためにアカウントの暗号キーを使用します。
• -EncryptionKeyTypeForTableオプションを含め、その値をAccountに設定して、テーブルストレージ内のデータを暗号化するためにアカウントの暗号キーを使用します。

以下の例は、読み取りアクセスの地理的冗長ストレージ(RA-GRS)を設定し、アカウントの暗号鍵を使ってキューとテーブルの両方のデータを暗号化する汎用v2ストレージアカウントの作成方法を示しています。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Azure CLIを使ってアカウントの暗号キーに依存するストレージアカウントを作成するには、Azure CLI バージョン2.0.80以降をインストールしていることを確認してください。 詳細については、「 Azure CLI のインストール」を参照してください。

次に、適切なパラメータで az storage account create コマンドを呼び出して汎用v2ストレージアカウントを作成します:

• --encryption-key-type-for-queueオプションを含め、その値をAccountに設定して、Queueストレージ内のデータを暗号化するためにアカウントの暗号キーを使用します。
• --encryption-key-type-for-tableオプションを含め、その値をAccountに設定して、テーブルストレージ内のデータを暗号化するためにアカウントの暗号キーを使用します。

以下の例は、読み取りアクセスの地理的冗長ストレージ(RA-GRS)を設定し、アカウントの暗号鍵を使ってキューとテーブルの両方のデータを暗号化する汎用v2ストレージアカウントの作成方法を示しています。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

以下のJSON例は、読み取りアクセスの地理冗長ストレージ(RA-GRS)を設定し、アカウントの暗号化キーを使ってキューとテーブルの両方のデータを暗号化する汎用v2ストレージアカウントを作成します。 角括弧内のプレースホルダー値は自分の値に置き換えるのを忘れないでください:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

ストレージアカウント内のサービスがAzureポータルのアカウントにスコープされた暗号化鍵を使用していることを確認するには、以下の手順に従ってください。

1. Azure portal で新しいストレージ アカウントに移動します。

2. セキュリティ+ネットワークのセクションで「暗号化」を選択してください。

3. ストレージアカウントがアカウントの暗号化キーに依存するように作成されている場合、暗号化タブで顧客管理キーを4つのAzure Storageサービス(ブロブ、ファイル、テーブル、キュー)すべてで有効化できることがわかります。

   

ストレージアカウント内のサービスがPowerShellで暗号化キーを使用していることを確認するには、 Get-AzStorageAccount コマンドを呼び出してください。 このコマンドはストレージアカウントのプロパティとその値を返します。 Encryptionプロパティ内の各サービスのKeyTypeフィールドを探し、Accountに設定されているか確認してください。

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

ストレージアカウント内のサービスがAzure CLIでアカウント暗号化キーを使用しているか確認するには、az storage account showコマンドを呼び出してください。 このコマンドはストレージアカウントのプロパティとその値を返します。 暗号化プロパティ内の各サービスの keyType フィールドを探し、 Accountに設定されているか確認してください。

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

N/A