Azureには、クラウドでの暗号化キーのストレージと管理に関するいくつかのソリューション (Azure Key Vault (Standard および Premium オファリング)、managed HSM、Azure Cloud HSM、Azure Payment HSM のAzure Key Vaultが用意されています。 この記事は、シナリオ、要件、業界に基づいて適切なソリューションを選択するのに役立ちます。
主要な管理概念の概要と各ソリューションの詳細な説明については、Azure の
キー管理ソリューションを絞り込むには、一般的な高レベルの要件とキー管理シナリオに基づいてフローチャートに従います。 特定の要件に基づいて以下の表も利用できます。 どちらかのリソースが複数の製品を提案したり、選択を検証したい場合は、フローチャートと表を組み合わせて最終決定を下してください。 類似組織の一般的な選択肢を比較するには、業界セグメント別に共通する鍵管理ソリューションの表をご覧ください。
シナリオ別にAzureキー管理ソリューションを選択する
次の表では、一般的な要件とユース ケースのシナリオと、推奨されるAzureキー管理ソリューションについて説明します。
このチャートでは、次の一般的な要件が示されています。
- FIPS-140 は、さまざまなレベルのセキュリティ要件を含む米国政府の標準です。 詳細については、Federal Information Processing Standards (FIPS) 140 に関するページを参照してください。
- "キー主権" は、お客様の組織がキーを完全かつ排他的に管理できることであり、キーにアクセスできるユーザーやサービスの管理、キー管理ポリシーなどが含まれます。
- シングルテナンシーとは 、複数の組織間で共有されるインスタンスではなく、各顧客向けに展開される単一の専用インスタンスを指します。 単一テナント商品の必要性は、金融サービス業界で内部コンプライアンス要件としてしばしば見られます。
また、次のようなさまざまなキー管理のユース ケースにも言及しています。
- Azure IaaS、PaaS、SaaSモデルは通常、静止時の暗号化を可能にします。 Microsoft 365などのアプリケーション、Microsoft Purview Information Protection;ストレージ、分析、サービスバス機能のためにクラウドを利用するプラットフォームサービス;クラウド上でオペレーティングシステムやアプリケーションをホスト・展開するインフラストラクチャサービスは、静止時暗号化を使用しています。 Azure Storage と Microsoft Entra は、静止時の暗号化に顧客管理キーを使用しています。 最高レベルのセキュリティを確保するには、HSMバックアップの3072ビットまたは4096ビットRSAキーを使用します。 顧客管理のキーシナリオでは、推奨最低限にAzure Key Vault Premiumを使用してください。 キーの主権には、Azure Key Vault Managed HSM を使用します。 規制や契約上の要件で鍵暗号鍵(KEK)が物理的にMicrosoftのインフラ外に存在することが義務付けられている場合、マネージドHSM外部鍵管理(プレビュー)は、Azure外の顧客所有・顧客運用HSMの前で、顧客が運営する外部鍵管理(EKM)プロキシにラップとアンラップの操作を委譲できます。 外部鍵管理は、Microsoftのインフラ外での物理的な鍵管理が必須の場合のみ使用してください。 外部鍵管理はラップ&アンラップのみをサポートしており、マネージドHSMサービスレベルアグリーメント(SLA)はこれをカバーしていません。 保存時の暗号化の詳細については、「Azure の保存データの暗号化」を参照してください。
- Azure Key Vault Managed HSM と Azure Cloud HSM は SSL/TLS オフロードをサポートします。 Azure Cloud HSM は、Azure 仮想マシン 上で実行される Apache、NGINX、F5 BIG-IP による従来の SSL/TLS オフロードをサポートしています。 Azure Key Vault Managed HSMは、F5およびNGINXを用いたKeyless TLSに対して高可用性とセキュリティを提供します。
- リフト・アンド・シフトとは、オンプレミスのPKCS#11アプリケーションをAzure 仮想マシンに移行し、Oracle transparent data encryption(TDE)などのソフトウェアをAzure 仮想マシンで実行するシナリオを指します。 Azure Payment HSMは、支払いPIN処理が必要なリフト&シフトをサポートしています。 Azure Cloud HSMは他のすべてのシナリオをサポートしています。 完全なネイティブPKCS#11、JCA/JCE、CNG/KSPのサポートはAzure Cloud HSMでのみ利用可能です。 Azure Key Vault Managed HSMは、F5およびNGINXを用いたTLSオフロードシナリオに対して限定的なPKCS#11サポートを提供します。
- "支払い用暗証番号 (PIN) 処理" には、カードとモバイル支払の承認と 3D セキュアで保護された認証、PIN の生成と管理と検証、カードやウェアラブルや接続されたデバイスの支払い資格情報の発行、キーと認証データのセキュリティ保護、ポイントツーポイント暗号化、セキュリティ トークン化、EMV 決済トークン化のための機密データ保護が含まれます。 これには、PCI DSS、PCI 3DS、PCI PIN などの認証も含まれます。 これらの認定をサポートしているのはAzure Payment HSMだけです。
フローチャートの結果は、ニーズに最適なソリューションを明らかにするための出発点になります。
キー管理ソリューションの比較
Azureは複数のキー管理ソリューションを提供しているため、高レベルの要件と管理責任の両方に基づいて製品を選択できます。
Microsoftはすべてのソリューションにおけるプロビジョニングとホスティングを管理しています。 鍵の生成と管理、役割や権限の付与、そしてすべてのソリューションにおける監視と監査を担当します。
サービスの特性と責任
次の表を使用して、各サービスのしくみと、だれが何を管理しているかを比較します。 この管理責任のトレードオフは、顧客の責任が最も少ないAzure Key Vaultから、最も多いAzure Payment HSMまで及びます。
| Azure Key Vault Standard | Azure Key Vault Premium | Azure Key Vault Managed HSM | Azure Cloud HSM | Azure Payment HSM | |
|---|---|---|---|---|---|
| サービス モデル | PaaS | PaaS | PaaS | IaaS スタイルの HSM サービス | IaaS スタイルの HSM サービス |
| 認証 | Microsoft Entra ID | Microsoft Entra ID | Microsoft Entra ID | HSM 認証 (パスワード) | HSM 認証 (パスワード) |
| HSM 管理制御 | Microsoft | Microsoft | カスタマー | カスタマー | カスタマー |
| 修正プログラムの適用とメンテナンス | Microsoft | Microsoft | Microsoft | Microsoft | カスタマー |
| サービスの正常性とハードウェアのフェールオーバー | Microsoft | Microsoft | 共有 | 共有 | お客様 |
| ビジネス継続性 (リージョン内) | 自動 | 自動 | 自動 | 自動 | お客様 |
| ディザスター リカバリー (リージョン間) | 自動 | 自動 | 手動 | 手動 | 手動 |
| バックアップと復元 | 組み込みのサービス バックアップ | 組み込みのサービス バックアップ | サービス管理済み | HSM の手動バックアップ | HSM の手動バックアップ |
意思決定の基準
次の表を使用して、すべてのソリューションを並べて比較します。 各質問に回答して、要件を満たすソリューションを特定します。
| Azure Key Vault Standard | Azure Key Vault Premium | Azure Key Vault Managed HSM | Azure Cloud HSM | Azure Payment HSM | |
|---|---|---|---|---|---|
| どのレベルのコンプライアンスが必要ですか? | FIPS 140-2 レベル 1 | FIPS 140-3 レベル3† | FIPS 140-3 レベル3、PCI DSS、PCI 3DS | FIPS 140-3 レベル 3 | FIPS 140-2 レベル3、PCI HSM v3、PCI PTS HSM V3、PCI DSS、PCI 3DS、PCI PINです |
| キー主権が必要ですか? | いいえ | いいえ | はい | はい | はい |
| 1 つのテナントが必要ですか? | いいえ | いいえ | はい | はい | はい |
| ご自分のユース ケースはどれですか? | 静止時の暗号化、顧客管理鍵、カスタムアプリケーション | 静止時の暗号化、顧客管理鍵、カスタムアプリケーション | 静止時の暗号化、SSL/TLSオフロード、顧客管理鍵、外部鍵管理(プレビュー;ラップ/アンラップのみ)、カスタムアプリケーション | リフト&シフト、PKCS#11、SSL/TLSオフロード、TDE、コード署名 | 支払いPIN処理、カスタムアプリケーション |
| HSM ハードウェア保護が必要ですか? | いいえ | はい | はい | はい | はい |
| どのような種類の オブジェクト を格納する必要がありますか? | 非対称鍵、秘密、証明書 | 非対称鍵、秘密、証明書 | 非対称鍵と対称鍵のみ‡ | 非対称鍵と対称鍵、証明書 | [キー] |
| 専用容量が必要ですか? | いいえ | いいえ | はい | はい | はい |
| 信頼の基盤を顧客が制御することが必要ですか? | いいえ | いいえ | はい | はい | はい |
| 予算はどのくらいですか? | $ | $$ | $$$ | $$$ | $$$$ |
業界セグメント別の一般的なキー管理ソリューションの使用
以下の表は、業界セグメント別に一般的な鍵管理ソリューションを示しています。
| 産業 | Suggested Azure ソリューション | 推奨されるソリューションに関する考慮事項 |
|---|---|---|
| 銀行、政府、その他厳しく規制された業界など、厳格なセキュリティおよびコンプライアンス要件を持つ企業や組織。 | Azure Key Vault マネージド HSM | Azure Key Vault Managed HSMは、FIPS 140-3レベル3準拠およびeコマース向けのPCI準拠です。 Azure Key Vault Managed HSMはPCI DSS 4.0の暗号化をサポートし、HSMバックアップキー、鍵主権、シングルテナンシーを含みます。 |
| 顧客のクレジットカードを外部決済処理業者やゲートウェイに保存、処理、送信する必要があるダイレクト・トゥ・コンシューマーのeコマース加盟店で、PCI準拠のソリューションが必要です。 | Azure Key Vault マネージド HSM | Azure Key Vault Managed HSMは、FIPS 140-3レベル3準拠およびeコマース向けのPCI準拠です。 Azure Key Vault Managed HSMはPCI DSS 4.0の暗号化をサポートし、HSMバックアップキー、鍵主権、シングルテナンシーを含みます。 |
| 金融サービスプロバイダー、発行会社、カードアクワイアラー、カードネットワーク、決済ゲートウェイ/PSP、またはPCIおよび複数の主要なコンプライアンスフレームワークを満たすシングルテナントサービスを求める3DSソリューションプロバイダー。 | Azure Payment HSM | Azure Payment HSMはFIPS 140-2レベル3、PCI HSM v3、PCI DSS、PCI 3DS、PCI PIN準拠です。 Azure Payment HSMは、支払い処理における一般的な内部コンプライアンス要件であるキーソブリンティおよびシングルテナンシーを提供します。 Azure Payment HSMは、完全な支払い取引とPIN処理をサポートしています。 |
| クラウドネイティブアプリケーションのプロトタイプを目指す初期段階のスタートアップ。 | Azure Key Vault Standard（アジュールキー・ボールトスタンダード） | Azure Key Vault Standard では、ソフトウェアを使用したキーがエコノミー価格で提供されます。 |
| クラウドネイティブアプリケーションを本番環境に導入しようとしているスタートアップ。 | Azure Key Vault Premium、Azure Key Vault Managed HSM | Azure Key Vault PremiumとAzure Key Vault Managed HSMの両方がHSMバックキー*を提供しており、クラウドネイティブアプリケーションの構築に適しています。 |
| アプリケーションをAzure 仮想マシンやHSMに移行したいIaaSの顧客です。 | Azure Cloud HSM | Azure Cloud HSMは特にIaaSシナリオをサポートしており、FIPS 140-3レベル3準拠でキーソブリティおよびシングルテナンシーを遵守しています。 Azure Cloud HSMは、オンプレミスHSM、Azure Dedicated HSM、AWS CloudHSMからの移行など、PKCS#11サポートが必要なリフト・アンド・シフト移行に適しています。 Azure Cloud HSMはAzure PaaS/SaaSサービスと統合されていません。 そのような場合は、代わりにAzure Key Vault Managed HSMを使いましょう。 |
注
* Azure Key Vault Premium では、ソフトウェアで保護されたキーと HSM で保護されたキーの両方を作成できます。 Azure Key Vault Premiumを使用する場合は、作成する鍵がHSM保護されているか確認してください。
HSM プラットフォーム 2 で作成† Azure Key Vault Premium キーは FIPS 140-3 レベル 3 です。 以前の HSM プラットフォーム 1 で作成されたキーは FIPS 140-2 レベル 2 です。 詳細については、「 キーについて」を参照してください。
‡ Azure Key Vault Managed HSM には暗号化キーのみが格納されます。 Key Vault コンテナーとは異なり、シークレットや証明書はサポートされていません。
技術仕様やユース ケースなど、各Azureキー管理ソリューションの詳細については、「Azure の
