Azure NetApp Files ボリューム暗号化用にカスタマーマネージドキーを構成する

[アーティクル]
05/02/2024

Azure NetApp Files ボリュームの暗号化でカスタマーマネージドキーを使うと、新しいボリュームを作成するときにプラットフォームマネージドキーではなく、独自のキーを使用できます。カスタマーマネージドキーを使用すると、キーのライフサイクル、キーの使用アクセス許可、キーの監査操作の間の関係を完全に管理できます。

次の図は、カスタマーマネージドキーが Azure NetApp Files でどのように機能するかを示したものです。

Azure NetApp Files が、暗号化キーへのアクセス許可をマネージド ID に付与します。マネージド ID は、ユーザーが作成して管理するユーザー割り当てマネージド ID、または NetApp アカウントに関連付けられているシステム割り当てマネージド ID のいずれかです。
NetApp アカウント用のカスタマーマネージドキーで暗号化を構成します。
ユーザーは、ステップ 1 で Azure Key Vault 管理者がアクセス許可を付与したマネージド ID を使い、Microsoft Entra ID で Azure Key Vault へのアクセスの認証を行います。
Azure NetApp Files は、Azure Key Vault のカスタマーマネージドキーを使ってアカウント暗号化キーをラップします。

カスタマーマネージドキーを使っても、Azure NetApp Files のパフォーマンスに影響はありません。プラットフォームマネージドキーとの違いは、キーの管理方法だけです。
読み取り/書き込み操作の場合、Azure NetApp Files は、暗号化と暗号化解除の操作を実行するため、アカウント暗号化キーのラップを解除する要求を Azure Key Vault に送信します。

考慮事項

カスタマーマネージドキーは、新しいボリュームでのみ構成できます。既存のボリュームをカスタマーマネージドキー暗号化に移行することはできません。
カスタマーマネージドキーを使ってボリュームを作成するには、Standard ネットワーク機能を選ぶ必要があります。 Basic ネットワーク機能を使って構成されたボリュームで、カスタマーマネージドキーボリュームを使うことはできません。ボリューム作成ページで手順に従って [Network Features] (ネットワーク機能) オプションを設定します。
セキュリティを強化するには、キーコンテナーのネットワーク設定で [パブリックアクセスの無効化] オプションを選択できます。このオプションを選ぶ場合は、[信頼された Microsoft サービスがこのファイアウォールをバイパスすることを許可する] もオンにして、Azure NetApp Files サービスに暗号化キーへのアクセスを許可する必要があります。
カスタマーマネージドキーは、マネージドシステム ID (MSI) 証明書の自動更新をサポートします。証明書が有効な場合は、手動で更新する必要はありません。
プライベートリンクサブネット上の Azure ネットワークセキュリティグループを Azure Key Vault に適用することは、Azure NetApp Files のカスタマーマネージドキーではサポートされていません。サブネットで Private endpoint network policy が有効になっていない場合、ネットワークセキュリティグループは Private Link への接続に影響しません。このオプションは無効にしておくことが必須です。
Azure NetApp Files でカスタマーマネージドキーボリュームの作成が失敗した場合は、エラーメッセージが表示されます。詳しくは、「エラーメッセージとトラブルシューティング」セクションをご覧ください。
Azure Key Vault にアクセスできなくなった場合、Azure NetApp Files は暗号化キーへのアクセスを失い、カスタマーマネージドキーで有効になっているボリュームのデータを読み書きできなくなります。このような場合は、影響を受けているボリュームのアクセスを手動で復元するためのサポートチケットを作成します。
Azure NetApp Files では、リージョン間レプリケーションまたはゾーン間レプリケーションのリレーションシップでの、ソースとデータのレプリケーションボリュームで、カスタマーマネージドキーがサポートされます。

サポートされているリージョン

Azure NetApp Files のカスタマーマネージドキーは、次のリージョンでサポートされています。

オーストラリア中部
オーストラリア中部 2
オーストラリア東部
オーストラリア南東部
ブラジル南部
ブラジル南東部
カナダ中部
カナダ東部
インド中部
米国中部
東アジア
米国東部
米国東部 2
フランス中部
ドイツ北部
ドイツ中西部
イスラエル中部
東日本
西日本
韓国中部
韓国南部
米国中北部
北ヨーロッパ
ノルウェー東部
ノルウェー西部
カタール中部
南アフリカ北部
米国中南部
インド南部
東南アジア
スウェーデン中部
スイス北部
スイス西部
アラブ首長国連邦中部
アラブ首長国連邦北部
英国南部
英国西部
西ヨーロッパ
米国西部
米国西部 2
米国西部 3

要件

最初のカスタマーマネージドキーボリュームを作成する前に、以下を設定する必要があります。

少なくとも 1 つのキーを含む Azure キーコンテナー。
- キーコンテナーでは、論理的な削除と消去保護が有効になっている必要があります。
- キーは RSA 型である必要があります。
キーコンテナーには、Azure プライベートエンドポイントが必要です。
- プライベートエンドポイントは、Azure NetApp Files に委任されたものとは異なるサブネットに存在する必要があります。サブネットは、Azure NetApp に委任されたものと同じ VNet 内にある必要があります。

Azure Key Vault と Azure プライベートエンドポイントについて詳しくは、以下をご覧ください。

カスタマーマネージドキーを使用するように NetApp アカウントを構成する

Azure portal の Azure NetApp Files で、[暗号化] を選びます。

[暗号化] ページでは、NetApp アカウントの暗号化の設定を管理できます。これには、Azure Key Vault に格納されている独自の暗号化キーを使うように NetApp アカウントを設定できるオプションが含まれます。この設定では、システム割り当て ID を NetApp アカウントに提供し、必要なキーアクセス許可を持つ ID のアクセスポリシーを追加します。
カスタマーマネージドキーを使うように NetApp アカウントを設定するとき、キーの URI を指定するには 2 つの方法があります。
- [キーコンテナーから選択する] オプションを使うと、キーコンテナーとキーを選択できます。
- [キー URI を入力] オプションを使うと、キーの URI を手動で入力できます。
Azure Key Vault への認証に使う ID の種類を選びます。 Azure キーコンテナーがアクセス許可モデルとしてコンテナーアクセスポリシーを使うように構成されている場合は、両方のオプションを使用できます。それ以外の場合は、ユーザー割り当てオプションのみを使用できます。
- [システム割り当て] を選んだ場合は、[保存] ボタンを選びます。 Azure portal によって、次のプロセスで NetApp アカウントが自動的に構成されます。システム割り当て ID が NetApp アカウントに追加されます。取得、暗号化、暗号化解除のキーアクセス許可で、アクセスポリシーが Azure キーコンテナーに作成されます。
- [ユーザー割り当て] を選んだ場合は、ID を選ぶ必要があります。 [ID の選択] を選んでコンテキストウィンドウを開き、ユーザー割り当てマネージド ID を選びます。
コンテナーアクセスポリシーを使うように Azure キーコンテナーを構成した場合、Azure portal によって、次のプロセスで NetApp アカウントが自動的に構成されます。ユーザーが選んだユーザー割り当て ID が、NetApp アカウントに追加されます。取得、暗号化、暗号化解除のキーアクセス許可で、アクセスポリシーが Azure キーコンテナーに作成されます。

Azure ロールベースのアクセス制御を使うように Azure キーコンテナーを構成した場合は、選んだユーザー割り当て ID に、次のアクションのアクセス許可を持つロールがキーコンテナーで割り当てられていることを確認する必要があります。
- Microsoft.KeyVault/vaults/keys/read
- Microsoft.KeyVault/vaults/keys/encrypt/action
- Microsoft.KeyVault/vaults/keys/decrypt/action 選んだユーザー割り当て ID が、NetApp アカウントに追加されます。ロールベースのアクセス制御 (RBAC) はカスタマイズできるので、Azure portal ではキーコンテナーへのアクセスは構成されません。 Azure Key Vault の構成について詳しくは、「Azure のロールベースのアクセス制御を使用して Key Vault のキー、証明書、シークレットへのアクセス権を付与する」をご覧ください。
[保存] を選択し、操作の状態を伝える通知を確認します。操作が成功しなかった場合は、エラーメッセージが表示されます。エラーの解決については、「エラーメッセージとトラブルシューティング」をご覧ください。

Azure CLI でカスタマーマネージドキーを使用して NetApp アカウントを構成する方法は、システム割り当て ID を使用しているか、ユーザー割り当て ID を使用しているかによって異なります。

システム割り当て ID を使用する

システム割り当て ID を使用するように NetApp アカウントを更新します。

az netappfiles account update \
    --name <account_name> \
    --resource-group <resource_group> \
    --identity-type SystemAssigned

アクセスポリシーを使用するには、アカウント ID のプリンシパル ID を含む変数を作成し、az keyvault set-policy を実行し、"Get"、"Encrypt"、"Decrypt" のアクセス許可を割り当てます。

netapp_account_principal=$(az netappfiles account show \
    --name <account_name> \
    --resource-group <resource_group> \
    --query identity.principalId \
    --output tsv)

az keyvault set-policy \
    --name <key_vault_name> \
    --resource-group <resource-group> \
    --object-id $netapp_account_principal \
    --key-permissions get encrypt decrypt

キーコンテナーで NetApp アカウントを更新します。

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)
az netappfiles account update --name <account_name> \  
    --resource-group <resource_group> \
    --key-source Microsoft.Keyvault \
    --key-vault-uri $key_vault_uri \
    --key-name <key>

新しいユーザー割り当て ID を使用する

新しいユーザー割り当て ID を作成する。

az identity create \
    --name <identity_name> \
    --resource-group <resource_group>

キーコンテナーのアクセスポリシーを設定する。

user_assigned_identity_principal=$(az identity show \
    --name <identity_name> \
    --resource-group <resource_group> \
    --query properties.principalId \
    -output tsv)
az keyvault set-policy \
    --name <key_vault_name> \
    --resource-group <resource-group> \
    --object-id $user_assigned_identity_principal \
    --key-permissions get encrypt decrypt

Note

ロールベースのアクセス制御を使用して、キーコンテナーのへのアクセスを許可することもできます。

ユーザー割り当て ID を NetApp アカウントに割り当て、キーコンテナーの暗号化を更新します。

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)
user_assigned_identity=$(az identity show \
    --name <identity_name> \
    --resource-group <resource_group> \
    --query id \
    -output tsv)
az netappfiles account update --name <account_name> \  
    --resource-group <resource_group> \
    --identity-type UserAssigned \
    --key-source Microsoft.Keyvault \
    --key-vault-uri $key_vault_uri \
    --key-name <key> \
    --keyvault-resource-id <key-vault> \   
    --user-assigned-identity $user_assigned_identity

Azure CLI でカスタマーマネージドキーを使用して NetApp アカウントを構成するプロセスは、システム割り当て ID を使用しているか、ユーザー割り当て ID を使用しているかによって異なります。

システム割り当て ID のアクセスを有効にする

システム割り当て ID を使用するように NetApp アカウントを更新します。

$netappAccount = Update-AzNetAppFilesAccount -ResourceGroupName <resource_group> -Name <account_name> -AssignIdentity

アクセスポリシーを使用するには、キーコンテナー名、アカウント ID のプリンシパル ID、アクセス許可 "Get"、"Encrypt"、"Decrypt" を使用して Set-AzKeyVaultAccessPolicy を実行します。
```
Set-AzKeyVaultAccessPolicy -VaultName <key_vault_name> -ResourceGroupname <resource_group> -ObjectId $netappAccount.Identity.PrincipalId -PermissionsToKeys get,encrypt,decrypt
```

キーコンテナー情報を使用して NetApp アカウントを更新します。

Update-AzNetAppFilesAccount -ResourceGroupName $netappAccount.ResourceGroupName -AccountName $netappAccount.ResourceGroupName   -KeyVaultEncryption -KeyVaultUri <keyVaultUri> -KeyName <keyName>

ユーザー割り当て ID のアクセスを有効にする

新しいユーザー割り当て ID を作成する。

$userId = New-AzUserAssignedIdentity -ResourceGroupName <resourceGroupName> -Name $userIdName

キーコンテナーにアクセスポリシーを割り当てる。
```
Set-AzKeyVaultAccessPolicy -VaultName <key_vault_name> `
    -ResourceGroupname <resource_group> `
    -ObjectId $userId.PrincipalId `
    -PermissionsToKeys get,encrypt,decrypt `
    -BypassObjectIdValidation
```
Note

ロールベースのアクセス制御を使用して、キーコンテナーのへのアクセスを許可することもできます。

ユーザー割り当て ID を NetApp アカウントに割り当て、キーコンテナーの暗号化を更新します。

$netappAccount = Update-AzNetAppFilesAccount -ResourceGroupName <resource_group> `
    -Name <account_name> `
    -IdentityType UserAssigned `
    -UserAssignedIdentityId $userId.Id `
    -KeyVaultEncryption `
    -KeyVaultUri <keyVaultUri> `
    -KeyName <keyName> `
    -EncryptionUserAssignedIdentity $userId.Id

ロールベースのアクセス制御を使用する

Azure ロールベースのアクセス制御を使うように構成された Azure キーコンテナーを使用できます。 Azure portal でカスタマーマネージドキーを構成するには、ユーザー割り当て ID を指定する必要があります。

お使いの Azure アカウントで、[キーコンテナー] に移動した後、[アクセスポリシー] に移動します。
アクセスポリシーを作成するには、[アクセス許可モデル] で [Azure ロールベースのアクセス制御] を選びます。

ユーザー割り当てロールを作成する場合、カスタマーマネージドキーに対する次の 3 つのアクセス許可が必要です。

Microsoft.KeyVault/vaults/keys/read
Microsoft.KeyVault/vaults/keys/encrypt/action
Microsoft.KeyVault/vaults/keys/decrypt/action

これらのアクセス許可を含む定義済みのロールがありますが、それらのロールでは必要以上の特権が付与されます。必要最小限のアクセス許可のみを持つカスタムロールを作成することをお勧めします。詳細については、「Azure カスタムロール」を参照してください。

{
    "id": "/subscriptions/<subscription>/Microsoft.Authorization/roleDefinitions/<roleDefinitionsID>",
    "properties": {
        "roleName": "NetApp account",
        "description": "Has the necessary permissions for customer-managed key encryption: get key, encrypt and decrypt",
        "assignableScopes": [
            "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>"
        ],
        "permissions": [
          {
            "actions": [],
            "notActions": [],
            "dataActions": [
                "Microsoft.KeyVault/vaults/keys/read",
                "Microsoft.KeyVault/vaults/keys/encrypt/action",
                "Microsoft.KeyVault/vaults/keys/decrypt/action"
            ],
            "notDataActions": []
            }
        ]
      }
}

カスタムロールを作成し、キーコンテナーで使用できるようにしたら、ユーザー割り当て ID にそれを適用します。

カスタマーマネージドキーを使用して Azure NetApp Files ボリュームを作成する

Azure NetApp Files で [ボリューム] を選んでから、[+ ボリュームの追加] を選びます。
「Azure NetApp Files ボリュームのネットワーク機能を構成する」の手順に従います。
- ボリューム作成ページで [Network Features] (ネットワーク機能) オプションを設定します。
- ボリュームの委任されたサブネットのネットワークセキュリティグループでは、NetApp のストレージ VM からの着信トラフィックを許可する必要があります。
カスタマーマネージドキーを使うように構成された NetApp アカウントの場合、[ボリュームの作成] ページには [Encryption Key Source] (暗号化キーソース) オプションが含まれます。

独自のキーでボリュームを暗号化するには、[Encryption Key Source] (暗号化キーソース) ドロップダウンメニューで [カスタマーマネージドキー] を選びます。

カスタマーマネージドキーを使ってボリュームを作成するときは、[Network features] (ネットワーク機能) オプションで [Standard] も選ぶ必要があります。 Basic ネットワーク機能はサポートされていません。

キーコンテナーのプライベートエンドポイントも選ぶ必要があります。ドロップダウンメニューには、選んだ仮想ネットワークのプライベートエンドポイントが表示されます。選んだ仮想ネットワークにキーコンテナー用のプライベートエンドポイントがない場合、ドロップダウンは空になり、続けることはできません。その場合は、Azure プライベートエンドポイントに関する記事をご覧ください。
ボリューム作成プロセスを最後まで続けます。以下を参照してください:

NetApp アカウントのすべてのボリュームをキー更新する

既に NetApp アカウントをカスタマーマネージドキー用に構成し、1 つ以上のボリュームをカスタマーマネージドキーで暗号化してある場合は、NetApp アカウントのすべてのボリュームの暗号化に使われているキーを変更できます。同じキーコンテナー内にある任意のキーを選択できます。キーコンテナーの変更はサポートされていません。

お使いの NetApp アカウントで、[暗号化] メニューに移動します。 [現在のキー] 入力フィールドで、[キー更新] リンクを選びます。
[キー更新] メニューで、ドロップダウンメニューから使用できるキーのいずれかを選びます。現在のキーとは異なるキーを選ぶ必要があります。
OK を選択して保存します。キー更新操作には数分かかる場合があります。

システム割り当て ID からユーザー割り当て ID に切り替える

システム割り当て ID からユーザー割り当て ID に切り替えるには、ターゲットの ID に、使われているキーコンテナーへの、読み取り/取得、暗号化、暗号化解除のアクセス許可を付与する必要があります。

az rest コマンドを使って PATCH 要求を送信することで、NetApp アカウントを更新します。

az rest -m PATCH -u <netapp-account-resource-id>?api-versions=2022-09-01 -b @path/to/payload.json

次のペイロード構造を使う必要があります。

{
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
     "<identity-resource-id>": {}
    }
  },
  "properties": {
    "encryption": {
      "identity": {
        "userAssignedIdentity": "<identity-resource-id>"
      }
    }
  }
}

az netappfiles account show コマンドを使って、操作が正常に完了したことを確認します。出力には、次のフィールドが含まれます。

    "id": "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.NetApp/netAppAccounts/account",
    "identity": {
        "principalId": null,
        "tenantId": null,
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>": {
                "clientId": "<client-id>",
                "principalId": "<principalId>",
                "tenantId": <tenantId>"
            }
        }
    },

次のことを確認してください。

encryption.identity.principalId が identity.userAssignedIdentities.principalId の値と一致する
encryption.identity.userAssignedIdentity が identity.userAssignedIdentities[] の値と一致する

"encryption": {
    "identity": {
        "principalId": "<principal-id>",
        "userAssignedIdentity": "/subscriptions/<subscriptionId>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>"
    },
    "KeySource": "Microsoft.KeyVault",
},

エラーメッセージとトラブルシューティング

このセクションでは、Azure NetApp Files でカスタマーマネージドキー暗号化の構成またはカスタマーマネージドキーを使ったボリュームの作成が失敗する場合の、エラーメッセージと考えられる解決策を示します。

NetApp アカウントでのカスタマーマネージドキー暗号化の構成に関するエラー

エラー条件	解決方法
`The operation failed because the specified key vault key was not found`	キー URI を手動で入力するときに、URI が正しいことを確認します。
`Azure Key Vault key is not a valid RSA key`	選んだキーの型が RSA であることを確認します。
`Azure Key Vault key is not enabled`	選んだキーが有効であることを確認します。
`Azure Key Vault key is expired`	選んだキーの有効期限が切れていないことを確認します。
`Azure Key Vault key has not been activated`	選んだキーがアクティブであることを確認します。
`Key Vault URI is invalid`	キー URI を手動で入力するときに、URI が正しいことを確認します。
`Azure Key Vault is not recoverable. Make sure that Soft-delete and Purge protection are both enabled on the Azure Key Vault`	キーコンテナーを次の回復レベルに更新します。 `“Recoverable/Recoverable+ProtectedSubscription/CustomizedRecoverable/CustomizedRecoverable+ProtectedSubscription”`
`Account must be in the same region as the Vault`	キーコンテナーが NetApp アカウントと同じリージョンにあることを確認します。

カスタマーマネージドキーで暗号化されたボリュームの作成に関するエラー

エラー条件	解決方法
`Volume cannot be encrypted with Microsoft.KeyVault, NetAppAccount has not been configured with KeyVault encryption`	NetApp アカウントでカスタマーマネージドキー暗号化が有効になっていません。カスタマーマネージドキーを使うように NetApp アカウントを構成します。
`EncryptionKeySource cannot be changed`	解決策はありません。ボリュームの `EncryptionKeySource` プロパティが変更できません。
`Unable to use the configured encryption key, please check if key is active`	以下を確認します。 - キーコンテナーに対するすべてのアクセスポリシーが正しいか: 取得、暗号化、暗号化解除? - キーコンテナー用のプライベートエンドポイントが存在するか? - 委任された Azure NetApp Files サブネットが有効になっている仮想ネットワーク NAT が VNet に存在するか?
`Could not connect to the KeyVault`	プライベートエンドポイントが正しく設定されており、ファイアウォールによって仮想ネットワークから KeyVault への接続がブロックされていないことを確認してください。

次のステップ

Azure NetApp Files API

Azure NetApp Files ボリューム暗号化用にカスタマー マネージド キーを構成する

考慮事項

サポートされているリージョン

要件

カスタマー マネージド キーを使用するように NetApp アカウントを構成する

ロールベースのアクセス制御を使用する

カスタマー マネージド キーを使用して Azure NetApp Files ボリュームを作成する

NetApp アカウントのすべてのボリュームをキー更新する

システム割り当て ID からユーザー割り当て ID に切り替える

エラー メッセージとトラブルシューティング

NetApp アカウントでのカスタマー マネージド キー暗号化の構成に関するエラー

カスタマー マネージド キーで暗号化されたボリュームの作成に関するエラー