カスタマーマネージドキーを有効にする

[アーティクル]
09/23/2024

この記事は、4 部構成のチュートリアルシリーズのパート 4 です。パート 1 では、カスタマーマネージドキーの概要、その機能、レジストリで有効にする前の考慮事項について説明します。この記事では、Azure CLI、Azure portal、または Resource Manager テンプレートを使用してカスタマーマネージドキーを有効にする手順について説明します。

前提条件

Azure CLI をインストールするか、Azure Cloud Shell を使用するように準備します。
Azure portal にサインインします。

Azure CLI を使用してカスタマーマネージドキーを有効にする

リソースグループを作成する

az group create コマンドを実行して、キーコンテナー、コンテナーレジストリ、その他の必要なリソースを保持するリソースグループを作成します。

az group create --name <resource-group-name> --location <location>

ユーザー割り当てマネージド ID を作成する

キーコンテナーにアクセスできるように、レジストリのユーザー割り当てマネージド ID を構成します。

[az identity 作成] コマンドを実行してマネージド ID を作成します。

az identity create \
  --resource-group <resource-group-name> \
  --name <managed-identity-name>

コマンド出力で、キーコンテナーを使用してレジストリアクセスを構成するための id 値と principalId 値をメモします。

{
  "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "clientSecretUrl": "https://control-eastus.identity.azure.net/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myidentityname/credentials?tid=aaaabbbb-0000-cccc-1111-dddd2222eeee&oid=aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb&aid=00001111-aaaa-2222-bbbb-3333cccc4444",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myresourcegroup",
  "location": "eastus",
  "name": "myidentityname",
  "principalId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "resourceGroup": "myresourcegroup",
  "tags": {},
  "tenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

利便性を考えて、id と principalId の値を環境変数に格納します。

identityID=$(az identity show --resource-group <resource-group-name> --name <managed-identity-name> --query 'id' --output tsv)

identityPrincipalID=$(az identity show --resource-group <resource-group-name> --name <managed-identity-name> --query 'principalId' --output tsv)

Key Vault を作成します

az keyvault create コマンドを実行し、レジストリ暗号化用のカスタマーマネージドキーを格納するためのキーコンテナーを作成します。
既定で、新しいキーコンテナーでは論理的な削除設定が自動的に有効になります。キーまたはキーコンテナーを誤って削除することによるデータ損失を防ぐために、[消去保護] 設定を有効にすることをお勧めします。
```
az keyvault create --name <key-vault-name> \
  --resource-group <resource-group-name> \
  --enable-purge-protection
```

便宜上、キーコンテナーのリソース ID をメモし、値を環境変数に格納します。

keyvaultID=$(az keyvault show --resource-group <resource-group-name> --name <key-vault-name> --query 'id' --output tsv)

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーがファイアウォールまたは仮想ネットワーク (プライベートエンドポイント) で保護されている場合は、信頼された Azure サービスによるアクセスを許可するネットワーク設定を有効にする必要があります。詳細については、「Azure Key Vault のネットワーク設定を構成する」を参照してください。

キーコンテナーにアクセスするためにマネージド ID を有効にする

マネージド ID がキーコンテナーにアクセスできるようにするには、2 つの方法があります。

最初のオプションは、キーコンテナーのアクセスポリシーを構成し、ユーザー割り当てマネージド ID を使用してアクセスするキーのアクセス許可を設定するためのものです。

az keyvault set-policy コマンドを実行します。以前に作成および格納された環境変数の principalID 値を渡します。

キーのアクセス許可を get、unwrapKey、wrapKey に対して設定します。

az keyvault set-policy \
  --resource-group <resource-group-name> \
  --name <key-vault-name> \
  --object-id $identityPrincipalID \
  --key-permissions get unwrapKey wrapKey

2 つ目のオプションは、Azure ロールベースのアクセス制御 (RBAC) を使用して、ユーザー割り当てマネージド ID にアクセス許可を割り当て、キーコンテナーにアクセスすることです。 az role assignment create コマンドを実行し、Key Vault Crypto Service Encryption User ロールをユーザー割り当てマネージド ID に割り当てます。

az role assignment create --assignee $identityPrincipalID \
  --role "Key Vault Crypto Service Encryption User" \
  --scope $keyvaultID

キーを作成してキー ID を取得する

az keyvault key create コマンドを実行して、キーコンテナーにキーを作成します。
```
az keyvault key create \
  --name <key-name> \
  --vault-name <key-vault-name>
```

コマンドの出力で、キーの ID (kid) を記録しておきます。

[...]
  "key": {
    "crv": null,
    "d": null,
    "dp": null,
    "dq": null,
    "e": "AQAB",
    "k": null,
    "keyOps": [
      "encrypt",
      "decrypt",
      "sign",
      "verify",
      "wrapKey",
      "unwrapKey"
    ],
    "kid": "https://mykeyvault.vault.azure.net/keys/mykey/<version>",
    "kty": "RSA",
[...]

後で使用できるように、キー ID に選択した形式を $keyID 環境変数に格納します。バージョンありのキー ID またはバージョンなしのキー ID を使用できます。

キーの交換

手動または自動のキーのローテーションを選択できます。

キーバージョンありのカスタマーマネージドキーを使用してレジストリを暗号化した場合は、Azure Container Registry で手動のキーローテーションのみが許可されます。次の例では、キーの kid プロパティを格納します。

keyID=$(az keyvault key show \
  --name <keyname> \
  --vault-name <key-vault-name> \
  --query 'key.kid' --output tsv)

キーのバージョンを省略してカスタマーマネージドキーを使用してレジストリを暗号化した場合は、Azure Key Vault で新しいキーバージョンを検出するための自動キーローテーションが有効になります。次の例では、キーの kid プロパティからバージョンを削除します。

keyID=$(az keyvault key show \
  --name <keyname> \
  --vault-name <key-vault-name> \
  --query 'key.kid' --output tsv)

keyID=$(echo $keyID | sed -e "s/\/[^/]*$//")

カスタマーマネージドキーを使用してレジストリを作成する

az acr create コマンドを実行して Premium サービスレベルでレジストリを作成し、カスタマーマネージドキーを有効にします。

前の手順で環境変数に格納されているマネージド ID (id) とキー ID (kid) 値を渡します。

az acr create \
  --resource-group <resource-group-name> \
  --name <container-registry-name> \
  --identity $identityID \
  --key-encryption-key $keyID \
  --sku Premium

暗号化の状態を表示する

カスタマーマネージドキーによるレジストリ暗号化の状態を表示するには、az acr encryption show コマンドを実行します。

az acr encryption show --name <container-registry-name>

レジストリの暗号化に使用されるキーに応じて、出力は次のようになります。

{
  "keyVaultProperties": {
    "identity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "keyIdentifier": "https://myvault.vault.azure.net/keys/myresourcegroup/abcdefg123456789...",
    "keyRotationEnabled": true,
    "lastKeyRotationTimestamp": xxxxxxxx
    "versionedKeyIdentifier": "https://myvault.vault.azure.net/keys/myresourcegroup/abcdefg123456789...",
  },
  "status": "enabled"
}

Azure portal を使用してカスタマーマネージドキーを有効にする

ユーザー割り当てマネージド ID を作成する

Azure portal で、ユーザー割り当てによる Azure リソース用マネージド ID を作成するには、次の操作を実行します。

「ユーザー割り当て ID を作成する」の手順に従ってください。
ID の名前を保存して、後の手順で使用します。

Azure portal でユーザー割り当て ID を作成するためのオプションのスクリーンショット。

Key Vault を作成します

「クイックスタート: Azure portal を使用してキーコンテナーを作成する」の手順に従います。
カスタマーマネージドキー用のキーコンテナーを作成する場合は、[基本] タブで、[消去保護] 設定を有効にします。この設定は、キーまたはキーコンテナーが誤って削除された場合のデータ損失を防ぐのに役立ちます。

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーがファイアウォールまたは仮想ネットワーク (プライベートエンドポイント) で保護されている場合は、信頼された Azure サービスによるアクセスを許可するネットワーク設定を有効にします。詳細については、「Azure Key Vault のネットワーク設定を構成する」を参照してください。

キーコンテナーにアクセスするためにマネージド ID を有効にする

マネージド ID がキーコンテナーにアクセスできるようにするには、2 つの方法があります。

キーコンテナーに移動します。
[設定]>[アクセスポリシー] > [+ アクセスポリシーの追加] を選択します。
[キーのアクセス許可] を選択し、[取得]、[キーの折り返しを解除]、[キーを折り返す] を順に選択します。
[プリンシパルの選択] で、ユーザー割り当てマネージド ID のリソース名を選択します。
[追加]、[保存] の順に選択します。

キーコンテナーアクセスポリシーを作成するためのオプションのスクリーンショット。

もう 1 つの選択肢は、Key Vault Crypto Service Encryption User RBAC ロールを、キーコンテナースコープでユーザー割り当てマネージド ID に割り当てることです。詳細な手順については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

キーの作成

キーコンテナーにキーを作成し、それをレジストリの暗号化に使用します。特定のキーバージョンをカスタマーマネージドキーとして選択する場合は、これらの手順に従います。キーコンテナーへのアクセスがプライベートエンドポイントまたは選択されたネットワークに制限されている場合は、レジストリを作成する前に、キーの作成も必要になる場合があります。

キーコンテナーに移動します。
[設定]>[キー] の順に選択します。
[+ 生成/インポート] を選択し、キーの一意の名前を入力します。
それ以外については既定値をそのまま使用し、[作成] を選択します。
作成後、そのキーを選択し、次に現在のバージョンを選択します。そのキーバージョンのキー識別子をコピーします。

コンテナーレジストリの作成

[リソースの作成]>[コンテナー]>[コンテナーレジストリ] の順に選択します。
[基本] タブで、リソースグループを選択または作成し、レジストリ名を入力します。 [SKU] で [Premium] を選択します。
[暗号化] タブの [顧客が管理するキー] で、[有効] を選択します。
[ID] に、作成したマネージド ID を選択します。
[暗号化] で、次のいずれかのオプションを選択します。
- [キーコンテナーから選ぶ] を選択し、既存のキーコンテナーとキー、または [新規作成] のいずれかを選択します。選択するキーはバージョン管理されておらず、キーの自動ローテーションが有効になります。
- [キー URI を入力] を選択し、既存のキーの識別子を指定します。バージョン管理されたキー URI (手動でローテーションする必要があるキーの場合) またはバージョン管理されていないキー URI (キーの自動ローテーションが有効になる) のいずれかを指定できます。キーを作成する手順については、前のセクションを参照してください。
[Review + create](レビュー + 作成) を選択します。
[作成] を選択して、レジストリインスタンスをデプロイします。

Azure portal で暗号化されたレジストリを作成するためのオプションを示すスクリーンショット。

暗号化の状態を表示する

ポータルでレジストリの暗号化状態を確認するには、お使いのレジストリに移動します。 [設定] で、[暗号化] を選択します。

Resource Manager テンプレートを使用してカスタマーマネージドキーを有効にする

Resource Manager テンプレートを使用して、コンテナーレジストリを作成し、カスタマーマネージドキーによる暗号化を有効にできます。

Resource Manager テンプレートの次の内容を新しいファイルにコピーし、CMKtemplate.json として保存します。

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "vault_name": {
      "defaultValue": "",
      "type": "String"
    },
    "registry_name": {
      "defaultValue": "",
      "type": "String"
    },
    "identity_name": {
      "defaultValue": "",
      "type": "String"
    },
    "kek_id": {
      "type": "String"
    }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.ContainerRegistry/registries",
      "apiVersion": "2019-12-01-preview",
      "name": "[parameters('registry_name')]",
      "location": "[resourceGroup().location]",
      "sku": {
        "name": "Premium",
        "tier": "Premium"
      },
      "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
          "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identity_name'))]": {}
        }
      },
      "dependsOn": [
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identity_name'))]"
      ],
      "properties": {
        "adminUserEnabled": false,
        "encryption": {
          "status": "enabled",
          "keyVaultProperties": {
            "identity": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identity_name')), '2018-11-30').clientId]",
            "KeyIdentifier": "[parameters('kek_id')]"
          }
        },
        "networkRuleSet": {
          "defaultAction": "Allow",
          "virtualNetworkRules": [],
          "ipRules": []
        },
        "policies": {
          "quarantinePolicy": {
            "status": "disabled"
          },
          "trustPolicy": {
            "type": "Notary",
            "status": "disabled"
          },
          "retentionPolicy": {
            "days": 7,
            "status": "disabled"
          }
        }
      }
    },
    {
      "type": "Microsoft.KeyVault/vaults/accessPolicies",
      "apiVersion": "2018-02-14",
      "name": "[concat(parameters('vault_name'), '/add')]",
      "dependsOn": [
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identity_name'))]"
      ],
      "properties": {
        "accessPolicies": [
          {
            "tenantId": "[subscription().tenantId]",
            "objectId": "[reference(resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('identity_name')), '2018-11-30').principalId]",
            "permissions": {
              "keys": [
                "get",
                "unwrapKey",
                "wrapKey"
              ]
            }
          }
        ]
      }
    },
    {
      "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
      "apiVersion": "2018-11-30",
      "name": "[parameters('identity_name')]",
      "location": "[resourceGroup().location]"
    }
  ]
}

前のセクションの手順に従って、次のリソースを作成します。
- キーコンテナー、名前で識別されます
- キーコンテナーキー、キー ID で識別されます
az deployment group create コマンドを実行し、前述のテンプレートファイルを使用してレジストリを作成します。要求されたら、新しいレジストリ名とユーザー割り当てマネージド ID 名、作成したキーコンテナー名とキー ID を指定します。
```
az deployment group create \
  --resource-group <resource-group-name> \
  --template-file CMKtemplate.json \
  --parameters \
    registry_name=<registry-name> \
    identity_name=<managed-identity> \
    vault_name=<key-vault-name> \
    key_id=<key-vault-key-id>
```
az acr encryption show コマンドを実行して、レジストリ暗号化の状態を表示します。
```
az acr encryption show --name <registry-name>
```

次のステップ

次の記事のカスタマーマネージドキーのローテーション、キーバージョンの更新、カスタマーマネージドキーの取り消しについての説明に進んでください。

次の方法で共有

カスタマーマネージドキーを有効にする

前提条件

Azure CLI を使用してカスタマーマネージドキーを有効にする

リソースグループを作成する

ユーザー割り当てマネージド ID を作成する

Key Vault を作成します

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーにアクセスするためにマネージド ID を有効にする

キーを作成してキー ID を取得する

キーの交換

カスタマーマネージドキーを使用してレジストリを作成する

暗号化の状態を表示する

Azure portal を使用してカスタマーマネージドキーを有効にする

ユーザー割り当てマネージド ID を作成する

Key Vault を作成します

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーにアクセスするためにマネージド ID を有効にする

キーの作成

コンテナーレジストリの作成

暗号化の状態を表示する

Resource Manager テンプレートを使用してカスタマーマネージドキーを有効にする

次のステップ

フィードバック

その他のリソース

次の方法で共有

カスタマー マネージド キーを有効にする

前提条件

Azure CLI を使用してカスタマー マネージド キーを有効にする

リソース グループを作成する

ユーザー割り当てマネージド ID を作成する

Key Vault を作成します

信頼されたサービスのキー コンテナーへのアクセスを有効にする

キー コンテナーにアクセスするためにマネージド ID を有効にする

キーを作成してキー ID を取得する

キーの交換

カスタマー マネージド キーを使用してレジストリを作成する

暗号化の状態を表示する

Azure portal を使用してカスタマー マネージド キーを有効にする

ユーザー割り当てマネージド ID を作成する

Key Vault を作成します

信頼されたサービスのキー コンテナーへのアクセスを有効にする

キー コンテナーにアクセスするためにマネージド ID を有効にする

キーの作成

コンテナー レジストリの作成

暗号化の状態を表示する

Resource Manager テンプレートを使用してカスタマー マネージド キーを有効にする

次のステップ

フィードバック

その他のリソース

カスタマーマネージドキーを有効にする

Azure CLI を使用してカスタマーマネージドキーを有効にする

リソースグループを作成する

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーにアクセスするためにマネージド ID を有効にする

カスタマーマネージドキーを使用してレジストリを作成する

Azure portal を使用してカスタマーマネージドキーを有効にする

信頼されたサービスのキーコンテナーへのアクセスを有効にする

キーコンテナーにアクセスするためにマネージド ID を有効にする

コンテナーレジストリの作成

Resource Manager テンプレートを使用してカスタマーマネージドキーを有効にする