Azure Key Vault で Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する

2025-07-08

適用対象: NoSQL MongoDB カサンドラグレムリン表

Azure Cosmos DB アカウントに格納されたデータは、Microsoft が管理するキー (サービスマネージドキー) を使用して自動的かつシームレスに暗号化されます。自分で管理するキー (カスタマーマネージドキーまたは CMK) を使用する暗号化の 2 番目のレイヤーを追加することもできます。

顧客データに関する暗号化のレイヤーの図。

カスタマーマネージドキーを Azure Key Vault に格納し、カスタマーマネージドキーで有効になっている各 Azure Cosmos DB アカウントのキーを指定する必要があります。このキーは、そのアカウントに格納されているすべてのデータを暗号化するために使用されます。

注意

既存の Azure Cosmos DB アカウントでカスタマーマネージドキーを有効にする場合は、「Azure Key Vault を使用して既存の Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する」を参照してください。

警告

次のフィールド名は、カスタマーマネージドキーを使用して、アカウントの Cassandra API テーブルで予約されています。

id
ttl
_ts
_etag
_rid
_self
_attachments
_epk

カスタマーマネージドキーが有効になっていない場合は、__sys_ で始まるフィールド名のみが予約されます。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。

Azure Cosmos DB リソースプロバイダーを登録する

Microsoft.DocumentDB リソースプロバイダーをまだ登録していない場合は、最初の手順としてこのプロバイダーを登録する必要があります。

Azure portal にサインインし、お使いの Azure サブスクリプションに移動して [設定] タブの [リソースプロバイダー] を選択します。
Microsoft.DocumentDB リソースプロバイダーを検索します。そのリソースプロバイダーが既に登録済みとしてマークされているどうかを確認します。そうでない場合は、リソースプロバイダーを選択して [登録] を選択します。

Azure Key Vault インスタンスを構成する

重要

Azure Key Vault インスタンスは、パブリックネットワークアクセス経由でアクセス可能にするか、信頼された Microsoft サービスがそのファイアウォールをバイパスすることを許可する必要があります。プライベートエンドポイントを介して排他的にアクセスできるインスタンスは、カスタマーマネージドキーをホストするために使用できません。

予期しないリージョンの停止中に継続的な可用性を確保するために、作成された Azure Key Vault リソースでデータレプリケーションを有効にすることを強くお勧めします。

Azure Cosmos DB でカスタマーマネージドキーを使用するには、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスで 2 つのプロパティを設定する必要があります。論理的な削除と消去保護です。

新しい Azure Key Vault インスタンスを作成する場合は、作成時にこれらのプロパティを有効にします。

既存の Azure Key Vault インスタンスを使用している場合は、Azure portal の [プロパティ] セクションを見て、これらのプロパティが有効であることを確認できます。これらのプロパティのいずれかが有効になっていない場合は、次のいずれかの記事の「 論理的な削除の有効化 と 消去保護の有効化 」セクションを参照してください。

推奨されるセキュリティモデルを選択する

消去保護と論理的な削除が有効になったら、アクセスポリシータブで、使用する優先アクセス許可モデルを選択できます。アクセスポリシーは既定で設定されますが、Azure のロールベースのアクセス制御も使用できます。

Cosmos DB で暗号化キーを使用できるよう、必要なアクセス許可を付与する必要があります。この手順は、Azure Key Vault がアクセスポリシーとロールベースのアクセス制御のどちらを使用しているかにより異なります。

注意

一度にアクティブにできるセキュリティモデルは 1 つだけであるため、Azure Key Vault がアクセスポリシーを使用するように設定されている場合は、ロールベースのアクセス制御をシードする必要はありません。その逆も同様です。

アクセスポリシーの追加

このバリエーションでは、Azure Cosmos DB プリンシパルを使用して、適切なアクセス許可を持つアクセスポリシーを作成します。

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。左側のメニューの [アクセスポリシー] を選択します。

リソースナビゲーションメニューの [アクセスポリシー] オプションのスクリーンショット。

[+ アクセスポリシーの追加] を選択します。
[キーのアクセス許可] ドロップダウンメニューで、[取得]、[キーの折り返しを解除]、および [キーを折り返す] アクセス許可を選択します。

[プリンシパルの選択] で、 [選択されていません] を選択します。
Azure Cosmos DB の主要項目を検索して選択します。

ヒント

これにより、Azure Key Vault アクセスポリシーに Azure Cosmos DB のファーストパーティ ID が登録されます。 Azure Cosmos DB プリンシパルが一覧にない場合は、Microsoft.DocumentDB リソースプロバイダーの再登録が必要になる場合があります。
下部にある [選択] を選択します。
[追加] を選択して新しいアクセスポリシーを追加します。
すべての変更を保存するには、Key Vault インスタンスで [保存] を選択します。

ロールベースのアクセス制御ロールを追加する

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。左側のメニューから [アクセス制御 (IAM)] を選択し、[このリソースへのアクセスを許可する] を選択します。
Key Vault 管理者ロール を検索し、ご自分に割り当てます。この割り当ては、最初にリストからロール名を検索し、[ メンバー ] タブをクリックすることで行われます。タブで、ラジオから [ユーザー、グループ、またはサービスプリンシパル ] オプションを選択し、Azure アカウントを検索します。アカウントを選択すると、ロールを割り当てることができます。
その後、必要なアクセス許可を Cosmos DB のプリンシパルに割り当てる必要があります。そのため、最後のロールの割り当てと同様に、割り当てページに移動しますが、今回は Key Vault Crypto Service Encryption ユーザー ロールを探し、[メンバー] タブで Cosmos DB のプリンシパルを探します。プリンシパルを見つけるには、Azure Cosmos DB プリンシパルを検索し、それを選びます。
[ 確認と割り当て] を選択すると、ロールが Cosmos DB に割り当てられます。

ロールが正しく設定されていることを検証する

次に、アクセス制御ページを使用して、すべてのロールが正しく構成されていることを確認します。

ロールが割り当てられたら、[アクセス制御 IAM] ページで [このリソースへのアクセスの表示 ] を選択して、すべてが正しく設定されていることを確認します。
ページでスコープをこのリソースに設定し、Key Vault 管理者ロールを持っており、Cosmos DB プリンシパルが Key Vault Crypto Encryption ユーザーロールを持っていることを確認します。

Azure Key Vault でキーを生成する

ここでは Azure Key Vault を使用して新しいキーを作成し、一意の識別子を取得します。

Azure portal から、暗号化キーをホストするために使用しようとしている Azure Key Vault インスタンスに移動します。次に、左側のメニューの [キー] を選択します。
[生成/インポート] を選択し、新しいキーに名前を付け、RSA キーサイズを選択します。最高のセキュリティを得るには、最小で 3072 をお勧めします。次に、 [作成] を選択します。
ヒント

または Azure CLI を使用して次のキーを生成できます:
```
az keyvault key create \
    --vault-name <name-of-key-vault> \
    --name <name-of-key>
```
Azure CLI を使用した Key Vault の管理の詳細については、「Azure CLI を使用して Azure Key Vault を管理する」をご覧ください。
キーが作成されたら、新しく作成されたキーを選択し、次にその現在のバージョンを選択します。
最後のスラッシュの後の部分を除き、キーの [キー識別子] をコピーします。

新しい Azure Cosmos DB アカウントを作成する

Azure portal または Azure CLI を使用して、新しい Azure Cosmos DB アカウントを作成します。

Azure portal から新しい Azure Cosmos DB アカウントを作成する場合は、 [暗号化] の手順で [カスタマーマネージドキー] を選択します。 [キー URI] フィールドで、前の手順でコピーした Azure Key Vault キーの URI/キー識別子を貼り付けます。

PowerShell で新しい Azure Cosmos DB アカウントを作成する場合、次を実行します。

前にコピーした Azure Key Vault キーの URI を、keyVaultKeyUriの PropertyObject プロパティの下に渡します。
API バージョンとして 2019-12-12 以降を使用します。

重要

アカウントがカスタマーマネージドキーで正常に作成されるようにするには、locations プロパティを明示的に設定する必要があります。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for ___location
$LOCATION = "<azure-region>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for key URI in the key vault
$KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

$parameters = @{
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
    ApiVersion = "2019-12-12"
    ResourceGroupName = $RESOURCE_GROUP_NAME
    Location = $LOCATION 
    Name = $ACCOUNT_NAME 
    PropertyObject = @{
        databaseAccountOfferType = "Standard"
        locations = @(
            @{ 
                locationName = $LOCATION 
                failoverPriority = 0
            }
        )
        keyVaultKeyUri = $KEY_VAULT_KEY_URI
    }
}
New-AzResource @parameters

アカウントが作成されたら、Azure Key Vault キーの URI をフェッチすることで、カスタマーマネージドキーが有効になっていることを確認できます。

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME
    Name = $ACCOUNT_NAME
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
}
Get-AzResource @parameters
    | Select-Object -ExpandProperty Properties
    | Select-Object -ExpandProperty keyVaultKeyUri

Azure Resource Manager (ARM) テンプレートを使用して新しい Azure Cosmos DB アカウントを作成する場合:

前に properties オブジェクトの keyVaultKeyUri プロパティでコピーした Azure Key Vault キーの URI を渡します。
API バージョンとして 2019-12-12 以降を使用します。

重要

アカウントがカスタマーマネージドキーで正常に作成されるようにするには、locations プロパティを明示的に設定する必要があります。

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "accountName": {
      "type": "string"
    },
    "___location": {
      "type": "string"
    },
    "keyVaultKeyUri": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.DocumentDB/databaseAccounts",
      "name": "[parameters('accountName')]",
      "apiVersion": "2019-12-12",
      "kind": "GlobalDocumentDB",
      "___location": "[parameters('___location')]",
      "properties": {
        "locations": [
          {
            "locationName": "[parameters('___location')]",
            "failoverPriority": 0,
            "isZoneRedundant": false
          }
        ],
        "databaseAccountOfferType": "Standard",
        "keyVaultKeyUri": "[parameters('keyVaultKeyUri')]"
      }
    }
  ]
}

次の PowerShell スクリプトを使用してテンプレートをデプロイします。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for ___location
$LOCATION = "<azure-region>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for key URI in the key vault
$KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME
    TemplateFile = "deploy.json"
    accountName = $ACCOUNT_NAME
    ___location = $LOCATION
    keyVaultKeyUri = $KEY_VAULT_KEY_URI
}
New-AzResourceGroupDeployment @parameters

Azure CLI を使用して新しい Azure Cosmos DB アカウントを作成する場合は、先に --key-uri パラメーターでコピーした Azure Key Vault キーの URI を渡します。

# Variable for resource group name
resourceGroupName="<resource-group-name>"

# Variable for ___location
___location="<azure-region>"

# Variable for account name
accountName="<globally-unique-account-name>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$___location \
    --key-uri $keyVaultKeyUri

アカウントが作成されたら、Azure Key Vault キーの URI をフェッチすることで、カスタマーマネージドキーが有効になっていることを確認できます。

az cosmosdb show \
    --resource-group $resourceGroupName \
    --name $accountName \
    --query "keyVaultKeyUri"

重要

ネットワーク構成によっては、他の Azure サービスから Azure Cosmos DB へのアクセスを許可することが必要になる場合があります。

Azure Key Vault アクセスポリシーでのマネージド ID の使用

このアクセスポリシーにより、Azure Cosmos DB アカウントから暗号化キーにアクセスできるようになります。アクセスポリシーは、特定の Microsoft Entra ID へのアクセスを許可することによって実装されます。次の 2 種類の ID がサポートされています。

Azure Cosmos DB のファーストパーティ ID は、Azure Cosmos DB サービスへのアクセス権を付与するために使用できます。
Azure Cosmos DB アカウントのマネージド ID は、ご使用のアカウントへのアクセス権を明示的に付与するために使用できます。

ARM テンプレートを使用すると、アクセスポリシーにマネージド ID を割り当てることができます。

システムによって割り当てられたマネージド ID を取得できるのは、アカウントの作成後のみです。そのため、最初にファーストパーティー ID を使用してアカウントを作成する必要があります。その後、以下を実行します。

アカウントの作成時にシステム割り当てマネージド ID が構成されなかった場合は、アカウントでシステム割り当てマネージド ID を有効にし、割り当てられた principalId をコピーします。
前述のように、対応するアクセス許可を Azure Key Vault アカウントに追加します。 Cosmos DB プリンシパルを使用する代わりに、Azure Cosmos DB のファーストパーティー ID ではなく前の手順でコピーした principalId を使用します。
Azure Key Vault 内の暗号化キーにアクセスするときは、Azure Cosmos DB アカウントを更新して、システムによって割り当てられたマネージド ID を使用するように指定します。
```
{
  "type": " Microsoft.DocumentDB/databaseAccounts",
  "properties": {
    "defaultIdentity": "SystemAssignedIdentity",
    // ...
  },
  // ...
}
```
その後、必要に応じて、Azure Cosmos DB のファーストパーティ ID を Azure Key Vault アクセスポリシーから削除できます。

ユーザー割り当てマネージド ID で同様の手順を実行することもできます。

Azure Key Vault アカウントで新しいアクセスポリシーやロールの割り当てを作成する場合は、Azure Cosmos DB のファーストパーティー ID ではなく使用するマネージド ID の Object ID を使用します。

Azure Cosmos DB アカウントを作成する場合は、ユーザー割り当てマネージド ID を有効にし、Azure Key Vault で暗号化キーにアクセスするときにこの ID を使用するように指定する必要があります。

{
  "type": "Microsoft.DocumentDB/databaseAccounts",
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "<identity-resource-id>": {}
    }
  },
  // ...
  "properties": {
    "defaultIdentity": "UserAssignedIdentity=<identity-resource-id>",
    "keyVaultKeyUri": "<key-vault-key-uri>"
    // ...
  }
}

Azure CLI を使用すると、アクセスポリシーにマネージド ID を割り当てることができます。

アカウントの作成時にシステム割り当てマネージド ID が構成されていない場合は、アカウントでシステム割り当てマネージド ID を有効にし、割り当てられた principalId をコピーします。
前述のように、対応するアクセス許可を Azure Key Vault アカウントに追加します。 Cosmos DB プリンシパルを使用する代わりに、Azure Cosmos DB のファーストパーティー ID ではなく前の手順でコピーした principalId を使用します。

Azure Key Vault 内の暗号化キーにアクセスするときは、Azure Cosmos DB アカウントを更新して、システムによって割り当てられたマネージド ID を使用するように指定します。

# Variables for resource group and account names
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

az cosmosdb update \
    --resource-group $resourceGroupName \
    --name $accountName \
    --default-identity "SystemAssignedIdentity"

その後、必要に応じて、Azure Cosmos DB のファーストパーティ ID を Azure Key Vault アクセスポリシーから削除できます。

ユーザー割り当てマネージド ID で同様の手順を実行することもできます。

Azure Key Vault アカウントで新しいアクセスポリシーやロールの割り当てを作成する場合は、Azure Cosmos DB のファーストパーティー ID ではなく使用するマネージド ID の Object ID を使用します。

# Variables for resource group and account name
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

# Variable for ___location
___location="<azure-region>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

# Variables for identities
identityId="<identity-resource-id>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$___location \
    --key-uri $keyVaultKeyUri
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId"

使用不可

継続的バックアップでカスタマーマネージドキーを使用する

Azure CLI または ARM テンプレートを使用して、継続的バックアップアカウントを作成できます。

現在、継続的バックアップアカウントの作成では、ユーザー割り当てマネージド ID のみがサポートされています。

アカウントが作成されたら、ID をシステム割り当てマネージド ID に更新できます。

または、ユーザーは、最初に定期バックアップモードでシステム ID を作成してから、アカウントを継続的バックアップモードに移行することもできます。詳細な手順については、「定期的なバックアップモードから継続的バックアップモードへの Azure Cosmos DB アカウントの移行」を参照してください。

# Variables for resource group and account name
resourceGroupName="<resource-group-name>"
accountName="<azure-cosmos-db-account-name>"

# Variable for ___location
___location="<azure-region>"

# Variable for key URI in the key vault
keyVaultKeyUri="https://<key-vault-name>.vault.azure.net/keys/<key-name>"

# Variables for identities
identityId="<identity-resource-id>"

az cosmosdb create \
    --resource-group $resourceGroupName \
    --name $accountName \
    --locations regionName=$___location \
    --key-uri $keyVaultKeyUri
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId" \
    --backup-policy-type "Continuous"

ARM テンプレートを使用して新しい Azure Cosmos DB アカウントを作成する場合:

前に properties オブジェクトの keyVaultKeyUri プロパティでコピーした Azure Key Vault キーの URI を渡します。
API バージョンとして 2021-11-15 以降を使います。

重要

カスタマーマネージドキーでアカウントが正常に作成されるには、次の例で示すように、locations プロパティを明示的に設定する必要があります。

{
  "type": "Microsoft.DocumentDB/databaseAccounts",
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "<identity-resource-id>": {}
    }
  },
  // ...
  "properties": {
    "backupPolicy": {
      "type": "Continuous"
    },
    "defaultIdentity": "UserAssignedIdentity=<identity-resource-id>""keyVaultKeyUri": "<key-vault-key-uri>"
    // ...
  }
}

使用不可

マネージド ID で構成された継続的アカウントを復元する

ソースアカウントのマネージド ID (ユーザー割り当て ID とシステム割り当て ID) をターゲットデータベースアカウントに自動的に引き継ぎることができないため、復元要求ではユーザー割り当て ID が必要です。

Azure CLI
PowerShell、Azure Resource Manager テンプレート、Azure portal

Azure CLI を使用すると、システム割り当てマネージド ID またはユーザー割り当てマネージド ID を使用して既に構成されている継続的アカウントを復元できます。

復元プロセスに新しいユーザー割り当て ID を作成 (または既存の ID を使用) します。
前に説明したように、Azure Key Vault アカウントに新しいアクセスポリシーを作成します。手順 1. のマネージド ID のオブジェクト ID を使用します。

Azure CLI を使用して復元をトリガーします。

# Variables for resource group and account names
resourceGroupName="<resource-group-name>"
sourceAccountName="<source-azure-cosmos-db-account-name>"
targetAccountName="<target-azure-cosmos-db-account-name>"

# Variable for ___location
___location="<azure-region>"

# Variables for identities
identityId="<identity-resource-id>"

# Variable for timestamp to restore to
timestamp="<timestamp-in-utc>"

az cosmosdb restore \ 
    --resource-group $resourceGroupName \
    --account-name $sourceAccountName \
    --target-database-account-name $targetAccountName \
    --___location $___location \
    --restore-timestamp $timestamp \
    --assign-identity $identityId \
    --default-identity "UserAssignedIdentity=$identityId" \

復元が完了すると、ターゲット (復元された) アカウントにユーザー割り当て ID が割り当てられます。必要に応じて、ユーザーはシステム割り当てマネージド ID を使用するようにアカウントを更新できます。

使用不可

カスタマーマネージドキーと二重暗号化

カスタマーマネージドキーを使用する場合、Azure Cosmos DB アカウントに格納するデータは最終的に 2 回暗号化されます。

Microsoft管理キーによる既定の暗号化を1度実行します。
顧客管理キーを使用して行われる追加の暗号化を通過した後。

二重暗号化は、メインの Azure Cosmos DB トランザクションストレージにのみ適用されます。カスタマーマネージドキーを使用していても、機能によっては、二重暗号化が提供されない第 2 階層のストレージにデータが内部で複製されます。これには次の機能があります。

キーのローテーション

Azure Cosmos DB アカウントで使用されるカスタマーマネージドキーのローテーションは、次の 2 つの方法で行うことができます。

Azure Key Vault から、現在使用されているキーの新しいバージョンを作成します。

アカウントのキー URI を更新して、現在使用されているキーを別のキーに切り替えます。 Azure portal から、Azure Cosmos DB アカウントに移動し、左側のメニューから [データ暗号化] を選択します。

リソースナビゲーションメニューの [データ暗号化] オプションのスクリーンショット。

次に、 [キー URI] を使用する新しいキーに置き換え、 [保存] を選択します。

PowerShell で同じ結果を実現するには、次のようにします。

# Variable for resource group name
$RESOURCE_GROUP_NAME = "<resource-group-name>"

# Variable for account name
$ACCOUNT_NAME = "<globally-unique-account-name>"

# Variable for new key URI in the key vault
$NEW_KEY_VAULT_KEY_URI="https://<key-vault-name>.vault.azure.net/keys/<new-key-name>"

$parameters = @{
    ResourceGroupName = $RESOURCE_GROUP_NAME 
    Name = $ACCOUNT_NAME
    ResourceType = "Microsoft.DocumentDb/databaseAccounts"
}
$ACCOUNT = Get-AzResource @parameters

$ACCOUNT.Properties.keyVaultKeyUri = $NEW_KEY_VAULT_KEY_URI

$ACCOUNT | Set-AzResource -Force

前のキーまたはキーバージョンは、Azure Key Vault 監査ログに Azure Cosmos DB からそのキーまたはキーバージョンに対するアクティビティが出現しなくなった後に無効にすることができます。キーのローテーションから 24 時間が経過すれば、以前のキーまたはキーのバージョンに対するアクティビティが実行されることはないでしょう。

以前のキーが無効または削除されていない限り、Azure Key Vault でのキーの自動ローテーションがサポートされます。内部システムでは、アカウントが失効状態になっていないか、カスタマーマネージドキーを有効にするための移行中であることを検証した後、キーの新しいバージョンに追いつくために少し時間が必要です。

エラー処理

Azure Cosmos DB でカスタマーマネージドキーによるエラーが発生した場合、Azure Cosmos DB によって、エラーの詳細が HTTP サブ状態コードと共に応答で返されます。 HTTP サブ状態コードを使用して、問題の根本原因をデバッグできます。サポートされている HTTP 副状態コードの一覧を取得するには、「 Azure Cosmos DB の HTTP 状態コード」を参照してください。

よく寄せられる質問

Azure Cosmos DB でのカスタマーマネージドキーの設定に関してよく寄せられる質問を次に示します。

カスタマーマネージドキーを有効にするために追加料金は発生しますか?

いいえ、この機能を有効にするためにかかる料金はありません。

カスタマーマネージドキーは容量計画にどのような影響がありますか?

データベース操作によって使用される要求ユニット (RU) は、カスタマーマネージドキーを使用するときにデータの暗号化と暗号化解除を実行するために必要な追加の処理を反映するように増加します。追加の RU 消費量により、プロビジョニングされた容量の使用率が若干高くなる可能性があります。ガイダンスのためにこの表を使用してください。

操作の種類	ユニット増加の要請
ポイント読み取り (ID による項目のフェッチ)	+ 5%/操作
任意の書き込み操作	操作あたり + 6% \|インデックス付きプロパティあたり約 + 0.06 RU
クエリ、変更フィードの読み取り、または競合フィード	操作ごとに+15%

カスタマーマネージドキーでどのようなデータが暗号化されますか?

カスタマーマネージドキーでは、次のメタデータを除き、ご自分の Azure Cosmos DB アカウントに格納されているすべてのデータが暗号化されます。

Azure Cosmos DB アカウント、データベース、およびコンテナーの名前
ストアドプロシージャの名前
インデックス作成ポリシーで宣言されているプロパティパス
お使いのコンテナーのパーティションキーの値

カスタマーマネージドキーは既存の Azure Cosmos DB アカウントでサポートされますか?

はい。詳細については、「 Azure Key Vault を使用して既存の Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する」を参照してください。

Azure Cosmos DB の分析ストアと共にカスタマーマネージドキーを使用することはできますか?

はい。Azure Synapse Link では、Azure Cosmos DB アカウントのマネージド ID を使用したカスタマーマネージドキーの構成のみがサポートされています。ご利用のアカウントで Azure Synapse Link を有効にするには、Azure Key Vault アクセスポリシーで Azure Cosmos DB アカウントのマネージド ID を使用する必要があります。マネージド ID を有効にしてアクセスポリシーで使用する方法に関する攻略ガイドについては、マネージド ID を使用して Azure Cosmos DB から Azure Key Vault にアクセスする方法に関するページを参照してください。

アカウントレベルのキーより細かい粒度をサポートする計画はありますか?

現時点ではありませんが、コンテナーレベルのキーが検討されています。

Azure Cosmos DB アカウントでカスタマーマネージドキーが有効かどうかを確認するにはどうすればよいですか?

Azure portal から Azure Cosmos DB アカウントに移動し、左側のメニューの [データ暗号化 ] エントリを確認します。このエントリが存在する場合は、アカウントでカスタマーマネージドキーが有効になります。

リソースナビゲーションメニューの [データ暗号化] オプションのスクリーンショット。

プログラムで Azure Cosmos DB アカウントの詳細をフェッチして、keyVaultKeyUri プロパティの存在を確認することもできます。

カスタマーマネージドキーは定期的なバックアップにどのように影響しますか?

Azure Cosmos DB は、アカウントに格納されているデータの定期的な自動バックアップを取得します。この操作では、暗号化されたデータがバックアップされます。

定期的なバックアップを正常に復元するには、次の条件が必要です。

バックアップ時に使用した暗号化キーは、Azure Key Vault で使用できる必要があります。この条件には、失効されておらず、バックアップの時点で使用していたキーのバージョンがまだ有効である必要があります。
アクセスポリシーでシステム割り当てマネージド ID を使用した場合は、データを復元する前に、一時的にAzure Cosmos DB ファーストパーティ ID へのアクセスを許可します。この要件は、システム割り当てマネージド ID はアカウントに固有であり、ターゲットアカウントで再利用できないために存在します。データがターゲットアカウントに完全に復元されたら、目的の ID 構成を設定し、Key Vault のアクセスポリシーからファーストパーティの ID を削除できます。

カスタマーマネージドキーは継続的バックアップにどのように影響しますか?

Azure Cosmos DB には、アカウントで継続的バックアップを構成するオプションが用意されています。継続的バックアップを使用すると、過去 30 日以内の任意の時点にデータを復元できます。カスタマーマネージドキーが有効になっているアカウントで継続的バックアップを使用するには、Key Vault のアクセスポリシーでシステム割り当てまたはユーザー割り当てマネージド ID を使用する必要があります。 Azure Cosmos DB ファーストパーティ ID は、現在、継続的バックアップを使用するアカウントではサポートされていません。

ユーザーに割り当てられたIDの更新のために顧客管理キーを利用するアカウントの前提条件の手順。

Cosmos DB アカウントにユーザー割り当て ID を追加し、キーコンテナーのアクセスポリシーにアクセス許可を付与します。
Azure CLI または Azure Resource Manager (ARM) を使用して、ユーザー割り当て ID を既定の ID として設定します。

az cosmosdb update --resource-group MyResourceGroup --name MyAccountName --default-identity UserAssignedIdentity=/subscriptions/MySubscriptionId/resourcegroups/MyResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MyUserAssignedIdentity

ポイントインタイムリストアが正常に実行するには、次の条件が必要です。

カスタマーマネージドキーへのアクセスは、アカウントの既定の ID で使用できる必要があります。キーがローテーションされている場合は、ローテーションプロセスを完全に完了するか、アカウントが古いキーバージョンと新しいキーバージョンの両方にアクセスできる必要があります。
ソースアカウントでもともと使われていたユーザー割り当てマネージド ID が、Key Vault のアクセスポリシーでまだ宣言されていることを確認する必要があります。

重要

アカウントを削除する前に暗号化キーを取り消すと、アカウントのバックアップで、失効が行われる 1 時間前までに書き込まれたデータが失われる可能性があります。

暗号化キーを失効させるにはどうすればよいですか?

キーの失効は、そのキーの最新バージョンを無効にすることによって行われます。

あるいは、Azure Key Vault インスタンスからすべてのキーを失効させるために、Azure Cosmos DB プリンシパルに付与されているアクセスポリシーを削除することもできます。

カスタマーマネージドキーが失効した後、どのような操作を使用できますか?

アカウントの削除は、暗号化キーが取り消された場合に可能な唯一の操作です。

復元されたデータベースアカウントに新しいマネージド ID を割り当てて、データベースアカウントへのアクセスを続行するか、アクセスを回復します

ユーザー割り当て ID は、指定された Cosmos DB アカウントに関連付けられます。ユーザー割り当て ID をアカウントに割り当てるたびに、ARM は要求をマネージドサービス ID に転送してこの接続を確立します。現在、CMK + ユーザー割り当て ID の復元中 (継続的および定期的なバックアップ復元の両方) 中に、ソースデータベースアカウントからターゲットデータベースアカウントにユーザー ID 情報を引き継ぎ、

ID メタデータはソースデータベースアカウントにバインドされ、復元ワークフローではターゲットデータベースアカウントに ID が再スコープされません。これにより、復元されたデータベースアカウントが正しくない状態になり、ソースアカウントが削除され、ID の更新時間が切れた後にアクセスできなくなります。

新しいマネージド ID を割り当てる手順:

次のステップ

Azure Cosmos DB でのデータ暗号化

フィードバック

このページはお役に立ちましたか?

次の方法で共有

Azure Key Vault で Azure Cosmos DB アカウントのカスタマー マネージド キーを構成する

前提条件

Azure Cosmos DB リソース プロバイダーを登録する

Azure Key Vault インスタンスを構成する

推奨されるセキュリティ モデルを選択する

アクセス ポリシーの追加

ロールベースのアクセス制御ロールを追加する

ロールが正しく設定されていることを検証する

Azure Key Vault でキーを生成する

新しい Azure Cosmos DB アカウントを作成する

Azure Key Vault アクセス ポリシーでのマネージド ID の使用

継続的バックアップでカスタマー マネージド キーを使用する

マネージド ID で構成された継続的アカウントを復元する

カスタマー マネージド キーと二重暗号化

キーのローテーション

エラー処理

よく寄せられる質問

カスタマー マネージド キーを有効にするために追加料金は発生しますか?

カスタマー マネージド キーは容量計画にどのような影響がありますか?

カスタマー マネージド キーでどのようなデータが暗号化されますか?

カスタマー マネージド キーは既存の Azure Cosmos DB アカウントでサポートされますか?

Azure Cosmos DB の分析ストアと共にカスタマー マネージド キーを使用することはできますか?

アカウント レベルのキーより細かい粒度をサポートする計画はありますか?

Azure Cosmos DB アカウントでカスタマー マネージド キーが有効かどうかを確認するにはどうすればよいですか?

カスタマー マネージド キーは定期的なバックアップにどのように影響しますか?

カスタマー マネージド キーは継続的バックアップにどのように影響しますか?

暗号化キーを失効させるにはどうすればよいですか?

カスタマー マネージド キーが失効した後、どのような操作を使用できますか?

復元されたデータベース アカウントに新しいマネージド ID を割り当てて、データベース アカウントへのアクセスを続行するか、アクセスを回復します

次のステップ

フィードバック

その他のリソース

Azure Key Vault で Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する

Azure Cosmos DB リソースプロバイダーを登録する

推奨されるセキュリティモデルを選択する

アクセスポリシーの追加

Azure Key Vault アクセスポリシーでのマネージド ID の使用

継続的バックアップでカスタマーマネージドキーを使用する

カスタマーマネージドキーと二重暗号化

カスタマーマネージドキーを有効にするために追加料金は発生しますか?

カスタマーマネージドキーは容量計画にどのような影響がありますか?

カスタマーマネージドキーでどのようなデータが暗号化されますか?

カスタマーマネージドキーは既存の Azure Cosmos DB アカウントでサポートされますか?

Azure Cosmos DB の分析ストアと共にカスタマーマネージドキーを使用することはできますか?

アカウントレベルのキーより細かい粒度をサポートする計画はありますか?

Azure Cosmos DB アカウントでカスタマーマネージドキーが有効かどうかを確認するにはどうすればよいですか?

カスタマーマネージドキーは定期的なバックアップにどのように影響しますか?

カスタマーマネージドキーは継続的バックアップにどのように影響しますか?

カスタマーマネージドキーが失効した後、どのような操作を使用できますか?

復元されたデータベースアカウントに新しいマネージド ID を割り当てて、データベースアカウントへのアクセスを続行するか、アクセスを回復します