Azure でのキー管理

注

ゼロ トラストは、"明示的に検証する"、"最小限の特権アクセスを使用する"、"侵害を想定する" の 3 つの原則で構成されるセキュリティ戦略です。 キー管理を含むデータ保護では、"最小限の特権アクセスを使用する" 原則がサポートされています。 詳細については、「ゼロ トラストとは」を参照してください。

Azureはプラットフォーム管理および顧客管理の暗号鍵をサポートしています。

Azureはプラットフォーム管理キー(PMK)を生成、保存、管理します。 PMK を操作する必要はありません。 たとえば、Azure Data Encryption at Rest に使用されるキーは、既定では PMK です。

カスタマーマネージドキー(CMK)は、作成、削除、使用、管理を行うキーです。 CMK は、顧客所有のキー コンテナーまたはハードウェア セキュリティ モジュール (HSM) に格納できます。 Bring Your Own Key(BYOK)は、外部ストレージから鍵をAzureの鍵管理サービスにインポートするCMKシナリオです。 詳細については、「 Azure Key Vault: Bring your own key specification」を参照してください。

キー暗号化キー (KEK) は、暗号化する 1 つ以上の暗号化キーへのアクセスを制御する主キーです。

CMKはオンプレミスに保存することも、より一般的にはクラウドキー管理サービスに保存できます。

Azure キー管理サービス

Azure には、Azure Key Vault、Azure Key Vault Managed HSM、Azure Cloud HSM、Azure Payment HSM など、クラウドにキーを格納および管理するためのオプションがいくつか用意されています。 これらのオプションは、FIPS準拠レベル、管理のオーバーヘッド、そして意図される用途において異なります。

適切な鍵管理ソリューションを選ぶための包括的なガイドについては、「 How to Choose the Right Key Management Solution」をご覧ください。

Azure Key Vault (Standard tier)

Azure Key Vault 標準層は、FIPS 140-2 レベル1認証済みのマルチテナントクラウド鍵管理サービスです。 非対称鍵、秘密、証明書の保存に使えます。 Azure Key Vault標準層に保存されている鍵はソフトウェア保護されています。 静止時の暗号化やカスタムアプリケーションに使えます。 Azure Key Vault標準ティアは、モダンなAPIと広範な地域展開およびAzureサービスとの統合を提供します。 詳細については、Azure Key Vault の概要に関する記事を参照してください。

Azure Key Vault (Premium tier)

Azure Key Vaultプレミアムティアは、FIPS 140-3のレベル3認証済み、PCI準拠のマルチテナントHSMサービスです。 非対称鍵、秘密、証明書を保存するために使います。 Marvell LiquidSecurity HSMを用いて、安全なハードウェア境界内に鍵を保存します。 Microsoft は、基になる HSM を管理および運用します。 Azure Key Vaultプレミアムティアに保存された鍵を、静止時の暗号化やカスタムアプリケーションに使います。 Azure Key Vaultプレミアムティアは、モダンなAPI、広範な地域展開、Azureサービスとの統合も提供しています。

Important

Azure統合HSMは、サポートされている仮想マシン(VM)における暗号操作のための別のAzureインフラストラクチャ機能です。 この機能は、8個以上のvCPUを持つWindows Trusted Launch VMに対応した対応AMD v7 VM SKUで一般的に利用可能であり、顧客のオプトインが必要です。 詳細については、Azure統合HSMの概要をご覧ください。

もしAzure Key Vaultプレミアムティアの顧客で、鍵主権、シングルテナンシー、またはより高い暗号運用/秒あたりの処理を求めているなら、代わりにAzure Key VaultマネージドHSMを検討してください。 Key VaultプレミアムティアはMicrosoftが運用する共有HSMを使用しています。 顧客所有のルート・オブ・トラストが必要なワークロードにはマネージドHSMを使いましょう。 詳細については、Azure Key Vault の概要に関する記事を参照してください。

注

Azure Key Vaultプレミアムティアでは、ソフトウェア保護キーとHSM保護キーの両方を作成できます。 Azure Key Vaultのプレミアムティアを利用する場合は、作成する鍵がHSM保護されているか必ず確認してください。

Azure Key Vault マネージド HSM

Azure Key Vault Managed HSMは、FIPS 140-3のレベル3認証済みのシングルテナントHSMで、静止時の暗号化、キーレスSSL/TLSオフロード、外部鍵管理、カスタムアプリケーションのためのHSMを完全に制御できます。 外部鍵管理はプレビュー段階で、ラップおよびアンラップ操作のみをサポートします。 Azure Key Vault Managed HSM は、機密キーを提供する唯一のキー管理ソリューションです。 3つのHSMパーティションのプールを受け取り、これらは1つの論理的かつ高可用性のHSMアプライアンスとして機能します。 サービスフロントエンドはKey Vault APIを通じて暗号機能を公開します。 MicrosoftはHSMのプロビジョニング、パッチ適用、保守、ハードウェアフェイルオーバーを担当しますが、キーへのアクセス権はありません。 顧客はセキュリティドメインを所有し管理しており、これがHSMの信頼の根源となります。 セキュリティドメインの喪失は、すべての鍵が永久的かつ回復不可能な喪失をもたらします。 Azure Key Vault Managed HSMはAzure SQL、Azure Storage、Azure Information Protection、Customer Key for Microsoft 365と統合されています。 また、F5およびNGINX対応のキーレスTLSもサポートしています。 詳細については、「Azure Key Vault Managed HSM の概要を参照してください。

Azure Cloud HSM

Azure Cloud HSMは、FIPS 140-3レベル3認証を受けた非常に利用可能なシングルテナントサービスで、HSMに対する完全な管理権限を提供します。 Azure Cloud HSM は、Azure Dedicated HSM の後継であり、暗号化キーを格納して暗号化操作を実行するための、セキュリティで保護された顧客所有の HSM クラスターを提供します。 Microsoft は、HSM インフラストラクチャの高可用性、修正プログラムの適用、およびメンテナンスを処理します。 このサービスは 、PKCS#11、Apache、NGINX、F5 BIG-IPを用いたSSL/TLSオフロード、証明書機関(CA)秘密鍵保護、透過データ暗号化(TDE)、文書およびコード署名など、さまざまなアプリケーションをサポートしています。 Azure Cloud HSMは、PKCS#11、OpenSSL、Java Cryptography Architecture(JCA)、Java Cryptography Extension(JCE)、Cryptography API: Next Generation(CNG)、キーストレージプロバイダー(KSP)など、業界標準のAPIをサポートしています。 これらのAPIにより、Azure Cloud HSMはオンプレミス、Azure Dedicated HSM、AWS CloudHSMからのアプリケーション移行に適した選択肢となっています。 詳細については、Azure Cloud HSMの概要をご覧ください。

Azure Payment HSM

Azure Payment HSMは、FIPS 140-2レベル3およびPCI HSM v3認証済みのシングルテナントのベアメタルHSMです。 Microsoftデータセンターで支払い用HSMアプライアンスをリースし、支払いPIN処理、支払い認証情報発行、鍵および認証データのセキュリティ、機密データ保護などを担当します。 サービスは PCI DSS、PCI 3DS、および PCI PIN に準拠しています。 Azure Payment HSMはシングルテナントのHSMを提供しているため、完全な管理権限とHSMへの独占的アクセス権を持っています。 MicrosoftがHSMを割り当てた後は、Microsoftは顧客データにアクセスできなくなります。 HSMが不要になると、MicrosoftはHSMをリリースした直後に顧客データをゼロ化・消去し、プライバシーとセキュリティを維持します。 詳細はAzure Payment HSMの概要をご覧ください。

Azure Dedicated HSM (廃止)

Azure Dedicated HSM は廃止予定です。 Microsoft は、2028 年 7 月 31 日まで既存の専用 HSM のお客様を完全にサポートします。 Microsoftは新規顧客のオンボーディングリクエストを受け付けていません。 詳細および必要な対応については、Azure Dedicated HSMの退職通知をご覧ください。

Azure Dedicated HSMのユーザーであれば、「Azure Dedicated HSMからAzure Key Vault管理HSMまたはAzure Cloud HSMへの移行」を参照してください。 Azure Cloud HSM が一般公開され、Azure Dedicated HSM の後継として使用できるようになりました。

価格

Azure Key Vaultの標準およびプレミアムティアはトランザクションベースで請求され、プレミアムハードウェアバックアップキーには毎月の追加料金がかかります。 Azure Key Vault Managed HSM、Azure Cloud HSM、Azure Payment HSM はトランザクションベースで課金されません。 代わりに、固定時間料金で請求される常時稼働のデバイスです。 詳細な価格情報については、 Key Vault の価格、 Cloud HSM の価格、 および Payment HSM の価格に関する記事を参照してください。

サービスの制限

Azure Key Vault Managed HSM、Azure Cloud HSM、Azure Payment HSM では、専用の容量が提供されます。 Azure Key Vaultの標準およびプレミアムティアはマルチテナント対応で、スロットリング制限があります。 サービスの制限については、 Key Vault サービスの制限 と Cloud HSM サービスの制限に関する説明を参照してください。

保存時の暗号化

Azure Key Vault and Azure Key Vault Managed HSM は Azure services および Microsoft 365 for customer-managed keys と統合されています。 これらのサービスに格納されている残りのデータの暗号化には、Azure Key Vault と Azure Key Vault Managed HSM で独自のキーを使用できます。 Microsoftインフラ外に物理的にキー資料を置くことを義務付ける規制や契約上の要件がある組織に対して、Azure Key VaultマネージドHSMは外部キー管理もサポートしています。 外部鍵管理はプレビュー段階で、鍵の暗号鍵はAzure外の顧客操作のHSMに保管されています。 Azure Cloud HSMおよびAzure Payment HSMはインフラストラクチャ・ア・ア・サービス(IaaS)の提供であり、Azure プラットフォーム・アズ・ア・サービス(PaaS)やソフトウェア・アズ・ア・サービス(SaaS)とは統合されていません。 Azure Key Vault と Azure Key Vault Managed HSM を使用した保存時の暗号化の概要については、保存 時の Azure Data Encryption に関するページを参照してください。

API

Azure Cloud HSMはPKCS#11、OpenSSL、JCA、JCE、CNG、KSP APIをサポートしています。 Azure Payment HSM では、HSM の管理と暗号化操作に Thales payShield インターフェイスが使用されます。 Azure Key Vault と Azure Key Vault Managed HSM では、これらの API はサポートされていません。 代わりに、Azure Key Vault REST API を使用し、SDK のサポートを提供します。 Azure Key Vault API の詳細については、「Azure Key Vault REST API リファレンス」参照してください。

次のステップ

  • Last updated on