この記事では、仮想マシンの Azure のコア セキュリティ機能の概要について説明します。
Azure 仮想マシンは、幅広いコンピューティングソリューションをアジャイルな方法で展開するのに役立ちます。 このサービスは、Microsoft Windows、Linux、Microsoft SQL Server、Oracle、IBM、SAP、および Azure BizTalk Services をサポートします。 ほぼすべてのオペレーティング システムに、任意のワークロードと任意の言語をデプロイできます。
Azure VM は、物理ハードウェアを購入して保守することなく、仮想化の柔軟性を提供します。 高度にセキュリティで保護されたデータセンターでデータが保護されていることを保証して、アプリケーションを構築してデプロイできます。
Azureは、以下のようなセキュリティ強化かつ準拠したソリューションの構築を支援します。
- 仮想マシンをウイルスやマルウェアから守りましょう。
- 機密データを暗号化する。
- ネットワーク トラフィックをセキュリティで保護します。
- 脅威を識別して検出します。
- コンプライアンス要件を満たします。
トラステッド起動
信頼された起動 は、新しく作成された第 2 世代 Azure VM と仮想マシン スケール セットの既定値です。 トラステッド起動は、ブート キット、ルートキット、カーネル レベルのマルウェアなど、高度で永続的な攻撃手法から保護します。
信頼できる起動では、次の機能が提供されます。
- セキュアブート:署名済みのオペレーティングシステムとドライバーのみが起動できるようにすることで、マルウェアベースのルートキットやブートキットのインストールを防ぎます。
- vTPM(仮想信頼プラットフォームモジュール):鍵と測定のための専用のセキュアボールトで、認証およびブート整合性検証を可能にします。
- ブート整合性監視:Microsoft Defender for Cloudを通じた認証を用いてブートチェーンの整合性を確認し、故障時のアラートを発します。
既存の VM と仮想マシン スケール セットで信頼された起動を有効にすることができます。 詳細については、「 Azure 仮想マシンの信頼された起動」を参照してください。
コンフィデンシャル コンピューティング
Azure コンフィデンシャル コンピューティング は、ハードウェア ベースの信頼された実行環境を通じて使用中のデータを保護します。 機密 VM は、AMD SEV-SNP テクノロジを使用して、アプリケーションと仮想化スタックの間にハードウェアによって強制される境界を作成します。
機密 VM には次の情報が用意されています。
- ハードウェア ベースの分離: 仮想マシン、ハイパーバイザー、ホスト管理コード間。
- 機密 OS ディスク暗号化: ディスク暗号化キーを VM の TPM にバインドし、ディスク コンテンツに VM のみがアクセスできるようにします。
- セキュリティで保護されたキーのリリース: プラットフォーム構成証明と VM 暗号化キーの間の暗号化バインド。
- 真正性確認: 展開前にホストのコンプライアンスを確保するためのカスタマイズ可能なポリシー。
詳細については、 Azure の機密 VM に関するページを参照してください。
仮想マシン ディスクの暗号化
Important
Azure Disk Encryption は、 2028 年 9 月 15 日に廃止される予定です。 その日まで、中断することなく Azure Disk Encryption を引き続き使用できます。 2028 年 9 月 15 日に、ADE 対応ワークロードは引き続き実行されますが、暗号化されたディスクは VM の再起動後にロック解除に失敗し、サービスが中断されます。
新しい VM の ホストで暗号化 を使用するか、 コンフィデンシャル コンピューティング ワークロード用の OS ディスク暗号化を使用して機密 VM サイズ を検討します。 サービスの中断を回避するために、すべての ADE 対応 VM (バックアップを含む) を提供終了日より前にホストで暗号化に移行する必要があります。 詳細については、「 Azure Disk Encryption からホストでの暗号化への移行 」を参照してください。
Azure には、マネージド ディスクに対していくつかの暗号化オプションが用意されています。
サーバー側暗号化 (SSE):保存時の暗号化または Azure Storage 暗号化とも呼ばれ、SSE は常に有効になり、ストレージ クラスターに永続化するときに Azure マネージド ディスク (OS およびデータ ディスク) 上のデータが自動的に暗号化されます。 SSEはFIPS 140-2準拠の256ビットAES暗号化を用いてデータを透過的に暗号化します。 SSE はディスクのパフォーマンスに影響せず、追加コストも発生しません。 ただし、SSE では、一時ディスクまたはディスク キャッシュは暗号化されません。
ホストでの暗号化: 保存時の一時ディスクとディスク キャッシュを暗号化し、データがストレージ クラスターに暗号化されて SSE を強化します。 この暗号化により、VM データのエンドツーエンドの暗号化が提供されます。 ホストでの暗号化では、VM の CPU は使用されないため、パフォーマンスには影響しません。 一時ディスクとエフェメラル OS ディスクは、プラットフォームマネージド キーを使用して暗号化されます。 OS およびデータ ディスク キャッシュは、ディスク暗号化の種類に応じて、カスタマー マネージド キーまたはプラットフォーム マネージド キーで暗号化されます。
機密ディスク暗号化: 機密 VM の場合、この暗号化はディスク暗号化キーを VM の TPM にバインドし、保護されたディスク コンテンツに VM のみがアクセスできるようにします。
デフォルトでは、マネージドディスクはプラットフォームマネージドキーを使用し、追加の設定は不要です。 カスタマー マネージド キーの場合は、Azure Key Vault、Azure Key Vault Managed HSM、または Azure Cloud HSM を使用して、独自の暗号化キーを制御および管理できます。
詳細については、「 マネージド ディスク暗号化オプションの概要 」および 「Azure Disk Storage のサーバー側暗号化」を参照してください。
キー管理
Azure Key Vault には、暗号化キー、シークレット、証明書用のセキュリティで保護されたストレージが用意されています。 Azure には、さまざまなセキュリティ レベルを持つ複数のキー管理ソリューションが用意されています。
- Azure Key Vault Standard: FIPS 140-2 レベル 1 が検証され、ソフトウェアで保護されたキーを持つマルチテナント サービス。
- Azure Key Vault Premium: FIPS 140-3 レベル 3 の検証済みマルチテナント サービスと HSM で保護されたキー。
- Azure Key Vault マネージド HSM: FIPS 140-3 レベル 3 で検証されたシングルテナント サービス。HSM とキー主権に対する完全な顧客制御を提供します。
仮想マシンの場合、次のサービスを保存できます。
- ディスク暗号化キー: ディスク暗号化セットを使用してマネージド ディスクを暗号化するためのカスタマー マネージド キー。
- SQL Server 暗号化キー: SQL Server VM での 透過的なデータ暗号化 のキー。
- アプリケーション シークレット: VM で実行されているアプリケーションによって使用されるキーとシークレット。
Microsoft Entra ID を使用して、保護されたアイテムへのアクセス許可とアクセスを管理します。 キーの使用状況を監査し、暗号化キーを完全に制御できます。
詳細については、「 Azure Key Vault とは」、 Azure Key Vault Managed HSM とは、 および Azure でのキー管理に関するページを参照してください。
仮想マシンのバックアップ
Azure Backup は、設備投資をゼロにし、運用コストを最小限に抑えながら VM データを保護するスケーラブルなソリューションです。 アプリケーション エラーによってデータが破損する可能性があり、ヒューマン エラーによってバグが発生する可能性があります。 Azure Backup により、Windows と Linux で実行されている仮想マシンが保護されます。
Azure Backup には次の機能があります。
- 独立および分離されたバックアップ:Recovery ServicesのVaultはバックアップを保存し、回復ポイントの組み込み管理を提供します。 また、データの誤った破損を防ぐ役割も果たします。
- アプリケーション整合性回復ポイント:実行中のVM用バックアップ時のアプリケーションデータの状態をキャプチャします。
- 明確なアウトバウンド接続は不要です。すべての通信とデータ転送はAzureのバックボーンネットワーク上で行われます。
- ソフト削除保護:削除されたバックアップデータをあと14日間保持し、データ損失なしで回復できます。
- クロスリージョン復元:災害復旧シナリオのために、Azureの二次ペアリージョン内のAzure VMを復元します。
詳細については、「 Azure Backup とは」および「Azure Backupサービスに関する FAQ」を参照してください。
Azure Site Recovery
Azure Site Recovery は、ワークロードとアプリのレプリケーション、フェールオーバー、復旧を調整するのに役立ちます。これにより、プライマリの場所がダウンした場合にセカンダリの場所から使用できるようになります。
サイトリカバリー:
- BCDR戦略を簡素化:単一の場所から複数のビジネスワークロードやアプリのレプリケーション、フェイルオーバー、リカバリーを簡単に処理できるようにします。
- 柔軟なレプリケーションを提供します:Hyper-V VM、VMware VM、Windows/Linux物理サーバー上で動作するワークロードを複製します。
- フェイルオーバーおよびリカバリーのサポート:本番環境に影響を与えないディジャストリカバリドリルのテストフェイルオーバーを提供します。
- 二次データセンターを排除:Azureに複製し、二次拠点の維持コストと複雑さを削減します。
詳細については、「Azure Site Recovery とは」「Azure SiteRecovery のしくみ」「Azure Site Recoveryで保護されるワークロード」を参照してください。
仮想ネットワーク
仮想マシンにはネットワーク接続が必要です。 Azure では、仮想マシンを Azure 仮想ネットワークに接続する必要があります。
Azure 仮想ネットワークは、物理的な Azure ネットワーク ファブリック上に構築される論理的な構築物です。 各論理 Azure 仮想ネットワークは、他のすべての Azure 仮想ネットワークから分離されています。 この分離により、デプロイ内のネットワーク トラフィックに他のMicrosoft Azureユーザーがアクセスできないようにすることができます。
詳細については、 Azure ネットワーク セキュリティの概要 と 仮想ネットワークの概要に関するページを参照してください。
セキュリティ ポリシーの管理
Microsoft Defender for Cloud は、脅威の防止、検出、対応に役立ちます。 Defender for Cloud により、Azure リソースのセキュリティの可視化を向上させ、コントロールすることができます。 Defender for Cloudは、Azureサブスクリプション全体で統合されたセキュリティ監視とポリシー管理を提供します。
Defender for Cloud は、次の方法で VM のセキュリティを最適化および監視するのに役立ちます。
- 仮想マシンに対するセキュリティ推奨を提供します。
- 仮想マシンの状態の監視。
- 高度な脅威保護を備えたMicrosoft Defender for Serversの提供。
Microsoft Defender for Servers には、次のものが含まれます。
- Microsoft Defender for Endpoint は、エンドポイントの検出と対応のための統合です。
- セキュリティの弱点を特定するための脆弱性評価。
- ジャストインタイムのVMアクセスで攻撃対象を減らします。
- 重要なファイルの変更を検出するためのファイル整合性監視。
- 承認されたアプリケーション向けの適応型アプリケーション制御。
詳細については、「 Microsoft Defender for Cloud の概要」、 Microsoft Defender for Servers、 および Microsoft Defender for Cloud についてよく寄せられる質問を参照してください。
コンプライアンス
Microsoftのコンプライアンス提供や監査レポートでは、各正式な第三者監査の対象となるクラウドサービスが特定されます。 範囲は提供内容によって異なるため、Azure 仮想マシンの静的な認証リストではなく、現在のMicrosoftコンプライアンスおよび監査範囲文書を使用してください。
詳細については、Microsoftコンプライアンスの提供、Azureおよびその他のMicrosoftクラウドサービスのコンプライアンス監査範囲、Microsoft Trust Center: Compliance、およびAzureコンプライアンスドキュメントをご覧ください。
次のステップ
VM とオペレーティング システムのセキュリティに関するベスト プラクティスについて説明します。
