次の方法で共有


顧客が管理するキーを構成する

Azure Data Explorer は、保存されているストレージ アカウント内のすべてのデータを暗号化します。 規定では、データは Microsoft のマネージド キーで暗号化されます。 暗号化キーをさらに制御するために、データ暗号化に使用するカスタマー マネージド キーを指定できます。

顧客が管理するキーは Azure Key Vault に格納する必要があります。 独自のキーを作成してキー コンテナーに格納することも、Azure Key Vault API を使ってキーを生成することもできます。 Azure Data Explorer クラスターとキー コンテナーは同じリージョンに存在している必要があります。ただし、サブスクリプションは異なっていてもかまいません。 カスタマー マネージド キーの詳細については、カスタマー マネージド キーと Azure Key Vault に関する記事を参照してください。

この記事では、カスタマー マネージド キーを構成する方法について説明します。

以前の SDK バージョンに基づくコード サンプルについては、 アーカイブされた記事を参照してください。

Azure Key Vault を構成する

Azure Data Explorer でカスタマー マネージド キーを構成するには、キー コンテナーの 2 つのプロパティを設定する必要があります。 [論理的な削除][Do Not Purge](消去しない) です。 これらのプロパティは、既定では有効になっていません。 これらのプロパティを有効にするには、新規または既存のキー コンテナーに対して、論理的な削除の有効化および消去保護の有効化PowerShell または Azure CLI で実行します。 サイズが 2048 の RSA キーのみがサポートされています。 キーの詳細については、「Key Vault のキー」を参照してください。

注意

リーダー クラスターとフォロワー クラスターでカスタマー マネージド キーを使用する場合の制限事項については、「 制限事項」を参照してください。

マネージド ID をクラスターに割り当てる

お使いのクラスターでカスタマー マネージド キーを有効にするには、まず、そのクラスターにシステム割り当てまたはユーザー割り当てのマネージド ID を割り当てます。 このマネージド ID を使って、キー コンテナーへのアクセス許可をクラスターに付与します。 マネージド ID の構成については、マネージド ID に関するページを参照してください。

ユーザーが管理するキーによる暗号化を有効にする

次の手順では、Azure portalを使用してカスタマー マネージド キーの暗号化を有効にする方法について説明します。 既定では、Azure Data Explorer の暗号化では Microsoft のマネージド キーが使用されます。 カスタマー マネージド キーを使用するように Azure Data Explorer クラスターを構成し、そのクラスターに関連付けるキーを指定します。

  1. Azure portal で、Azure Data Explorer クラスター リソースに移動します。

  2. portal の左側のウィンドウで、 [設定]>[暗号化] を選択します。

  3. [暗号化] ウィンドウの [顧客が管理するキー] 設定で、 [オン] を選択します。

  4. [ キーの選択] を選択します

    カスタマー マネージド キーの構成を示すスクリーンショット。

  5. [Azure Key Vault からのキーの選択] ウィンドウで、ドロップダウン リストから既存の Key Vault を選択します。 [新規作成] を選択して新しい Key Vault を作成する場合は、 [Key Vault の作成] 画面にルーティングされます。

  6. [キー] を選択します。

  7. バージョン:

    • このキーで常に最新のキー バージョンが使用されるようにするには、 [Always use current key version](常に現在のキー バージョンを使用する) チェックボックスをオンにします。
    • それ以外の場合は、 [バージョン] を選択します。
  8. [選択] を選択します。

    Azure Key Vaultからキーを選択するを示すスクリーンショット。

  9. [ID の種類] で、 [システム割り当て済み] または [ユーザー割り当て済み] を選択します。

  10. [ユーザー割り当て済み] を選択する場合は、ドロップダウンからユーザー割り当て ID を選択します。

    マネージド ID の種類を選択するオプションを示すスクリーンショット。

  11. キーが含まれている [暗号化] ウィンドウで、 [保存] を選択します。 CMK の作成に成功すると、 [通知] に成功メッセージが表示されます。

    カスタマー マネージド キーを保存するオプションを示すスクリーンショット。

Azure Data Explorer クラスターに対してカスタマー マネージド キーを有効にするときにシステム割り当て ID を選択した場合、システム割り当て ID がクラスターに存在しない場合は ID を作成します。 また、選択した Key Vault の Azure Data Explorer クラスターに対して必要な get、wrapKey、unwrapKey の各アクセス許可を提供し、Key Vault のプロパティを取得します。

注意

カスタマー マネージド キーを作成した後に削除するには、 [オフ] を選択します。

キーのバージョンを更新する

キーの新しいバージョンを作成した場合、新しいバージョンを使用するようにクラスターを更新する必要があります。 まず Get-AzKeyVaultKey を呼び出し、キーの最新バージョンを取得します。 次に、「カスタマー マネージド キーを使用した暗号化を有効にする」に示すように、新しいバージョンのキーを使用するようにクラスター のキー コンテナーのプロパティを更新します