2 セットの認証資格情報を持つリソースのシークレットのローテーションを自動化する

2025-04-24

Azure サービスに対して認証を行う最善の方法はマネージド ID を使用することですが、オプションではないシナリオがいくつかあります。このような場合は、アクセスキーまたはパスワードが使用されます。アクセスキーとパスワードは頻繁にローテーションする必要があります。

このチュートリアルでは、2 セットの認証資格情報を使用するデータベースとサービスのシークレットの定期的なローテーションを自動化する方法について説明します。さまざまな資産の種類にわたる自動ローテーションの概念と利点の包括的な概要については、「 Azure Key Vault の自動ローテーションについて」を参照してください。

具体的には、このチュートリアルでは、Azure Key Vault に格納されている Azure Storage アカウントキーをシークレットとしてローテーションする方法について説明します。 Azure Event Grid 通知によってトリガーされる関数を使用します。

注

ストレージアカウントサービスの場合は、Microsoft Entra ID を使用して要求を承認することをお勧めします。詳しくは、Microsoft Entra ID を使用した BLOB へのアクセスの認可に関する記事をご覧ください。アクセスキーを持つストレージアカウント接続文字列を必要とするサービスがあります。このシナリオでは、このソリューションをお勧めします。

このチュートリアルで説明する回転ソリューションを次に示します。

回転ソリューションを示す図。

このソリューションでは、Azure Key Vault はストレージアカウントの個々のアクセスキーを同じシークレットのバージョンとして格納し、以降のバージョンではプライマリキーとセカンダリキーを交互に格納します。 1 つのアクセスキーが最新バージョンのシークレットに格納されると、代替キーが再生成され、シークレットの新しい最新バージョンとして Key Vault に追加されます。このソリューションは、最新の再生成されたキーに更新するアプリケーションのローテーションサイクル全体を提供します。

シークレットの有効期限日の 30 日前に、Key Vault は有効期限に近いイベントを Event Grid に発行します。
Event Grid はイベントサブスクリプションをチェックし、HTTP POST を使用して、イベントをサブスクライブしている関数アプリエンドポイントを呼び出します。
関数アプリは、(最新のキーではなく) 代替キーを識別し、ストレージアカウントを呼び出して再生成します。
関数アプリは、新しい再生成されたキーをシークレットの新しいバージョンとして Azure Key Vault に追加します。

[前提条件]

Azure サブスクリプション。無料で作成できます。
Azure Cloud Shell。このチュートリアルでは、ポータル Cloud Shell と PowerShell env を使用しています
Azure Key Vault。
2 つの Azure ストレージアカウント。

注

共有ストレージアカウントキーのローテーションでは、そのキーに基づいて生成されたアカウントレベルの Shared Access Signature (SAS) が取り消されます。ストレージアカウントキーのローテーション後、アプリケーションの中断を回避するために、アカウントレベルの SAS トークンを再生成する必要があります。

既存のキーコンテナーと既存のストレージアカウントがない場合は、このデプロイリンクを使用できます。

$[Deploy to Azure]$Azure へのデプロイ$ というラベルの付いたリンク。$

[リソースグループ] で、 [新規作成] を選択します。グループ ボールトのローテーション に名前を付け、OK を選択します。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

これで、キーコンテナーと 2 つのストレージアカウントが作成されます。このセットアップは、Azure CLI または Azure PowerShell で次のコマンドを実行して確認できます。

Azure CLI
Azure PowerShell

az resource list -o table -g vaultrotation

Get-AzResource -Name 'vaultrotation*' | Format-Table

結果は次の出力のようになります。

Name                     ResourceGroup         Location    Type                               Status
-----------------------  --------------------  ----------  ---------------------------------  --------
vaultrotation-kv         vaultrotation      westus      Microsoft.KeyVault/vaults
vaultrotationstorage     vaultrotation      westus      Microsoft.Storage/storageAccounts
vaultrotationstorage2    vaultrotation      westus      Microsoft.Storage/storageAccounts

キーローテーション関数を作成してデプロイする

次に、他の必要なコンポーネントに加えて、システムマネージド ID を持つ関数アプリを作成します。また、ストレージアカウントキーのローテーション関数もデプロイします。

関数アプリのローテーション関数には、次のコンポーネントと構成が必要です。

Azure App Service プラン
関数アプリトリガーを管理するためのストレージアカウント
Key Vault 内のシークレットにアクセスするためのアクセスポリシー
ストレージアカウントアクセスキーにアクセスできるように、関数アプリに割り当てられたストレージアカウントキーオペレーターサービスロール
イベントトリガーと HTTP トリガーを含むキーローテーション関数 (オンデマンドローテーション)
SecretNearExpiry イベントの Event Grid イベントサブスクリプション

Azure テンプレートのデプロイリンクを選択します。
リソースグループの一覧で、vaultrotationを選択します。
[ ストレージアカウント RG ] ボックスに、ストレージアカウントが配置されているリソースグループの名前を入力します。ストレージアカウントが、キーローテーション関数をデプロイするのと同じリソースグループに既に存在する場合は、既定値 [resourceGroup().name] をそのまま使用します。
[ ストレージアカウント名] ボックスに、ローテーションするアクセスキーを含むストレージアカウントの名前を入力します。前提条件で作成したストレージアカウントを使用する場合 は、既定値 [concat(resourceGroup().name, 'storage')] のままにします。
[ Key Vault RG ] ボックスに、キーコンテナーが配置されているリソースグループの名前を入力します。キーローテーション関数をデプロイするのと同じリソースグループにキーコンテナーが既に存在する場合は、既定値 [resourceGroup().name] のままにします。
[ キーコンテナー名 ] ボックスに、キーコンテナーの名前を入力します。前提条件で作成したキーコンテナーを使用する場合は、既定値 [concat(resourceGroup().name, '-kv')] をそのまま使用してください。
[ App Service プランの種類 ] ボックスで、[ホスティングプラン] を選択します。 Premium プラン は、キーコンテナーがファイアウォールの内側にある場合にのみ必要です。
[ 関数アプリ名 ] ボックスに、関数アプリの名前を入力します。
[ シークレット名] ボックスに、アクセスキーを格納するシークレットの名前を入力します。
[ Repo URL ] ボックスに、関数コードの GitHub の場所を入力します。このチュートリアルでは、 https://github.com/Azure-Samples/KeyVault-Rotation-StorageAccountKey-PowerShell.git を使用できます。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

上記の手順を完了すると、ストレージアカウント、サーバーファーム、関数アプリ、Application Insights が作成されます。デプロイが完了すると、次のページが表示されます。

[デプロイが完了しました] ページを示すスクリーンショット。

注

エラーが発生した場合は、[ 再デプロイ ] を選択してコンポーネントのデプロイを完了できます。

ローテーション関数のデプロイテンプレートとコードについては、 Azure サンプルを参照してください。

ストレージアカウントのアクセスキーを Key Vault シークレットに追加する

まず、アクセスポリシーを設定して、 管理シークレットの アクセス許可をユーザープリンシパルに付与します。

Azure CLI
Azure PowerShell

az keyvault set-policy --upn <email-address-of-user> --name vaultrotation-kv --secret-permissions set delete get list

Set-AzKeyVaultAccessPolicy -UserPrincipalName <email-address-of-user> --name vaultrotation-kv -PermissionsToSecrets set,delete,get,list

ストレージアカウントのアクセスキーを値として使用して、新しいシークレットを作成できるようになりました。また、ストレージアカウントのリソース ID、シークレットの有効期間、およびキー ID をシークレットに追加して、ローテーション関数がストレージアカウント内のキーを再生成できるようにする必要もあります。

ストレージアカウントのリソース ID を決定します。この値は、 id プロパティにあります。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

キー値を取得できるように、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

有効期間が 60 日間のキーコンテナーにシークレットを追加し、ストレージアカウントリソース ID を使用して、有効期限を明日にすぐに設定してローテーションをトリガーするデモンストレーションを目的としています。 key1ValueとstorageAccountResourceIdの取得した値を使用して、次のコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey --vault-name vaultrotation-kv --value <key1Value> --tags "CredentialId=key1" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (Get-Date).AddDays(+1).ToString('yyy-MM-ddTHH:mm:ssZ')
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key1'
    ProviderAddress='<storageAccountResourceId>'
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

このシークレットは、数分以内 SecretNearExpiry イベントをトリガーします。このイベントにより、有効期限が 60 日に設定されたシークレットをローテーションする関数がトリガーされます。この構成では、'SecretNearExpiry' イベントは 30 日 (有効期限の 30 日前) ごとにトリガーされ、ローテーション関数は key1 と key2 の間のローテーションを交互に行います。

アクセスキーが再生成されたことを確認するには、ストレージアカウントキーと Key Vault シークレットを取得して比較します。

次のコマンドを使用して、シークレット情報を取得します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey -AsPlainText

CredentialIdが代替keyNameに更新され、valueが再生成されていることに注意してください。

最初のストレージアカウントの A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

キーの value は、キーコンテナー内のシークレットと同じであることに注意してください。

最初のストレージアカウントの A Z ストレージアカウントキーリストコマンドの出力を示すスクリーンショット。

複数のストレージアカウントに既存のローテーション関数を使用する

同じ関数アプリを再利用して、複数のストレージアカウントのキーをローテーションできます。

ローテーションのためにストレージアカウントキーを既存の関数に追加するには、次のものが必要です。

ストレージアカウントアクセスキーにアクセスできるように、関数アプリに割り当てられたストレージアカウントキーオペレーターサービスロール。
SecretNearExpiry イベントの Event Grid イベントサブスクリプション。

Azure テンプレートのデプロイリンクを選択します。
リソースグループの一覧で、vaultrotationを選択します。
[ ストレージアカウント RG ] ボックスに、ストレージアカウントが配置されているリソースグループの名前を入力します。ストレージアカウントが、キーローテーション関数をデプロイするのと同じリソースグループに既に存在する場合は、既定値 [resourceGroup().name] をそのまま使用します。
[ ストレージアカウント名] ボックスに、ローテーションするアクセスキーを含むストレージアカウントの名前を入力します。
[ Key Vault RG ] ボックスに、キーコンテナーが配置されているリソースグループの名前を入力します。キーローテーション関数をデプロイするのと同じリソースグループにキーコンテナーが既に存在する場合は、既定値 [resourceGroup().name] のままにします。
[ キーコンテナー名 ] ボックスに、キーコンテナーの名前を入力します。
[ 関数アプリ名 ] ボックスに、関数アプリの名前を入力します。
[ シークレット名] ボックスに、アクセスキーを格納するシークレットの名前を入力します。
[Review + create](レビュー + 作成) を選択します。
を選択してを作成します。

Key Vault シークレットにストレージアカウントアクセスキーを追加する

ストレージアカウントのリソース ID を決定します。この値は、 id プロパティにあります。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage2

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

key2 値を取得できるように、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage2

Get-AzStorageAccountKey -Name vaultrotationstorage2 -ResourceGroupName vaultrotation

有効期間が 60 日間のキーコンテナーにシークレットを追加し、ストレージアカウントリソース ID を使用して、有効期限を明日にすぐに設定してローテーションをトリガーするデモンストレーションを目的としています。 key2ValueとstorageAccountResourceIdの取得した値を使用して、次のコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey2 --vault-name vaultrotation-kv --value <key2Value> --tags "CredentialId=key2" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (get-date).AddDays(+1).ToString("yyyy-MM-ddTHH:mm:ssZ")
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key2';
    ProviderAddress='<storageAccountResourceId>';
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey2 -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

次のコマンドを使用して、シークレット情報を取得します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey2

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey2 -AsPlainText

CredentialIdが代替keyNameに更新され、valueが再生成されていることに注意してください。

2 つ目のストレージアカウントの A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

キーの value は、キーコンテナー内のシークレットと同じであることに注意してください。

2 番目のストレージアカウントの A Z ストレージアカウントキーリストコマンドの出力を示すスクリーンショット。

シークレットのローテーションを無効にする

シークレットの Event Grid サブスクリプションを削除するだけで、シークレットのローテーションを無効にすることができます。 Azure PowerShell Remove-AzEventGridSubscription コマンドレットまたは Azure CLI az event grid event--subscription delete コマンドを使用します。

Key Vault の 2 セットの資格情報のローテーション機能

資格情報の2セットに対応する循環関数テンプレートと、すぐに使用できるいくつかの関数。

注

これらのローテーション関数は、Microsoft ではなくコミュニティのメンバーによって作成されます。コミュニティ機能は、Microsoft サポートプログラムまたはサービスではサポートされておらず、いかなる種類の保証もなく、AS IS で利用できます。

次の方法で共有

2 セットの認証資格情報を持つリソースのシークレットのローテーションを自動化する

[前提条件]

キー ローテーション関数を作成してデプロイする

ストレージ アカウントのアクセス キーを Key Vault シークレットに追加する

複数のストレージ アカウントに既存のローテーション関数を使用する

Key Vault シークレットにストレージ アカウント アクセス キーを追加する

シークレットのローテーションを無効にする

Key Vault の 2 セットの資格情報のローテーション機能

次のステップ

フィードバック

その他のリソース

キーローテーション関数を作成してデプロイする

ストレージアカウントのアクセスキーを Key Vault シークレットに追加する

複数のストレージアカウントに既存のローテーション関数を使用する

Key Vault シークレットにストレージアカウントアクセスキーを追加する