カスタマーマネージドキーを使用して App Configuration データを暗号化する

Azure App Configuration では、保存されている機密情報を暗号化します。カスタマーマネージドキーを使用すると、暗号化キーをより高度に制御できるようにすることで、データ保護が強化されます。マネージドキー暗号化を使用すると、App Configuration のすべての機密情報が、指定した Azure Key Vault キーで暗号化されます。その結果、必要に応じて暗号化キーをローテーションできます。キーへのストアのアクセスを取り消すことで、App Configuration ストアの機密情報へのアクセスを取り消すこともできます。

概要

App Configuration は、Microsoft が提供する 256 ビットの Advanced Encryption Standard (AES) 暗号化キーを使用して、保存中の機密情報を暗号化します。すべての App Configuration ストアには、サービスによって管理され、機密情報の暗号化に使用される独自の暗号化キーがあります。機密情報には、キーと値のペアで検出された値が含まれます。

App Configuration でカスタマーマネージドキーを使用すると、次のイベントが発生します。

App Configuration は、App Configuration ストアに割り当てられたマネージド ID を使用して、Microsoft Entra ID で認証します。
マネージド ID は Key Vault を呼び出し、App Configuration ストアの暗号化キーをラップします。
ラップされた暗号化キーが格納されます。
ラップされていない暗号化キーは、App Configuration 内に 1 時間キャッシュされます。
App Configuration は、App Configuration ストアの暗号化キーのラップされていないバージョンを 1 時間ごとに更新します。

この処理により、通常の運用条件下での可用性が保証されます。

重要

次のいずれかの条件が満たされると、App Configuration ストアに格納されている機密情報を復号化できません。

App Configuration ストアに割り当てられた ID は、ストアの暗号化キーのラップを解除する権限がなくなりました。
マネージドキーは完全に削除されます。
使用中のマネージドキーのバージョンの有効期限が切れます。

Key Vault の論理的な削除関数を使用して、誤って暗号化キーを削除する可能性を軽減できます。基になるマネージドキーの有効期限が切れる可能性を軽減するために、マネージドキー暗号化を構成し、Key Vault でキーの自動ローテーションを設定するときに、キーのバージョンを省略できます。詳細については、この記事で後述する「キーのローテーション」を参照してください。

必要条件

App Configuration のカスタマーマネージドキー機能を正常に有効にするには、次のコンポーネントが必要です。この記事では、これらのコンポーネントを設定する方法について説明します。

Standard レベルまたは Premium レベルの App Configuration ストア。
ソフト削除と消去防止機能が有効になっている Key Vault のインスタンス。
次の要件を満たすキーボールト内のキー。
- ハードウェアセキュリティモジュール (RSA-HSM) を使用する Rivest-Shamir-Adleman (RSA) 暗号化または RSA 暗号化を使用します。
- 有効期限が切れていない。
- 有効になっています。
- ラップ機能とラップ解除機能が有効になっています。

この記事では、これらのリソースを構成する方法について説明した後、App Configuration ストアで Key Vault キーを使用できるように、次の手順について説明します。

App Configuration ストアにマネージド ID を割り当てます。
Key Vault キーにアクセスできるように、ID にアクセス許可を付与します。
- Azure ロールベースのアクセス制御 (Azure RBAC) を使用するキーコンテナーの場合は、ターゲット キーコンテナーで Key Vault Crypto Service Encryption ユーザー ロールを ID に割り当てます。
- アクセスポリシー認可を使用するキーコンテナーの場合は、ターゲットキーコンテナーのアクセスポリシーで GET、WRAP、および UNWRAP アクセス許可を ID に付与します。

カスタマーマネージドキー暗号化を有効にする

カスタマーマネージドキー暗号化を使用するには、次のセクションの手順を実行します。

リソースを作成する

App Configuration ストアがない場合は、Standard レベルまたは Premium レベルで作成します。手順については、「クイックスタート: Azure App Configuration ストアを作成する」を参照してください。
次の Azure CLI コマンドを実行して、消去保護が有効になっている Key Vault のインスタンスを作成します。論理的な削除は既定で有効になっています。 <vault-name>と<resource-group-name>を独自の一意の値に置き換えます。
```
az keyvault create --name <vault-name> --resource-group <resource-group-name> --enable-purge-protection
```
このコマンドの出力には、キーコンテナーのリソース ID idが一覧表示されます。次の形式の値に注意してください。

/subscriptions/<subscription-ID>/resourceGroups/<resource-group-name>/providers/Microsoft.KeyVault/vaults/<vault-name>
Azure CLI を使用して、キーを作成する必要があるキーコンテナーへのアクセス権を自分自身に割り当てます。使用するコマンドは、キーボールトが使用する承認システムによって異なります。次の 2 つのモデルを使用できます。
- Azure RBAC モデル
- アクセスポリシーモデル
どちらのモデルでも、コマンドを実行するにはユーザーオブジェクト ID が必要です。次のいずれかの方法を使用して、ユーザーオブジェクト ID を見つけることができます。
- Azure CLI で az ad user show --id <user-principal-name> コマンドを使用します。ここで、 <user-principal-name> はユーザープリンシパル名 (UPN) です。
- Azure portal を使用します。
  1. [Microsoft Entra ID] を選択し、[管理>ユーザー] を選択します。
  2. 検索ボックスに自分の名前を入力し、結果でユーザー名を選択します。
  3. オブジェクト ID の値をコピーします。
キーコンテナーの承認システムに適したコマンドを実行して、自分自身にアクセス権を割り当てます。
- Azure RBAC
- アクセスポリシー
プレースホルダーを次の値に置き換えます。
- <user-object-ID>の場合は、見つけたオブジェクト ID を使用します。
- <role>の場合は、キーを作成するために必要なアクセス権を付与する Key Vault Crypto Officer などのロールを使用します。ロール名を引用符で囲みます。
- <vault-resource-ID>の場合は、前の手順のキーコンテナーリソース ID を使用します。
```
az role assignment create --assignee <user-object-ID> --role <role> --scope <vault-resource-ID>
```
プレースホルダーを次の値に置き換えます。
- <vault-name>の場合は、ステップ 2 のキーボールトの名前を使用します。
- <user-object-ID>の場合は、見つけたオブジェクト ID を使用します。
```
az keyvault set-policy -n <vault-name> --object-id <user-object-ID> --key-permissions create
```
次のコマンドを実行して、Key Vault キーを作成します。プレースホルダーを次の値に置き換えます。
- <key-name>の場合は、独自の一意の値を使用します。
- <key-type>の場合:
  - RSA 暗号化には RSA を使用します。
  - RSA-HSM 暗号化には RSA-HSM を使用します。 RSA-HSM 暗号化は Premium レベルでのみ使用できます。
- <vault-name>の場合は、ステップ 2 のキーボールトの名前を使用します。
```
az keyvault key create --name <key-name> --kty <key-type> --vault-name <vault-name>
```
このコマンドの出力には、生成されたキーのキー ID kidが一覧表示されます。次の形式の値に注意してください。

https://<vault-name>.vault.azure.net/keys/<key-name>/<key-version>

キー ID には、次のコンポーネントが含まれています。
- キーボールト URI: https://<vault-name>.vault.azure.net
- キーコンテナーのキー名: <key-name>
- キーコンテナーのキーバージョン: <key-version>
次のいずれかのオプションを使用して、App Configuration ストアのマネージド ID を作成します。
- ユーザー割り当てマネージド ID を作成するには、「ユーザー割り当て ID の追加」の手順に従います。 ID の clientId プロパティと principalId プロパティの値に注意してください。
- システム割り当てマネージド ID を作成するには、次の Azure CLI コマンドを使用します。プレースホルダーを次の値に置き換えます。
  - <App-Configuration-store-name>の場合は、手順 1 の App Configuration ストアの名前を使用します。
  - <resource-group-name>の場合は、App Configuration ストアを含むリソースグループの名前を使用します。
```
az appconfig identity assign --name <App-Configuration-store-name> --resource-group <resource-group-name> --identities [system]
```
このコマンドの出力には、システム割り当て ID のプリンシパル ID、 principalId、テナント ID tenantIdが含まれます。 principalID プロパティの値に注意してください。
```
{
    "principalId": <principal-ID>,
    "tenantId": <tenant-ID>,
    "type": "SystemAssigned",
    "userAssignedIdentities": null
}
```

アクセス権を付与し、キーを有効にする

App Configuration ストアのマネージド ID は、キーの検証、暗号化、および暗号化解除を実行するためにキーにアクセスする必要があります。具体的には、マネージド ID は、キーの GET、 WRAP、および UNWRAP アクションにアクセスする必要があります。

Azure RBAC を使用するキーコンテナーの場合は、マネージド ID に Key Vault Crypto Service Encryption ユーザー ロールを割り当てることで、これらのアクセス許可を付与できます。
アクセスポリシー承認を使用するキーボールトの場合は、これらのキーアクセス許可に対してポリシーを設定できます。

キーコンテナーの承認システムに適したコマンドを使用して、マネージドキーへのアクセス権をマネージド ID に付与します。どちらのシステムでも、 <managed-identity-principal-ID> を前の手順のプリンシパル ID に置き換えます。
- Azure RBAC
- アクセスポリシー
<key-vault-resource-id>を、「リソースの作成」の手順 2 のキーコンテナーのリソース ID に置き換えます。
```
az role assignment create --assignee <managed-identity-principal-ID> --role "Key Vault Crypto Service Encryption User" --scope <key-vault-resource-id>
```
<vault-name>は、「リソースの作成」の手順 2 のキーコンテナーの名前に置き換えます。
```
az keyvault set-policy -n <vault-name> --object-id <managed-identity-principal-ID> --key-permissions get wrapKey unwrapKey
```
次のいずれかの Azure CLI コマンドを実行して、サービスでカスタマーマネージドキー機能を有効にします。プレースホルダーを次の値に置き換えます。
- <resource-group-name>の場合は、App Configuration ストアを含むリソースグループの名前を使用します。
- <App-Configuration-store-name>の場合は、App Configuration ストアの名前を使用します。
- <key-name>と<key-vault-URI>については、「リソースの作成」の手順 4 の値を使用します。
既定では、コマンドはシステム割り当てマネージド ID を使用してキーコンテナーで認証します。
- システム割り当てマネージド ID を使用してカスタマーマネージドキーにアクセスする場合は、次のコマンドを実行します。
```
az appconfig update -g <resource-group-name> -n <App-Configuration-store-name> --encryption-key-name <key-name> --encryption-key-vault <key-vault-URI>
```
- ユーザー割り当てマネージド ID を使用してカスタマーマネージドキーにアクセスする場合は、クライアント ID を明示的に指定する次のコマンドを実行します。 <user-assigned-managed-identity-client-ID>を、「clientId」の手順 5. の値に置き換えます。
```
az appconfig update -g <resource-group-name> -n <App-Configuration-store-name> --encryption-key-name <key-name> --encryption-key-vault <key-vault-URI> --identity-client-id <user-assigned-managed-identity-client-ID>
```

これで、Key Vault に格納されているカスタマーマネージドキーを使用するように App Configuration ストアが構成されました。

カスタマーマネージドキー暗号化を無効にする

カスタマーマネージドキーの暗号化を無効にすると、App Configuration ストアは Microsoft マネージドキーの使用に戻ります。ただし、Microsoft マネージドキーに戻す前に、App Configuration は現在のキーを使用して既存のすべてのデータの暗号化を解除します。現在のキーの有効期限が切れている場合、またはそのキーへのアクセスが取り消された場合は、まずそのキーへのアクセスを復元する必要があります。

Note

暗号化にカスタマーマネージドキーではなく Microsoft マネージドキーを使用するように App Configuration ストアを構成する前に、この変更が組織のセキュリティポリシーとコンプライアンス要件と一致していることを確認してください。

現在のカスタマーマネージドキーが有効で運用可能であることを確認します。
次の Azure CLI コマンドを使用して、カスタマーマネージドキーの構成を削除して App Configuration ストアを更新します。 <resource-group-name>と<App-Configuration-store-name>を環境内の値に置き換えます。
```
az appconfig update -g <resource-group-name> -n <App-Configuration-store-name> --encryption-key-name ""
```
カスタマーマネージドキーの構成が無効になっていることを確認するには、App Configuration ストアのプロパティを確認します。
```
az appconfig show -g <resource-group-name> -n <App-Configuration-store-name> --query "encryption"
```
このコマンドの出力では、 encryption.keyVaultProperties プロパティの値は null である必要があります。

これで、暗号化に Microsoft マネージドキーを使用するように App Configuration ストアが構成されました。

アクセスの失効

App Configuration ストアでカスタマーマネージドキー機能を有効にすると、機密情報にアクセスするサービスの機能を制御できます。マネージドキーはルート暗号化キーとして機能します。

Key Vault アクセスポリシーを変更することで、App Configuration ストアのマネージドキーへのアクセスを取り消すことができます。このアクセスを取り消すと、App Configuration は 1 時間以内にユーザーデータの暗号化を解除できなくなります。この時点で、App Configuration ストアはすべてのアクセス試行を禁止します。

この状況は、App Configuration サービスにマネージドキーへのアクセス権をもう一度付与することで回復できます。 1 時間以内に、App Configuration はユーザーデータの暗号化を解除し、通常の条件下で動作できます。

Note

すべての App Configuration データは、分離されたバックアップに最大 24 時間保存されます。このデータには、復号された暗号化キーが含まれています。このデータは、サービスやサービスチームですぐに使用できるわけではありません。緊急復元中に、App Configuration はマネージドキーデータから自身を再度取り消します。

キーのローテーション

App Configuration ストアでカスタマーマネージドキーを構成する場合は、期限切れにならないよう、マネージドキーを定期的にローテーションする必要があります。キーのローテーションを成功させるには、現在のキーが有効で操作可能である必要があります。現在のキーの有効期限が切れている場合、またはそれに対する App Configuration アクセスが取り消された場合、App Configuration ストアはデータの暗号化を解除できず、ローテーションは失敗します。

自動回転

ベストプラクティスは、カスタマーマネージドキーの Key Vault で自動ローテーションを構成することです。キーを頻繁にローテーションすると、セキュリティが向上します。また、自動回転を使用する場合は、回転がないためにアクセスが失われないようにします。また、暗号化キーを手動でローテーションする必要がなくなります。

バージョンレスキー

カスタマーマネージドキー暗号化の自動ローテーションのもう 1 つのベストプラクティスは、キーコンテナーキーのバージョンを省略することです。特定のキーバージョンを構成しない場合、App Configuration はキーが自動的にローテーションされたときに最新バージョンのキーに移動できます。その結果、App Configuration ストアでは、現在使用中のマネージドキーのバージョンが期限切れになると、アクセスが失われるのを回避できます。

カスタマーマネージドキー暗号化を設定するときは、キーコンテナー内のキーの識別子を指定します。キーコンテナーのキー識別子は次のような形式です。

バージョンレスキー識別子: https://<vault-name>.vault.azure.net/keys/<key-name>
バージョン付きキー識別子 (非推奨): https://<vault-name>.vault.azure.net/keys/<key-name>/<key-version>

バージョンレスキーを構成するには、バージョンを省略する識別子形式を使用します。

次のステップ

この記事では、暗号化にカスタマーマネージドキーを使用するように App Configuration ストアを構成しました。 App Service と Azure マネージド ID を統合する方法の詳細については、次の手順に進んでください。

マネージド ID を使用して App Configuration にアクセスする

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-09-22

次の方法で共有

カスタマー マネージド キーを使用して App Configuration データを暗号化する

概要