Azure Key Vault 内で MARS エージェント パスフレーズを安全に保存して管理する

Recovery Services エージェント (MARS) を使用する Azure Backup では、ファイル/フォルダーとシステム状態データを Azure Recovery Services コンテナーにバックアップできます。 このデータは、MARS エージェントのインストールと登録時に指定したパスフレーズを使用して暗号化されます。 このパスフレーズは、バックアップ データを取得して復元するために必要であり、安全な外部の場所に保存する必要があります。

これで、新しいマシンのインストール中に MARS コンソールからシークレットとして Azure Key Vault に暗号化パスフレーズを安全に保存し、既存のマシンのパスフレーズを変更できるようになりました。 パスフレーズを Azure Key Vault に保存できるようにするには、Azure Key Vault でシークレットを作成するためのアクセス許可を Recovery Services コンテナーに付与する必要があります。

開始する前に

• Recovery Services コンテナーをまだお持ちでない場合は、作成します。
• すべてのパスフレーズを格納するには、1 つの Azure Key Vault を使用する必要があります。 Key Vault がない場合は、作成します。
• パスフレーズを格納する新しい Azure Key Vault を作成する場合は、Azure Key Vault 価格が適用されます。
• Key Vault を作成した後、パスフレーズの誤った削除や悪意のある削除から保護するには、論理的な削除と消去の保護がオンになっていることを確認します。
• この機能は、MARS エージェント バージョン 2.0.9262.0 以上の Azure パブリック リージョン内でのみサポートされています。

Azure Key Vault へのパスフレーズを格納するように Recovery Services コンテナーを構成する

パスフレーズを Azure Key Vault に保存する前に、Recovery Services コンテナーと Azure Key Vault を構成します。

コンテナーを構成するには、意図した結果を得られるように指定された順序に従ってください。 各アクションについては、以下のセクションで詳しく説明します。

1. Recovery Services コンテナーに対してシステム割り当てマネージド ID を有効にしました。
2. Azure Key Vault にシークレットとしてパスフレーズを保存するためのアクセス許可を Recovery Services コンテナーに割り当てる
3. Azure Key Vault で論理的な削除と消去保護を有効にします。

Recovery Services コンテナーに対してシステム割り当てマネージド ID を有効にする

クライアントを選択する:

$vault=Get-AzRecoveryServicesVault -ResourceGroupName "testrg" -Name "testvault"
Update-AzRecoveryServicesVault -IdentityType SystemAssigned -ResourceGroupName TestRG -Name TestVault
$vault.Identity | fl

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

az backup vault identity assign --system-assigned --resource-group MyResourceGroup --name MyVault

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

アクセス許可を割り当てて Azure Key Vault にパスフレーズを保存する

Key Vault 用に構成された Key Vault アクセス許可モデル (ロールベースのアクセス許可またはアクセス ポリシー ベースのアクセス許可モデル) に基づいて、次のセクションを参照してください。

Key Vault のロールベースのアクセス許可モデルを使用してアクセス許可を有効にする

クライアントを選択する:

#Find the application id for your recovery services vault
Get-AzADServicePrincipal -SearchString <principalName>
#Identify a role with Set permission on Secret, like Key Vault Secret Office
Get-AzRoleDefinition | Format-Table -Property Name, IsCustom, Id
#Assign role to Recovery Services Vault identity 
Get-AzRoleDefinition -Name <roleName>
#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

#Find the application id for your recovery services vault
az ad sp list --all --filter "displayname eq '<my recovery vault name>' and servicePrincipalType eq 'ManagedIdentity'"
#Identify a role with Set permission on Secret, like Key Vault Secret Office
az role definition list --query "[].{name:name, roleType:roleType, roleName:roleName}" --output tsv
az role definition list --name "{roleName}"
#Assign role to Recovery Services Vault identity 
az role assignment create --role "Key Vault Secrets Officer" --assignee "<application id>" {i.e "11112222-bbbb-3333-cccc-4444dddd5555"} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Key Vault のアクセス ポリシーのアクセス許可モデルを使用してアクセス許可を有効にする

クライアントを選択する:

$sp = Get-AzADServicePrincipal -DisplayName MyVault
$Set-AzKeyVaultAccessPolicy -VaultName myKeyVault -ObjectId $sp.Id -PermissionsToSecrets set

az ad sp list --display-name MyVault
az keyvault set-policy --name myKeyVault --object-id <object-id> --secret-permissions set

Azure Key Vault 上で論理的な削除と消去保護を有効にする

暗号化キーを格納している Azure Key Vault で、論理的な削除と消去保護を有効にする必要があります。

クライアントを選択する*

新しい MARS インストールのためにパスフレーズを Azure Key Vault に保存する

MARS エージェントのインストールに進む前に、Azure Key Vault へのパスフレーズを格納するように Recovery Services コンテナーを構成し、正常に完了していることを確認します。

1. Recovery Services コンテナーを作成しました。

2. Recovery Services コンテナーのシステム割り当てマネージド ID を有効にしました。

3. ご利用の Key Vault 内にシークレットを作成するためのアクセス許可を、ご利用の Recovery Services コンテナーに割り当てました。

4. キー コンテナーで論理的な削除と消去保護を有効にしました。

5. マシンに MARS エージェントをインストールするには、Azure portal から MARS インストーラーをダウンロードし、インストール ウィザードを使用します。

6. 登録中に Recovery Services コンテナーの資格情報を指定した後、[暗号化設定] で、パスフレーズを Azure Key Vault に保存するオプションを選択します。

   

7. パスフレーズを入力するか、[パスフレーズの生成] を選択します。

8. Azure portal で、Key Vault を開き、Key Vault URI をコピーします。

   

9. MARS コンソールに Key Vault URI を貼り付け、[登録] を選択します。

   エラーが発生した場合は、「トラブルシューティング」セクションをチェックして詳細をご確認ください。

10. 登録が成功すると、識別子をシークレットにコピーするためのオプションが作成され、パスフレーズはローカルのファイルに保存されません。

    

    今後、この MARS エージェントのパスフレーズを変更すると、新しいバージョンのシークレットが最新のパスフレーズと共に追加されます。

このプロセスは、インストール スクリプトの Set-OBMachineSetting command で新しい KeyVaultUri オプションを使用して自動化できます。

既存の MARS インストールのためにパスフレーズを Azure Key Vault に保存する

既存の MARS エージェントをインストールしてあり、パスフレーズを Azure Key Vault に保存する場合は、バージョン 2.0.9262.0 以上にエージェントを更新し、パスフレーズの変更操作を実行します。

MARS エージェントを更新した後に、Azure Key Vault へのパスフレーズを格納するように Recovery Services コンテナーを構成し、正常に完了していることを確認します。

1. Recovery Services コンテナーを作成しました。
2. Recovery Services コンテナーのシステム割り当てマネージド ID を有効にしました。
3. ご利用の Key Vault 内にシークレットを作成するためのアクセス許可を、ご利用の Recovery Services コンテナーに割り当てました。
4. キー コンテナーで論理的な削除と消去保護を有効にした

パスフレーズを Key Vault に保存するには、次のようにします。

1. MARS エージェント コンソールを開きます。

   パスフレーズを Azure Key Vault に保存するためのリンクを選択するように求めるバナーが表示されます。

   または、[プロパティの変更]>[パスフレーズの変更] の順に選択して続行します。

   

2. [プロパティの変更] ダイアログ ボックスに、Key Vault URI を指定してパスフレーズを Key Vault に保存するためのオプションが表示されます。

   Note

   パスフレーズを Key Vault に保存するためのマシンが既に構成されている場合は、Key Vault URI がテキスト ボックスに自動的に設定されます。

   

3. Azure portal を開き、Key Vault を開き、Key Vault URI をコピーします。

   

4. MARS コンソールに Key Vault URI を貼り付け、[OK] を選択します。

   エラーが発生した場合は、「トラブルシューティング」セクションをチェックして詳細をご確認ください。

5. パスフレーズの変更操作が成功すると、識別子をシークレットにコピーするためのオプションが作成され、パスフレーズはローカルのファイルに保存されません。

   

   今後、この MARS エージェントのパスフレーズを変更すると、新しいバージョンのシークレットが最新のパスフレーズと共に追加されます。

Set-OBMachineSetting コマンドレットの新しい KeyVaultUri オプションを使用することで、この手順を自動化できます。

マシンの Azure Key Vault からパスフレーズを取得する

マシンが使用できなくなった場合に、別の場所の復元を介して Recovery Services コンテナーからバックアップ データを復元する必要がある場合は、マシンのパスフレーズを続行する必要があります。

パスフレーズは、シークレットとして Azure Key Vault に保存されます。 マシンごとに 1 つのシークレットが作成され、マシンのパスフレーズが変更されると、新しいバージョンがシークレットに追加されます。 シークレットには AzBackup-machine fully qualified name-vault name と名前が付けられます。

マシンのパスフレーズを見つけるには、次のようにします。

1. Azure portal で、マシンのパスフレーズを保存するために使用する Key Vault を開きます。

   すべてのパスフレーズを保存するには、1 つの Key Vault を使用することをお勧めします。

2. [シークレット] を選択し、AzBackup-<machine name>-<vaultname> という名前のシークレットを検索します。

   

3. [シークレット] を選択し、最新のバージョンを開き、シークレットの値をコピーします。

   これは、リカバリ中に使用されるマシンのパスフレーズです。

   

   Key Vault に大量のシークレットがある場合は、Key Vault CLI を使用してシークレットを一覧表示して検索します。

az keyvault secret list --vault-name 'myvaultname’ | jq '.[] | select(.name|test("AzBackup-<myvmname>"))'

一般的なシナリオのトラブルシューティング

このセクションでは、パスフレーズを Azure Key Vault に保存するときに発生する一般的なエラーの一覧を示します。

システム ID が構成されていない – 391224

原因: このエラーは、Recovery Services コンテナーにシステム割り当てマネージド ID が構成されていない場合に発生します。

推奨される操作: 前提条件に従って、Recovery Services コンテナーに対してシステム割り当てマネージド ID が正しく構成されていることを確認します。

アクセス許可が構成されていない – 391225

原因: Recovery Services コンテナーにはシステム割り当てマネージド ID がありますが、ターゲット Key Vault にシークレットを作成するための設定のアクセス許可がありません。

推奨される操作:

1. 使用するコンテナー資格情報が、対象の Recovery Services コンテナーに対応していることを確認します。
2. Key Vault URI が対象の Key Vault に対応していることを確認します。
3. [Key Vault] -> [アクセス ポリシー] -> [アプリケーション] の下に Recovery Services コンテナー名が一覧表示され、シークレットのアクセス許可が設定されていることを確認します。

一覧にない場合は、もう一度アクセス許可を構成します。

Azure Key Vault URI が正しくない - 100272

原因: 入力された Key Vault URI が正しい形式ではありません。

推奨される操作: Azure portal からコピーした Key Vault URI を入力していることを確認します。 たとえば、https://myvault.vault.azure.net/ のようにします。

UserErrorSecretExistsSoftDeleted (391282)

原因: 予想される形式のシークレットは既に Key Vault 内に存在しますが、論理的に削除された状態です。 そのシークレットが復元されない限り、MARS はそのマシンのパスフレーズを指定された Key Vault に保存することができません。

推奨されるアクション: シークレットが AzBackup-<machine name>-<vaultname> という名前を持つコンテナー内に存在するかどうか、および論理的に削除された状態であるかどうかをチェックします。 論理的に削除されたシークレットを回復してパスフレーズを保存します。

UserErrorKeyVaultSoftDeleted (391283)

原因: MARS に提供される Key Vault が論理的に削除された状態です。

推奨されるアクション: その Key Vault を回復するか、新しい Key Vault を指定します。

登録が不完全である

原因: パスフレーズを登録しても MARS 登録が完了しませんでした。 そのため、登録するまでバックアップを構成することはできません。

推奨される操作: 警告メッセージを選択し、登録を完了します。