Azure Files の Customer Managed keys で保存時の暗号化を構成する

Azure ポータルを使用して新しいキー コンテナーを作成するには、次の手順に従います。

1. Azure ポータルで、キーボールトを検索し、作成 を選択します。
2. 必須フィールド (サブスクリプション、リソース グループ、名前、リージョン) を入力します。
3. [ 回復オプション] で、[ 消去保護を有効にする] を選択します。
4. [確認と作成] を選択し、次に [作成] を選択します。

既存のキー コンテナーを使用する場合は、次の手順に従います。

1. Azureポータルでキーボールトに移動します。
2. サービス メニューの [設定] で [プロパティ] を選択 します。
3. [ 消去保護 ] セクションで、[ 消去保護を有効にする] を選択し、[ 保存] を選択します。
4. キー ボールトでソフト削除が有効になっていることを確認します。 これは、新しいキーボールトに対して既定で有効になっています。

消去保護を有効にして新しいキー コンテナーを作成するには、次のコマンドレットを実行します。 <key-vault-name>、<resource-group>、および <region> を独自の値に置き換えます。

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

既存のキー コンテナーで消去保護を有効にするには、次のコマンドレットを実行します。 <key-vault-name> と <resource-group> を独自の値に置き換えます。

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

消去保護を有効にして新しいキー コンテナーを作成するには、次のコマンドを実行します。 <key-vault-name>、<resource-group>、および <region> を独自の値に置き換えます。

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

既存のキー コンテナーで消去保護を有効にするには、次のコマンドを実行します。 <key-vault-name> と <resource-group> を独自の値に置き換えます。

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Azure ポータルを使用して Key Vault Crypto Officer ロールを自分に割り当てるには、次の手順に従います。

1. キー コンテナーに移動します。
2. サービス メニューから、 アクセス制御 (IAM) を選択します。
3. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
4. Key Vault Crypto Officer を検索して選択し、Next を選択します。
5. [ アクセスの割り当て] で、[ ユーザー、グループ、またはサービス プリンシパル] を選択します。
6. [ メンバー] で 、[ +メンバーの選択] を選択します。
7. アカウントを検索し、自分のアカウントを選択してから、[選択]をクリックします。
8. [確認と割り当て] を選択し、もう一度 [確認と割り当て] を選択します。

Azure PowerShellを使用して Key Vault Crypto Officer ロールを自分自身に割り当てるには、次のコマンドレットを実行します。 <key-vault-name> は、実際の値に置き換えてください。

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Azure CLIを使用して Key Vault Crypto Officer ロールを自分自身に割り当てるには、次のコマンドを実行します。 <key-vault-name> は、実際の値に置き換えてください。

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Azureポータルを使って新しいRSA暗号鍵を生成するには、以下の手順に従ってください:

1. Azureポータルでキーボールトに移動します。
2. サービス メニューの [ オブジェクト] で [キー] を選択 します。
3. 生成/インポート を選択します。 オプションで生成を選択します。
4. キーの名前を入力します。 キー名には、英数字とダッシュのみを含めることができます。
5. キータイプをRSAに設定し、RSAキーサイズを2048、3072、または4096に設定してください。
6. を選択してを作成します。

Azureポータルを使って既存のRSA暗号化鍵をインポートするには、以下の手順に従ってください:

1. Azureポータルでキーボールトに移動します。
2. サービス メニューの [ オブジェクト] で [キー] を選択 します。
3. 生成/インポート を選択します。 オプション で インポート を選択します。
4. アップロードするキーを選択します。
5. キーの名前を入力します。 キー名には、英数字とダッシュのみを含めることができます。
6. [キーの種類] を [RSA] に設定します。
7. を選択してを作成します。

Azure PowerShellを使用して RSA キーを作成するには、次のコマンドレットを実行します。 <key-vault-name> と <key-name> を独自の値に置き換えます。 Sizeの場合は、2048、3072、または4096を指定してください。

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Azure PowerShellを使用して既存の RSA 暗号化キーをインポートするには、次のコマンドレットを実行します。 <key-vault-name>、<key-name>、および <key-path> を独自の値に置き換えます。 最初の行はキーファイルのパスワードを入力するプロンプトです。 キーファイルにパスワードがなければ、Read-Host 行と KeyFilePassword 以降を省略してください。

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Azure CLIを使用して RSA キーを作成するには、次のコマンドを実行します。 <key-vault-name> と <key-name> を独自の値に置き換えます。 --sizeの場合は、2048、3072、または4096を指定してください。

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Azure CLIを使用して既存の RSA 暗号化キーをインポートするには、次のコマンドを実行します。 <key-vault-name>、<key-name>、<key-path>、および <key-password> を独自の値に置き換えます。 キー ファイルにパスワードがない場合は、 --pem-password パラメーターを省略します。

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

Azureポータルを使ってユーザー割り当て管理IDを作成するには、以下の手順に従ってください:

1. マネージド ID を検索し、[作成] を選択します。
2. サブスクリプション、リソース グループ、リージョン、および名前を選択します。
3. [確認と作成] を選択し、次に [作成] を選択します。

Azure PowerShellを使用してユーザー割り当てマネージド ID を作成するには、次のコマンドレットを実行します。 <resource-group>、<identity-name>、および <region> を独自の値に置き換えます。

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Azure CLIを使用してユーザー割り当てマネージド ID を作成するには、次のコマンドを実行します。 <resource-group>、<identity-name>、および <region> を独自の値に置き換えます。

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Key Vault Crypto Service Encryption User ロールをマネージド ID に割り当てるには、Azure ポータルを使用して、次の手順に従います。

1. Azureポータルでキーボールトに移動します。
2. サービス メニューから、 アクセス制御 (IAM) を選択します。
3. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
4. Key Vault Crypto Service Encryption User を検索して選択し、 Next を選択します。
5. [アクセスの割り当て先] で [マネージド ID] を選択します。
6. [ メンバー] で 、[ +メンバーの選択] を選択します。
7. [ マネージド ID の選択] ウィンドウが開きます。 [マネージド ID] で、[ユーザー割り当てマネージド ID] を選択します。
8. 作成したマネージド ID を選び、[選択] をクリックします。
9. [確認と割り当て] を選択し、もう一度 [確認と割り当て] を選択します。

Azure PowerShellを使用して、Key Vault Crypto Service Encryption User ロールをユーザー割り当てマネージド ID に割り当てるには、次のコマンドレットを実行します。 <resource-group>、<identity-name>、および <key-vault-name> を独自の値に置き換えます。

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Azure CLIを使用して、Key Vault Crypto Service Encryption User ロールをユーザー割り当てマネージド ID に割り当てるには、次のコマンドを実行します。 <resource-group>、<identity-name>、および <key-vault-name> を独自の値に置き換えます。

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Azure ポータルを使用して既存のストレージ アカウントでカスタマー マネージド キーを構成するには、次の手順に従います。 これらのステップは自動キーバージョン更新を用いています。 手動の鍵バージョン更新を使うには、ステップ4で「Enter key URI」を選択し、キーバージョンを含むキー URI を入力してください。

1. ストレージ アカウントに移動します。
2. サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
3. 暗号化タイプについては、顧客管理キーを選択します。 ストレージ アカウントが CMK 用に既に構成されている場合は、[ キーの変更] を選択します。
4. [暗号化キー] で、[キー コンテナーから選択] を選択します。
5. キー コンテナーとキーを選択します。 キー ストアの種類には、キー コンテナーを選択してください。 鍵の保管庫と鍵を選んでから、「選択」を選びます。
6. [ID の種類] で、[ユーザー割り当て] を選択して、以前に作成したユーザー割り当てマネージド ID を使用します。
7. アイデンティティを選択します。 ユーザー割り当てのマネージド ID を検索して選択し、その後 「追加」を選択します。
8. 保存を選びます。

キーの自動バージョン更新 (推奨) でAzure PowerShellを使用して、既存のストレージ アカウントでカスタマー マネージド キーを構成するには、次のコマンドレットを実行します。 <resource-group>、<identity-name>、<storage-account-name>、<key-vault-name>、<key-name>を独自の値に置き換えます。

次のコマンドレットでは、以前に作成したユーザー割り当てマネージド ID を使用します。 代わりにストレージアカウントのシステムIDを使いたい場合は、IdentityTypeをSystemAssignedに設定し、Get-AzUserAssignedIdentity行、UserAssignedIdentityId、KeyVaultUserAssignedIdentityIdを削除してください。

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

自動更新の代わりに手動でキーバージョンを更新するには、KeyVersion = $key.Versionに$accountParamsを追加してください。

キーのバージョンの自動更新 (推奨) でAzure CLIを使用して、既存のストレージ アカウントでカスタマー マネージド キーを構成するには、次のコマンドを実行します。 <resource-group>、<identity-name>、<storage-account-name>、<key-vault-name>、<key-name>を独自の値に置き換えます。

次のコマンドでは、以前に作成したユーザー割り当てマネージド ID を使用します。 代わりにストレージ アカウントのシステム ID を使用する場合は、 --identity-type を SystemAssigned に設定し、 IDENTITY_RESOURCE_ID 変数、 --user-identity-id、および --key-vault-user-identity-idを省略します。

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

自動更新の代わりに手動のキー バージョン更新を使用するには、--encryption-key-version <key-version> コマンドにaz storage account updateを追加します。

Azure ポータルを使用して新しいストレージ アカウントのカスタマー マネージド キーを構成するには、次の手順に従います。 これらのステップは自動キーバージョン更新を用いています。 手動の鍵バージョン更新を使用するには、ステップ2で URIからキーを入力 を選択し、キーバージョンを含むキーURIを入力してください。

1. ストレージ アカウントの作成時に [暗号化] タブで、[暗号化の種類] に [カスタマー マネージド キー (CMK)] を選択します。

2. 暗号化鍵については、「鍵の保管庫と鍵を選択する」を選択してください。

3. サブスクリプションでは、Key Vault を含むサブスクリプションを選択してください。 ポータルは既定で別のサブスクリプションになるかもしれません。

4. キーストアの種類には、Key vault を選択します。

5. キー コンテナーとキーを選択します。

6. [ ユーザー割り当て ID] で、[ ID の選択] を選択します。 「ユーザー割り当てマネージド ID を選択する」ウィンドウが開きます。

7. 作成したユーザー割り当てマネージド ID を検索して選択してください。 新しいストレージ アカウントでは、システム割り当てマネージド ID を使用できません。

8. [] を選択し、[] を追加します。

   

9. 残りのタブを完成させ、「 レビューして作成」を選択し、その後 「作成」を選択します。

Azure PowerShellを使用してカスタマー マネージド キーを使用して新しいストレージ アカウントを作成するには、次のコマンドレットを実行します。 <resource-group>、<identity-name>、<storage-account-name>、<key-vault-name>、<key-name>、<region>を独自の値に置き換えます。 Kind と SkuName に異なる値を指定できます。

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

手動キーのバージョン更新を自動ではなく使うには、KeyVersion = $key.Versionに$accountParamsを追加してください。

Azure CLIを使用してカスタマー マネージド キーを使用して新しいストレージ アカウントを作成するには、次のコマンドを実行します。 <resource-group>、<identity-name>、<storage-account-name>、<key-vault-name>、<key-name>、<region>を独自の値に置き換えます。 --kindと--skuには異なる値を指定できます。

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

自動ではなく手動のキー バージョン更新を使用するには、--encryption-key-version <key-version> コマンドにaz storage account createを追加します。

Azure ポータルを使用してストレージ アカウントの構成を確認するには、次の手順に従います。

1. Azure portal で、ストレージ アカウントに移動します。
2. サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
3. 暗号化タイプが顧客管理鍵であることを確認しましょう。
4. [キーの選択] の情報が正しいことを確認します。

Azure PowerShellを使用してストレージ アカウントの構成を確認するには、次のコマンドレットを実行します。 <resource-group> と <storage-account-name> を独自の値に置き換えます。

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

KeySource が Microsoft.Keyvault であり、KeyVaultProperties にキー コンテナーの URI とキー名が表示されていることを確認します。

Azure CLIを使用して構成を確認するには、次のコマンドを実行します。 <resource-group> と <storage-account-name> を独自の値に置き換えます。

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

keySource が Microsoft.Keyvault であり、keyVaultProperties セクションにキー コンテナーの URI とキー名が表示されていることを確認します。

キーを作成し役割を割り当てるには、PowerShellまたはAzure CLIのステップを使ってください。 次に、Azureポータルでストレージアカウントを設定してください:

1. ストレージ アカウントに移動します。
2. サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
3. 暗号化タイプについては、顧客管理のキーを選択します。 ストレージアカウントがすでに顧客管理キーに設定されている場合は、「 キーの変更」を選択してください。
4. 暗号化キーでは、「鍵の保管庫から選択」を選択し、次に「鍵の保管庫と鍵を選択する」を選択してください。
5. 「キーストアタイプ」には「マネージド HSM」を選択してください。
6. 管理されているHSMとキーを選択し、次に「選択」を選びます。
7. アイデンティティ タイプではユーザー割り当てを選択し、次にユーザー割り当てマネージド ID を選択します。
8. 保存を選びます。

次のコマンドを実行します。 <hsm-name>、<key-name>、<resource-group>、<identity-name>、<storage-account-name>を独自の値に置き換えます。

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

マネージド HSM では、RSA はキー タイプ Add-AzKeyVaultKey で RSA-HSM キーを作成します。

次のコマンドを実行します。 <hsm-name>、<key-name>、<identity-name>、<resource-group>、<storage-account-name>を独自の値に置き換えます。

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Azure portal にサインインして、次の手順を実行します。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダーによって実行されます。

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

新しいマルチテナント Microsoft Entra アプリケーション登録を作成することも、既存のマルチテナント アプリケーション登録から開始することもできます。 既存のアプリケーション登録から始める場合は、アプリケーションのアプリケーション ID (クライアント ID) をメモします。

新しい登録を作成するには、次の手順に従います。

1. 検索ボックスで Microsoft Entra ID を検索します。 Microsoft Entra ID 拡張機能を見つけて選択します。

2. 左側のウィンドウから Manage > アプリの登録 を選択します。

3. [+ 新規登録] を選択します。

4. アプリケーションの登録の名前を指定して、[任意の組織ディレクトリ内のアカウント (任意の Microsoft Entra ディレクトリ - マルチテナント)] を選びます。

5. 登録を選択します。

6. アプリケーションの ApplicationId/ClientId を メモします。

   

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

フェデレーション ID 用資格情報として使用されるユーザー割り当てマネージド ID を作成します。

1. 検索ボックスで「マネージド ID」を検索します。 マネージド ID 拡張機能を見つけて選択します。

2. [+ 作成] を選択します。

3. マネージド ID のリソース グループ、リージョン、名前を指定します。

4. [Review + create](レビュー + 作成) を選択します。

5. デプロイが成功したら、ユーザー割り当てマネージド ID の Azure ResourceId をメモします。この ID は [プロパティ] にあります。 例:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

アプリケーションの ID を偽装できるように、ユーザー割り当てマネージド ID をアプリケーション上のフェデレーション ID 資格情報として構成します。

1. [Microsoft Entra ID] > [アプリの登録] > 自分のアプリに移動します。

2. [証明書とシークレット] を選択します。

3. [フェデレーション資格情報] を選択します。

   

4. [資格情報の追加] を選択します。

5. [フェデレーション資格情報のシナリオ] で、[マネージド ID] を選択します。

6. [マネージド ID の選択] をクリックします。 ウィンドウからサブスクリプションを選択します。 [マネージド ID] で、[ユーザー割り当てマネージド ID] を選択します。 [選択] ボックスで、先ほど作成したマネージド ID を検索し、ウィンドウの下部にある [選択] をクリックします。

   

7. [資格情報の詳細] で、資格情報の名前と説明 (省略可能) を指定し、[追加] を選択します。

   

Azure PowerShell を使用して ISV のテナントを構成するには、最新の Az モジュールをインストールします。 PowerShell のインストールの詳細については、PowerShellGet を使用した Windows への Azure PowerShell のインストールに関する記事を参照してください。

• Azure PowerShell をローカルで使用する場合は、次のようにします。
  • Az PowerShell モジュールの最新バージョンをインストールします。
  • Connect-AzAccount コマンドレットを使用して、Azure アカウントに接続します。
• Azure Cloud Shell を使用する場合は、次のようにします。
  • 詳細については、Azure Cloud Shell の概要に関するページを参照してください。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダー (ISV) によって実行されます。

サービス プロバイダーが Azure にサインインします

Azure PowerShell で、ISV のテナントにサインインし、アクティブなサブスクリプションを ISV のサブスクリプションに設定します。

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

Tenant1 でマルチテナント登録済みアプリケーションの名前を選択し、Azure ポータルでマルチテナント アプリケーションを作成します。

マルチテナント アプリケーションに対して指定した名前が、Tenant2 でアプリケーションを識別するために顧客によって使われます。 アプリのオブジェクト ID とアプリケーション ID をメモします。 これらの値は、後続のステップで必要になります。

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

ISV のテナントにサインインしてから、フェデレーション ID の資格情報として使われるユーザー割り当てマネージド ID を作成します。 新しいユーザー割り当てマネージドIDを作成するには、Microsoft.ManagedIdentity/userAssignedIdentities/write アクションを含むロールが割り当てられている必要があります。

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

アプリケーションの ID を偽装できるように、ユーザー割り当てマネージド ID をアプリケーション上のフェデレーション ID 資格情報として構成します。

PowerShell からフェデレーション ID 資格情報を構成するには、まず Az.Resources モジュールのバージョン 6.3.0 以降をインストールします。

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

• Azure Cloud Shell で Bash 環境を使用します。 詳細については、「Get started with Azure Cloud Shell」を参照してください。

  

• CLI 参照コマンドをローカルで実行する場合は、Azure CLI を インストール します。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。 詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。

  • ローカル インストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。 認証プロセスを完了するには、ターミナルに表示される手順に従います。 他のサインインオプションについては、「Azure CLI を使用して Azure に認証する」を参照してください。

  • 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。 拡張機能の詳細については、「Azure CLI で拡張機能を使用および管理する」を参照してください。

  • az version を実行して、インストールされているバージョンと依存ライブラリを検索します。 最新バージョンにアップグレードするには、az upgrade を実行します。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダーによって実行されます。

サービス プロバイダーが Azure にサインインします

Azure CLIを使用するには、Azureにサインインします。

az login

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

Tenant1 でマルチテナント アプリケーションの名前を選び、Azure portal でマルチテナント アプリケーションを作成します。

マルチテナント アプリケーションに対して指定した名前が、Tenant2 でアプリケーションを識別するために顧客によって使われます。 アプリのアプリケーション ID (またはクライアント ID)、アプリのオブジェクト ID、アプリのテナント ID をコピーします。 これらの値は、次の手順で使用します。

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

ISV のテナントにサインインしてから、フェデレーション ID の資格情報として使われるユーザー割り当てマネージド ID を作成します。 新しいユーザー割り当てマネージドIDを作成するには、Microsoft.ManagedIdentity/userAssignedIdentities/write アクションを含むロールが割り当てられている必要があります。

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

az ad app federated-credential create メソッドを実行して、アプリにフェデレーション ID 資格情報を構成し、外部 ID プロバイダーとの信頼関係を作成します。

フェデレーション ID 資格情報の api://AzureADTokenExchange 値として audience を使用します。 詳細については、API リファレンスを参照してください。

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Azure portal にサインインして、次の手順を実行します。

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーの登録済みアプリケーションを顧客のテナントにインストールするには、登録済みアプリからのアプリケーション ID で、サービス プリンシパルを作成します。 サービス プリンシパルは、次のいずれかの方法で作成できます。

• Microsoft Graph、Microsoft Graph PowerShell、Azure PowerShell、または Azure CLI を使用して、サービス プリンシパルを手動で作成します。
• 管理者の同意 URL を作成し、サービス プリンシパルを作成するためのテナント全体にわたる同意を付与します。 AppId を指定する必要があります。

顧客がキー保管庫を作成する

キー コンテナーを作成するには、ユーザーのアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

1. Azure ポータル メニューまたはホーム ページから、+ リソースの作成を選択します。 検索ボックスに「Key Vaults」と入力します。 結果の一覧から [Key Vaults] を選択します。 [キーボルト] ページで、[作成] を選択します。

2. [基本] タブで、サブスクリプションを選択します。 [リソース グループ] で、[新規作成] を選択し、リソース グループ名を入力します。

3. キー ボールトの一意の名前を入力してください。

4. リージョンと価格レベルを選択します。

5. 新しいキー コンテナーの消去保護を有効にします。

6. [アクセス ポリシー] タブで、[アクセス許可モデル] に [Azure ロールベースのアクセス制御] を選びます。

7. [確認および作成] 、 [作成] の順に選択します。

   

キー コンテナーの名前と URI を記録しておきます。キー コンテナーにアクセスするアプリケーションは。この URI を使う必要があります。

詳細については、「クイックスタート - Azure portal を使用して Azure キー コンテナーを作成する」を参照してください。

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

この手順により、暗号化キーを作成できるようになります。

1. キー コンテナーに移動し、左側のウィンドウから Access Control (IAM) を選択します。
2. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
3. Key Vault Crypto Officer を検索して選択します。
4. [メンバー] タブで、[ユーザー、グループ、またはサービス プリンシパル] を選択します。
5. [メンバー] を選択し、ユーザー アカウントを検索します。
6. Review + Assign を選択します。

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

1. Key Vault のプロパティ ページで、[キー] を選択します。
2. 生成/インポート を選択します。
3. [キーの作成] 画面で、キーの名前を指定します。 他の値は既定値のままにしておきます。
4. を選択してを作成します。
5. キー URI をコピーします。

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

Azure RBAC ロール Key Vault Crypto Service Encryption User をサービス プロバイダーの登録済みアプリケーションに割り当てて、key vaultにアクセスできるようにします。

1. キー コンテナーに移動し、左側のウィンドウから Access Control (IAM) を選択します。
2. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
3. Key Vault Crypto Service Encryption User を検索して選択します。
4. [メンバー] タブで、[ユーザー、グループ、またはサービス プリンシパル] を選択します。
5. [メンバー] を選択し、サービス プロバイダーからインストールしたアプリケーションのアプリケーション名を検索します。
6. Review + Assign を選択します。

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

Azure PowerShell を使用してクライアントのテナントを構成するには、最新の Az モジュールをインストールします。 PowerShell のインストールの詳細については、PowerShellGet を使用した Windows への Azure PowerShell のインストールに関する記事を参照してください。

• Azure PowerShell をローカルで使用する場合は、次のようにします。
  • Az PowerShell モジュールの最新バージョンをインストールします。
  • Connect-AzAccount コマンドレットを使用して、Azure アカウントに接続します。
• Azure Cloud Shell を使用する場合は、次のようにします。
  • 詳細については、Azure Cloud Shell の概要に関するページを参照してください。

顧客がAzureにサインインする

Azure PowerShell で、顧客のテナントにサインインし、アクティブなサブスクリプションを顧客のサブスクリプションに設定します。

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーのマルチテナント アプリケーションのアプリケーション ID を受け取ったら、サービス プリンシパルを作成して、テナント Tenant2 にアプリケーションをインストールします。

キー ボールトを作成する予定のテナントで、次のコマンドを実行してください。

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

顧客がキー保管庫を作成する

キー コンテナーを作成するには、顧客のアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます。 この手順により、ユーザーはキー コンテナーと暗号化キーを作成できるようになります。 次の例では、現在サインインしているユーザーにロールを割り当てます。

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

Azure RBAC ロール Key Vault Crypto Service Encryption User を、上記で作成したサービス プリンシパル経由でサービス プロバイダーの登録済みアプリケーションに割り当てて、キー コンテナーにアクセスできるようにします。

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

• Azure Cloud Shell で Bash 環境を使用します。 詳細については、「Get started with Azure Cloud Shell」を参照してください。

  

• CLI 参照コマンドをローカルで実行する場合は、Azure CLI を インストール します。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。 詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。

  • ローカル インストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。 認証プロセスを完了するには、ターミナルに表示される手順に従います。 他のサインインオプションについては、「Azure CLI を使用して Azure に認証する」を参照してください。

  • 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。 拡張機能の詳細については、「Azure CLI で拡張機能を使用および管理する」を参照してください。

  • az version を実行して、インストールされているバージョンと依存ライブラリを検索します。 最新バージョンにアップグレードするには、az upgrade を実行します。

顧客が Azure にサインインする

Azure CLIを使用するには、Azureにサインインします。

az login

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーのマルチテナント アプリケーションのアプリケーション ID を受け取ったら、次のコマンドを使用して、テナント Tenant2 にアプリケーションをインストールします。 アプリケーションをインストールすると、テナントにサービス プリンシパルが作成されます。

キー ボールトを作成する予定のテナントで、次のコマンドを実行してください。

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

顧客がキー保管庫を作成する

キー コンテナーを作成するには、顧客のアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

この手順により、キー コンテナーと暗号化キーを作成できるようになります。

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

Azure RBAC ロール Key Vault Crypto Service Encryption User を、上記で作成したサービス プリンシパル経由でサービス プロバイダーの登録済みアプリケーションに割り当てて、登録済みアプリケーションからキー コンテナーにアクセスできるようにします。

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

Azure portal で既存のストレージ アカウント用のクロステナントのカスタマー マネージド キーを構成するには、次の手順を実行します。

1. ストレージ アカウントに移動します。

2. [セキュリティとネットワーク] で、[暗号化] を選択します。 デフォルトでは、鍵管理はMicrosoft管理キーに設定されています。

3. [カスタマー マネージド キー] オプションを選択します。

4. Key Vault から選択 オプションを選択します。

5. [キー URI を入力] を選択し、キー URI を指定します。 Azure Filesで新しいキーのバージョンを自動的にチェックして更新するには、URIからキーのバージョンを省略してください。

6. キー コンテナーとキーを含むサブスクリプションを選択します。

7. [ID タイプ] フィールドで、[ユーザー割り当て] を選択し、前に作成したフェデレーション ID 資格情報を使用してマネージド ID を指定します。

8. 詳細セクションを展開し、以前ISVのテナントで作成したマルチテナント登録アプリケーションを選択します。

   

9. 変更を保存。

顧客のテナント内のキーボールトからキーを指定すると、Azureポータルは顧客管理キーがそのキーで設定されていることを示します。 また、キーのバージョンの自動更新が有効になっていることが示されて、現在暗号化に使用されているキーのバージョンが表示されます。 ポータルはまた、キーボールトへのアクセスを認可するために使用される管理 ID の種類、管理 ID のプリンシパル ID、マルチテナント アプリケーションのアプリケーション ID も表示します。

PowerShellで既存ストレージアカウントのクロステナント顧客管理キーを設定するには、まず Az.Storage PowerShellモジュール(バージョン5.1.0以降)をインストールしてください。 このモジュールは、Az PowerShell モジュール バージョン 9.1.0 以降と共にインストールされます。

次に、Set-AzStorageAccountを呼び出し、ISVのサブスクリプションで以前に構成したユーザー割り当てマネージド ID のリソース ID と、ISVのサブスクリプションで以前に構成したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 お客様のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Azure CLI を使用して既存のストレージ アカウント用のクロステナントのカスタマー マネージド キーを構成するには、まず Azure CLI バージョン 2.42.0 以降をインストールします。 Azure CLI のインストールに関する詳細については、「Azure CLI をインストールする方法」を参照してください。

次に、az storage account updateを呼び出し、ISV のサブスクリプションで以前に構成したユーザー割り当てマネージド ID のリソース ID と、ISV のサブスクリプションで以前に構成したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 お客様のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Azure portal で新しいストレージ アカウント用のクロステナントのカスタマー マネージド キーを構成するには、次の手順を実行します。

1. Azureポータルで、ISVのテナント内のストレージアカウントページに行き、「作成」ボタンを選択して新しいアカウントを作成します。

2. 「 クラシックファイル共有の作成 」で示された手順に従い、「 基本」「 上級」「 ネットワーク 」「 データ保護 」タブのフィールドを埋めてください。

3. [暗号化] タブの [カスタマー マネージド キーのサポートを有効にする] フィールドで、カスタマー マネージド キーのサポートを有効にするサービスを指定します。

4. [Encryption type] (暗号化の種類) フィールドで、[Customer-managed keys (CMK)] (カスタマー マネージド キー (CMK)) を選択します。

5. [暗号化キー] フィールドで、[Enter key from key vault] (キー コンテナーからキーを入力する) を選択し、キー URI を指定します。 Azure Filesで新しいキーのバージョンを自動的にチェックして更新する場合は、URIからキーのバージョンを省略してください。

6. [ユーザー割り当て ID] フィールドで、ISV のテナントで以前に作成したユーザー割り当てマネージド ID を検索します。

7. 詳細セクションを展開し、以前ISVのテナントで作成したマルチテナント登録アプリケーションを選択します。

   

8. [確認] ボタンを選択して検証し、アカウントを作成します。

PowerShell で新しいストレージ アカウントのテナント間のカスタマー マネージド キーを構成するには、まず Az.Storage PowerShell モジュール のバージョン 5.1.0以降 をインストールします。 このモジュールは、Az PowerShell モジュール バージョン 9.1.0 以降と共にインストールされます。

次に、New-AzStorageAccountを呼び出し、以前 ISV のサブスクリプションで設定したユーザー割り当てマネージド ID のリソース ID と、以前 ISV のサブスクリプションで設定したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 お客様のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Azure CLI を使用して新しいストレージ アカウントのクロステナントのカスタマー マネージド キーを構成するには、まず Azure CLI バージョン2.42.0 以降をインストールします。 Azure CLI のインストールに関する詳細については、「Azure CLI をインストールする方法」を参照してください。

次に、az storage account createを呼び出し、ISVのサブスクリプションで以前に構成したユーザー割り当てマネージド ID のリソース ID と、ISVのサブスクリプションで以前に構成したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 お客様のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Azure portal を使用してキー バージョンを手動でローテーションするには、次の手順に従います。

1. キー コンテナーに移動します。 サービス メニューの [ オブジェクト] で [キー] を選択 します。
2. キーを選択し、新しいキーバージョンを選択します。 キー識別子の値をコピーしてください。 この値にはキーバージョンも含まれます。
3. ストレージ アカウントに移動します。 サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
4. [キーの変更] を選びます。
5. 暗号化キーでは、キー URI を入力 を選択し、キー識別子を キー URI に貼り付けます。
6. 保存を選びます。

Azure PowerShellを使用してキーのバージョンを手動でローテーションするには、次のコマンドレットを実行します。 <resource-group>、<storage-account-name>、<key-vault-name>、および <key-name> を独自の値に置き換えます。

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLIを使用してキーのバージョンを手動でローテーションするには、次のコマンドを実行します。 <storage-account-name>、<resource-group>、<key-vault-name>、および <key-name> を独自の値に置き換えます。

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Azure ポータルを使用してキーを変更するには、次の手順に従います。

1. ストレージ アカウントに移動します。
2. サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
3. [キーの変更] を選びます。
4. キー コンテナーとキーを選択します。 キーストアの種類 には キー コンテナー を選択してください。 鍵の保管庫と新しい鍵を選んでから、「選択」 を選びます。
5. 保存を選びます。

Azure PowerShellを使用してキーを変更するには、次のコマンドレットを実行します。 <resource-group>、<storage-account-name>、<key-vault-name>、および <new-key-name> を独自の値に置き換えます。

コマンドレットは KeyVersion を空の値に設定し、自動キーバージョン更新が有効になります (推奨)。 KeyVersionを省略してストレージアカウントが以前に指定したキーバージョンを使用している場合、コマンドレットはそのバージョンを保持し、失敗します。なぜなら、新しいキーにはそのバージョンが存在しないためです。 代わりに手動でキー バージョン更新を使用するには、KeyVersion を $key.Version に設定してください。

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLIを使用してキーを変更するには、次のコマンドを実行します。 <storage-account-name>、<resource-group>、<key-vault-name>、および <new-key-name> を独自の値に置き換えます。

このコマンドは --encryption-key-version を空の値に設定し、自動キーバージョン更新(推奨)が有効になります。 --encryption-key-versionを省略してストレージアカウントで以前指定したキーバージョンが使用されている場合、コマンドはそのバージョンを保持したまま失敗します。なぜなら、新しいキーにはそのバージョンが存在しないためです。 手動キーバージョン更新を使う場合は、 --encryption-key-version を新しいキーのバージョンに設定してください。

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Azure ポータルを使用してキーを無効にするには、次の手順に従います。

1. Azureポータルでキーボールトに移動します。
2. サービス メニューの [ オブジェクト] で [キー] を選択 します。
3. キーを右クリックし、[無効] を選択します。

Azure PowerShellを使用してキーを無効にするには、次のコマンドレットを実行します。 <key-vault-name> と <key-name> を独自の値に置き換えます。

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Azure CLIを使用してキーを無効にするには、次のコマンドを実行します。 <key-vault-name> と <key-name> を独自の値に置き換えます。

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Azure ポータルを使用してMicrosoftマネージド キーに戻すには、次の手順に従います。

1. Azure portal で、ストレージ アカウントに移動します。
2. サービス メニューの [ セキュリティとネットワーク] で、[ 暗号化] を選択します。
3. [暗号化の種類] を [Microsoft マネージド キー] に変更します。
4. 保存を選びます。

Azure PowerShellを使用してMicrosoftマネージド キーに戻すには、次のコマンドレットを実行します。 <resource-group> と <storage-account-name> を独自の値に置き換えます。

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLIを使用してMicrosoftマネージド キーに戻すには、次のコマンドを実行します。 <resource-group> と <storage-account-name> を独自の値に置き換えます。

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage