Azure PowerShell を使用した仮想マシンスケールセットの OS および接続されているデータディスクの暗号化

[アーティクル]
11/17/2023

Azure PowerShell モジュールは、PowerShell コマンドラインやスクリプトで Azure リソースを作成および管理するために使用します。この記事では、Azure PoweShell を使用して、仮想マシンスケールセットを作成し、暗号化する方法について説明します。仮想マシンスケールセットへの Azure Disk Encryption の適用の詳細については、「仮想マシンスケールセットの Azure Disk Encryption」を参照してください。

Azure Cloud Shell

Azure では、ブラウザーを介して使用できる対話型のシェル環境、Azure Cloud Shell がホストされています。 Cloud Shell で Bash または PowerShell を使用して、Azure サービスを操作できます。ローカル環境に何もインストールしなくても、Cloud Shell にプレインストールされているコマンドを使用して、この記事のコードを実行できます。

Azure Cloud Shell を開始するには、以下のようにします。

オプション	例とリンク
コードまたはコマンドブロックの右上隅にある [使ってみる] を選択します。 [使ってみる] を選択しても、コードまたはコマンドは Cloud Shell に自動的にはコピーされません。
https://shell.azure.com に移動するか、[Cloud Shell を起動する] ボタンを選択して、ブラウザーで Cloud Shell を開きます。
Azure portal の右上にあるメニューバーの [Cloud Shell] ボタンを選択します。

Azure Cloud Shell を使用するには、以下のようにします。

Cloud Shell を開始します。
コードブロック (またはコマンドブロック) の [コピー] ボタンを選択し、コードまたはコマンドをコピーします。
Windows と Linux では Ctrl+Shift+V キーを選択し、macOS では Cmd+Shift+V キーを選択して、コードまたはコマンドを Cloud Shell セッションに貼り付けます。
Enter キーを選択して、コードまたはコマンドを実行します。

ディスクの暗号化を有効にした Azure Key Vault を作成する

Azure Key Vault は、キー、シークレット、パスワードを格納して、アプリケーションとサービスに安全に実装できるようにします。暗号化キーは、ソフトウェア保護を使って Azure Key Vault に保存されます。または、FIPS 140 適合標準に認定されたハードウェアセキュリティモジュール (HSM) でキーをインポートまたは生成することもできます。これらの暗号化キーは、VM に接続された仮想ディスクの暗号化/暗号化解除に使われます。これらの暗号化キーの制御を維持し、その使用を監査することができます。

New-AzKeyVault を使用して Key Vault を作成します。ディスク暗号化に Key Vault を使用できるようにするには、EnabledForDiskEncryption パラメーターを設定します。次の例では、リソースグループ名、Key Vault 名、および場所の変数も定義しています。独自の Key Vault 名を指定します。

$rgName="myResourceGroup"
$vaultName="myuniquekeyvault"
$location = "EastUS"

New-AzResourceGroup -Name $rgName -Location $location
New-AzKeyVault -VaultName $vaultName -ResourceGroupName $rgName -Location $location -EnabledForDiskEncryption

既存の Key Vault を使用する

この手順は、ディスク暗号化で使用する既存の Key Vault がある場合にのみ必要です。前のセクションで Key Vault を作成した場合は、この手順をスキップしてください。

Set-AzKeyVaultAccessPolicy を使用して、ディスク暗号化のスケールセットと同じサブスクリプションとリージョン内の既存の Key Vault を有効にできます。次のように、$vaultName 変数で既存の Key Vault 名を定義します。

$vaultName="myexistingkeyvault"
Set-AzKeyVaultAccessPolicy -VaultName $vaultName -EnabledForDiskEncryption

スケールセットを作成する

重要

2023 年 11 月以降、PowerShell と Azure CLI を使用して作成された VM スケールセットは、オーケストレーションモードが指定されていない場合、既定でフレキシブルオーケストレーションモードになります。この変更の詳細と実行する必要があるアクションについては、「VMSS PowerShell/CLI のお客様向けの重大な変更 - Microsoft Community Hub」を参照してください

まず、Get-Credential を使用して、VM インスタンスの管理者のユーザー名とパスワードを設定します。

$cred = Get-Credential

次に、New-AzVmss を使用して Virtual Machine Scale Sets を作成します。個々の VM インスタンスにトラフィックを分散するために、ロードバランサーも作成されます。ロードバランサーには、TCP ポート 80 上のトラフィックを分散するルールだけでなく、TCP ポート 3389 上のリモートデスクトップトラフィックと TCP ポート 5985 上の PowerShell リモート処理を許可するルールも含まれています。

$vmssName="myScaleSet"

New-AzVmss `
    -ResourceGroupName $rgName `
    -VMScaleSetName $vmssName `
    -OrchestrationMode "flexible" `
    -Location $location `
    -VirtualNetworkName "myVnet" `
    -SubnetName "mySubnet" `
    -PublicIpAddressName "myPublicIPAddress" `
    -LoadBalancerName "myLoadBalancer" `
    -Credential $cred

暗号化を有効にする

スケールセット内の VM インスタンスを暗号化するには、まず Get-AzKeyVault を使用して Key Vault URI とリソース ID に関する一部の情報を取得します。次に、Set-AzVmssDiskEncryptionExtension でこれらの変数を使用して、暗号化プロセスを開始します。

$diskEncryptionKeyVaultUrl=(Get-AzKeyVault -ResourceGroupName $rgName -Name $vaultName).VaultUri
$keyVaultResourceId=(Get-AzKeyVault -ResourceGroupName $rgName -Name $vaultName).ResourceId

Set-AzVmssDiskEncryptionExtension -ResourceGroupName $rgName -VMScaleSetName $vmssName `
    -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $keyVaultResourceId -VolumeType "All"

プロンプトが表示されたら、「y」と入力して、スケールセット VM インスタンス上のディスク暗号化プロセスを続行します。

キーをラップする KEK を使用して暗号化を有効にします。

仮想マシンスケールセットを暗号化するときに、セキュリティ強化のためキーの暗号化キーを使用することもできます。

$diskEncryptionKeyVaultUrl=(Get-AzKeyVault -ResourceGroupName $rgName -Name $vaultName).VaultUri
$keyVaultResourceId=(Get-AzKeyVault -ResourceGroupName $rgName -Name $vaultName).ResourceId
$keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $vaultName -Name $keyEncryptionKeyName).Key.kid;

Set-AzVmssDiskEncryptionExtension -ResourceGroupName $rgName -VMScaleSetName $vmssName `
    -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $keyVaultResourceId `
    -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $keyVaultResourceId -VolumeType "All"

Note

disk-encryption-keyvault パラメーターの値は、次のように、完全な識別子文字列の形式で表されます:
/subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]

key-encryption-key パラメーターは KEK の完全な URI であり、次の形式で表されます:
https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

暗号化の進行状況を確認する

ディスク暗号化の状態を確認するには、Get-AzVmssDiskEncryption を使用します。

Get-AzVmssDiskEncryption -ResourceGroupName $rgName -VMScaleSetName $vmssName

VM インスタンスが暗号化されると、EncryptionSummary コードで、次の出力例のように ProvisioningState/succeeded コードが報告されます。

ResourceGroupName            : myResourceGroup
VmScaleSetName               : myScaleSet
EncryptionSettings           :
  KeyVaultURL                : https://myuniquekeyvault.vault.azure.net/
  KeyEncryptionKeyURL        :
  KeyVaultResourceId         : /subscriptions/guid/resourceGroups/myResourceGroup/providers/Microsoft.KeyVault/vaults/myuniquekeyvault
  KekVaultResourceId         :
  KeyEncryptionAlgorithm     :
  VolumeType                 : All
  EncryptionOperation        : EnableEncryption
EncryptionSummary[0]         :
  Code                       : ProvisioningState/succeeded
  Count                      : 2
EncryptionEnabled            : True
EncryptionExtensionInstalled : True

暗号化を無効にする

暗号化された VM インスタンスディスクを使用しない場合は、次のように Disable-AzVmssDiskEncryption を使用して暗号化を無効にすることができます。

Disable-AzVmssDiskEncryption -ResourceGroupName $rgName -VMScaleSetName $vmssName

次のステップ

この記事では、Azure PowerShell を使用して仮想マシンスケールセットを暗号化しました。また、Azure CLI や Azure Resource Manager テンプレートを使用することもできます。
別の拡張機能がプロビジョニングされた後で Azure Disk Encryption を適用する場合、extension sequencingを使用できます。

Azure PowerShell を使用した仮想マシン スケール セットの OS および接続されているデータ ディスクの暗号化