デプロイ時に Azure Key Vault を使用して、セキュリティで保護されたパラメーター値を渡す

[アーティクル]
06/22/2023

お使いのテンプレートやパラメーターファイルに安全な値 (パスワードなど) を直接入れる代わりに、デプロイ時に、Azure Key Vault から値を取得できます。値を取得するには、キーコンテナーとパラメーターファイル内のシークレットを参照します。参照するのは Key Vault ID だけであるため、値が公開されることはありません。

重要

この記事では、機密の値をテンプレートパラメーターとして渡す方法に焦点を当てます。シークレットがパラメーターとして渡されるとき、キーコンテナーは別のサブスクリプションに存在するか、デプロイ先のリソースグループに存在することがあります。

この記事では、仮想マシンのプロパティを、キーコンテナー内の証明書の URL に設定する方法については説明しません。そのシナリオのクイックスタートテンプレートについては、Azure Key Vault から証明書を仮想マシンにインストールする方法に関する記事を参照してください。

キーコンテナーとシークレットをデプロイする

テンプレートのデプロイ時にキーコンテナーにアクセスするには、キーコンテナーの enabledForTemplateDeployment を true に設定します。

既にキーコンテナーがある場合は、テンプレートのデプロイが許可されていることを確認してください。

Azure CLI
PowerShell

az keyvault update  --name ExampleVault --enabled-for-template-deployment true

Set-AzKeyVaultAccessPolicy -VaultName ExampleVault -EnabledForTemplateDeployment

新しいキーコンテナーを作成してシークレットを追加するには、次のように使用します。

Azure CLI
PowerShell

az group create --name ExampleGroup --location centralus
az keyvault create \
  --name ExampleVault \
  --resource-group ExampleGroup \
  --location centralus \
  --enabled-for-template-deployment true
az keyvault secret set --vault-name ExampleVault --name "ExamplePassword" --value "hVFkk965BuUv"

New-AzResourceGroup -Name ExampleGroup -Location centralus
New-AzKeyVault `
  -VaultName ExampleVault `
  -resourceGroupName ExampleGroup `
  -Location centralus `
  -EnabledForTemplateDeployment
$secretvalue = ConvertTo-SecureString 'hVFkk965BuUv' -AsPlainText -Force
$secret = Set-AzKeyVaultSecret -VaultName ExampleVault -Name 'ExamplePassword' -SecretValue $secretvalue

キーコンテナーの所有者には、シークレットを作成するためのアクセスが自動的に付与されています。別のユーザーにシークレットの作成を許可する必要がある場合は、次を使用します。

Azure CLI
PowerShell

az keyvault set-policy \
  --upn <user-principal-name> \
  --name ExampleVault \
  --secret-permissions set delete get list

$userPrincipalName = "<Email Address of the deployment operator>"

Set-AzKeyVaultAccessPolicy `
  -VaultName ExampleVault `
  -UserPrincipalName <user-principal-name> `
  -PermissionsToSecrets set,delete,get,list

シークレットを取得するテンプレートをユーザーがデプロイしている場合、アクセスポリシーは必要ありません。ユーザーがシークレットを直接使用する必要がある場合にのみ、アクセスポリシーにユーザーを追加します。デプロイのアクセス許可については、次のセクションで定義します。

キーコンテナーの作成とシークレットの追加の詳細については、次を参照してください。

シークレットへのデプロイアクセスを付与する

テンプレートをデプロイするユーザーには、そのリソースグループとキーコンテナーのスコープで Microsoft.KeyVault/vaults/deploy/action のアクセス許可がある必要があります。 Azure Resource Manager は、このアクセス権を確認することによって、未承認のユーザーがキーコンテナーのリソース ID を渡してシークレットにアクセスすることを防ぎます。シークレットへの書き込みアクセスを付与せずに、ユーザーにデプロイアクセスを付与できます。

このアクセスは、所有者ロールと共同作成者ロールが許可します。キーコンテナーの作成者である場合は、その所有者であり、そのアクセス許可を持っています。

他のユーザーには、Microsoft.KeyVault/vaults/deploy/action アクセス許可を付与します。次の手順は、最小限のアクセス許可があるロールを作成する方法と、それをユーザーに割り当てる方法を示しています。

カスタムロール定義の JSON ファイルを作成します。

{
  "Name": "Key Vault resource manager template deployment operator",
  "IsCustom": true,
  "Description": "Lets you deploy a resource manager template with the access to the secrets in the Key Vault.",
  "Actions": [
    "Microsoft.KeyVault/vaults/deploy/action"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000"
  ]
}

"00000000-0000-0000-0000-000000000000" はサブスクリプション ID に置き換えます。

JSON ファイルを使用して新しいロールを作成します。

Azure CLI
PowerShell

az role definition create --role-definition "<path-to-role-file>"
az role assignment create \
  --role "Key Vault resource manager template deployment operator" \
  --scope /subscriptions/<Subscription-id>/resourceGroups/<resource-group-name> \
  --assignee <user-principal-name> \
  --resource-group ExampleGroup

New-AzRoleDefinition -InputFile "<path-to-role-file>"
New-AzRoleAssignment `
  -ResourceGroupName ExampleGroup `
  -RoleDefinitionName "Key Vault resource manager template deployment operator" `
  -SignInName <user-principal-name>

このサンプルでは、リソースグループレベルでカスタムロールを割り当てます。

Managed Applications のテンプレートでキーコンテナーを使用する場合は、アプライアンスリソースプロバイダー サービスプリンシパルにアクセス許可を付与する必要があります。詳細については、「Access Key Vault secret when deploying Azure Managed Applications」(Azure Managed Applications のデプロイ時に Key Vault シークレットにアクセスする) を参照してください。

固定 ID でのシークレットの参照

この手法では、テンプレートではなく、パラメーターファイルでキーコンテナーを参照します。次の図は、パラメーターファイルがシークレットを参照し、その値をテンプレートに渡すしくみを示しています。

静的 ID を使用した Resource Manager キーコンテナー統合の固定 ID の図。

チュートリアル:Resource Manager テンプレートのデプロイで Azure Key Vault を統合する」では、この手法が利用されます。

次のテンプレートでは、管理者パスワードを含む SQL サーバーがデプロイされます。パスワードパラメーターは、セキュリティで保護された文字列に設定されます。しかし、テンプレートには値がどこから来ているかが指定されていません。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "sqlServerName": {
      "type": "string"
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]"
    },
    "adminLogin": {
      "type": "string"
    },
    "adminPassword": {
      "type": "securestring"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Sql/servers",
      "apiVersion": "2021-11-01",
      "name": "[parameters('sqlServerName')]",
      "location": "[parameters('location')]",
      "properties": {
        "administratorLogin": "[parameters('adminLogin')]",
        "administratorLoginPassword": "[parameters('adminPassword')]",
        "version": "12.0"
      }
    }
  ]
}

ここで、前のテンプレートのためにパラメーターファイルを作成します。このパラメーターファイルで、テンプレート内のパラメーターの名前に一致するパラメーターを指定します。パラメーター値のために、キーコンテナーのシークレットを参照します。シークレットを参照するには、Key Vault のリソース識別子とシークレットの名前を渡します。

次のパラメーターファイルには、キーコンテナーのシークレットが既に存在している必要があり、そのリソース ID に対して静的な値を指定します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "adminLogin": {
      "value": "exampleadmin"
    },
    "adminPassword": {
      "reference": {
        "keyVault": {
          "id": "/subscriptions/<subscription-id>/resourceGroups/<rg-name>/providers/Microsoft.KeyVault/vaults/<vault-name>"
        },
        "secretName": "ExamplePassword"
      }
    },
    "sqlServerName": {
      "value": "<your-server-name>"
    }
  }
}

現在のバージョン以外のバージョンのシークレットを使用する必要がある場合は、secretVersion プロパティを含めます。

"secretName": "ExamplePassword",
"secretVersion": "cd91b2b7e10e492ebb870a6ee0591b68"

テンプレートをデプロイし、パラメーターファイルを渡します。

Azure CLI
PowerShell

az group create --name SqlGroup --location westus2
az deployment group create \
  --resource-group SqlGroup \
  --template-uri <template-file-URI> \
  --parameters <parameter-file>

New-AzResourceGroup -Name $resourceGroupName -Location $location
New-AzResourceGroupDeployment `
  -ResourceGroupName $resourceGroupName `
  -TemplateUri <template-file-URI> `
  -TemplateParameterFile <parameter-file>

動的 ID でのシークレットの参照

前のセクションでは、Key Vault シークレットの静的リソース ID をパラメーターから渡す方法について説明しました。参照すべきキーコンテナーシークレットがデプロイごとに変わる状況も考えられます。または、パラメーターファイルに参照パラメーターを作成するのではなく、テンプレートでパラメーター値を渡すこともできます。解決策は、リンクされたテンプレートを使用して、キーコンテナーシークレットのリソース ID を動的に生成することです。

パラメーターファイルではテンプレート式が使用できないので、パラメーターファイルでリソース ID を動的に生成することはできません。

親テンプレートに、その入れ子にされたテンプレートを追加し、動的に生成されたリソース ID をパラメーターに格納して渡します。次の図は、リンクされたテンプレート内のパラメーターがシークレットを参照するしくみを示しています。

キーコンテナーシークレット向け動的 ID 生成を示す図。

次のテンプレートは、動的に key vault ID を作成し、パラメーターとして渡します。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
      "location": {
        "type": "string",
        "defaultValue": "[resourceGroup().location]",
        "metadata": {
          "description": "The location where the resources will be deployed."
        }
      },
      "vaultName": {
        "type": "string",
        "metadata": {
          "description": "The name of the keyvault that contains the secret."
        }
      },
      "secretName": {
        "type": "string",
        "metadata": {
          "description": "The name of the secret."
        }
      },
      "vaultResourceGroupName": {
        "type": "string",
        "metadata": {
          "description": "The name of the resource group that contains the keyvault."
        }
      },
      "vaultSubscription": {
        "type": "string",
        "defaultValue": "[subscription().subscriptionId]",
        "metadata": {
          "description": "The name of the subscription that contains the keyvault."
        }
      }
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2020-10-01",
      "name": "dynamicSecret",
      "properties": {
        "mode": "Incremental",
        "expressionEvaluationOptions": {
          "scope": "inner"
        },
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "parameters": {
            "adminLogin": {
              "type": "string"
            },
            "adminPassword": {
              "type": "securestring"
            },
            "location": {
              "type": "string"
            }
          },
          "variables": {
            "sqlServerName": "[concat('sql-', uniqueString(resourceGroup().id, 'sql'))]"
          },
          "resources": [
            {
              "type": "Microsoft.Sql/servers",
              "apiVersion": "2021-11-01",
              "name": "[variables('sqlServerName')]",
              "location": "[parameters('location')]",
              "properties": {
                "administratorLogin": "[parameters('adminLogin')]",
                "administratorLoginPassword": "[parameters('adminPassword')]"
              }
            }
          ],
          "outputs": {
            "sqlFQDN": {
              "type": "string",
              "value": "[reference(variables('sqlServerName')).fullyQualifiedDomainName]"
            }
          }
        },
        "parameters": {
          "location": {
            "value": "[parameters('location')]"
          },
          "adminLogin": {
            "value": "ghuser"
          },
          "adminPassword": {
            "reference": {
              "keyVault": {
                "id": "[resourceId(parameters('vaultSubscription'), parameters('vaultResourceGroupName'), 'Microsoft.KeyVault/vaults', parameters('vaultName'))]"
              },
              "secretName": "[parameters('secretName')]"
            }
          }
        }
      }
    }
  ]
}

次のステップ

キーコンテナーの一般的な情報については、「Azure Key Vault とは」をご覧ください。
キーシークレットの詳細な参照例については、GitHub にあるキーコンテナーの例を参照してください。
キーコンテナーからセキュリティで保護された値を渡すことに関する Learn モジュールについては、「高度な ARM テンプレート機能を使用して複雑なクラウドデプロイを管理する」を参照してください。

デプロイ時に Azure Key Vault を使用して、セキュリティで保護されたパラメーター値を渡す

キー コンテナーとシークレットをデプロイする

シークレットへのデプロイ アクセスを付与する

固定 ID でのシークレットの参照

動的 ID でのシークレットの参照

次のステップ

その他のリソース

キーコンテナーとシークレットをデプロイする

シークレットへのデプロイアクセスを付与する