カスタマー マネージド キーを使用したバックアップ データの暗号化

1. ご自身の Recovery Services コンテナー>[ID] の順に移動します。

2. [システム割り当て済み] タブを選択します。

3. [ステータス] を [オン] に変更します。

4. [保存] を選択して、そのコンテナーの ID を有効にします。

以上の手順によってオブジェクト ID が生成されます。これがコンテナーのシステム割り当てマネージド ID です。

Update-AzRecoveryServicesVault コマンドを使用して、Recovery Services コンテナーのシステム割り当てマネージド ID を有効にします。

例:

$vault=Get-AzRecoveryServicesVault -ResourceGroupName "testrg" -Name "testvault"

Update-AzRecoveryServicesVault -IdentityType SystemAssigned -ResourceGroupName TestRG -Name TestVault

$vault.Identity | fl

出力:

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

az backup vault identity assign コマンドを使用して、Recovery Services コンテナーのシステム割り当てマネージド ID を有効にします。

例:

az backup vault identity assign --system-assigned --resource-group MyResourceGroup --name MyVault

出力:

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

1. ご自身の Recovery Services コンテナー>[ID] の順に移動します。

2. [ユーザー割り当て (プレビュー)] タブを選びます。

3. [+ 追加] を選択して、ユーザー割り当てマネージド ID を追加します。

4. [ユーザー割り当てマネージド ID の追加] パネルで、自分の ID のサブスクリプションを選びます。

5. 一覧から ID を選択します。 ID またはリソース グループの名前でフィルター処理することもできます。

6. [追加] を選択して ID の割り当てを完了します。

Update-AzRecoveryServicesVault コマンドを使用して、Recovery Services コンテナーのユーザー割り当てマネージド ID を有効にします。

例:

$vault = Get-AzRecoveryServicesVault -Name "vaultName" -ResourceGroupName "resourceGroupName"
$identity1 = Get-AzUserAssignedIdentity -ResourceGroupName "resourceGroupName" -Name "UserIdentity1"
$identity2 = Get-AzUserAssignedIdentity -ResourceGroupName "resourceGroupName" -Name "UserIdentity2"
$updatedVault = Update-AzRecoveryServicesVault -ResourceGroupName $vault.ResourceGroupName -Name $vault.Name -IdentityType UserAssigned -IdentityId $identity1.Id, $identity2.Id

$updatedVault.Identity | fl

出力:

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : UserAssigned
UserAssignedIdentities : {[/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourceGroupName/providers/Microsoft.ManagedIdentity/userAssignedIdentities/UserIdentity1, Microsoft.Azure.Management.RecoveryServices.Models.UserIdentity],[/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourceGroupName/providers/Microsoft.ManagedIdentity/userAssignedIdentities/UserIdentity2,Microsoft.Azure.Management.RecoveryServices.Models.UserIdentity]}

az backup vault identity assign コマンドを使用して、Recovery Services コンテナーのシステム割り当てマネージド ID を有効にします。

例:

az backup vault identity assign --user-assigned MyIdentityId1 --resource-group MyResourceGroup --name MyVault

Output:

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : UserAssigned
UserAssignedIdentities : {[/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourceGroupName/providers/Microsoft.ManagedIdentity/userAssignedIdentities/MyIdentityId1,Microsoft.Azure.Management.RecoveryServices.Models.UserIdentity]}

1. ご自分のキー コンテナー>[アクセス ポリシー] に移動します。 [+ アクセス ポリシーの追加] を選択します。

   

2. キーに対して許可するアクションを指定します。 [キーのアクセス許可] で、[取得]、[一覧]、[キーの折り返しを解除]、[キーを折り返す] の各操作を選びます。

   

3. [プリンシパルの選択] に移動し、検索ボックスで名前またはマネージド ID を使用して、ご自身のコンテナーを検索します。 コンテナーが表示されたら選択し、パネルの下部にある [選択] を選びます。

   

4. [追加] を選択して新しいアクセス ポリシーを追加します。

5. [保存] を選び、キー コンテナーのアクセス ポリシーに加えた変更を保存します。

前述のアクセス許可を含む Recovery Services コンテナーに、Key Vault Crypto Officer ロールなど、RBAC の役割を割り当てることもできます。 このロールには、その他のアクセス許可が含まれている場合があります。

Get-AzADServicePrincipal コマンドを使用して、Recovery Services コンテナーのプリンシパル ID を取得します。 次に、Set-AzKeyVaultAccessPolicy コマンドでこの ID を使用して、キー コンテナーのアクセス ポリシーを設定します。

例:

$sp = Get-AzADServicePrincipal -DisplayName MyVault
$Set-AzKeyVaultAccessPolicy -VaultName myKeyVault -ObjectId $sp.Id -PermissionsToKeys get,list,unwrapkey,wrapkey

az ad sp list コマンドを 使用して、Recovery Services コンテナーのプリンシパル ID を取得します。 次に、az keyvault set-policy コマンドでこの ID を使用して、キー コンテナーのアクセス ポリシーを設定します。

例:

az ad sp list --display-name MyVault
az keyvault set-policy --name myKeyVault --object-id <object-id> --key-permissions get,list,unwrapkey,wrapkey

次のスクリーンショットに示すように、Azure Key Vault インターフェイスから論理的な削除と消去保護を有効にすることができます。 あるいは、キー コンテナーの作成時にこれらのプロパティを設定することもできます。 これらの Key Vault のプロパティの詳細をご確認ください。

1. Azure アカウントにサインインします。

   Login-AzAccount
   

2. コンテナーが含まれているサブスクリプションを選択します。

   Set-AzContext -SubscriptionId SubscriptionId
   

3. 論理的な削除を有効にします。

   ($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enableSoftDelete" -Value "true"
   

   Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties
   

4. 消去保護を有効にします。

   ($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enablePurgeProtection" -Value "true"
   

   Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties
   

1. Azure アカウントにサインインします。

   az login
   

2. コンテナーが含まれているサブスクリプションを選択します。

   az account set --subscription "Subscription1"
   

3. 論理的な削除を有効にします。

   az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-soft-delete true
   

4. 消去保護を有効にします。

   az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-purge-protection true
   

1. ご自分の Recovery Services コンテナー>[プロパティ] に移動します。

2. [暗号化の設定] にある [更新] を選択します。

   

3. [暗号化の設定] ペインで、[独自のキーを使用する] を選択し、次のいずれかのオプションを使用してキーを指定します。 必ず有効な状態の RSA キーを使ってください。

   • [キー URI を入力] を選びます。 [キー URI] ボックスに、この Recovery Services コンテナーのデータを暗号化するために使用するキーの URI を入力します。 このキー URI は、お使いのキー コンテナー内の対応するキーから取得することもできます。 [サブスクリプション] ボックスで、このキーを含むキー コンテナーのサブスクリプションを指定します。

     キー URI は必ず正確にコピーしてください。 キー識別子と共に表示される [クリップボードにコピー] ボタンを使うことをお勧めします。

     

     バージョン コンポーネントを含む完全なキー URI を使って暗号化キーを指定している場合、キーは自動ローテーションされません。 必要に応じて新しいキーまたはバージョンを指定して、キーを手動で更新する必要があります。 または、キー URI のバージョン コンポーネントを削除して、自動ローテーションを使用します。

   • [キー コンテナーから選択する] を選びます。 [キーの選択] ペインで、キー コンテナーのキーを参照して選びます。

     

     [キーの選択] ペインを使って暗号化キーを指定すると、キーの新しいバージョンが有効になるたびにキーが自動ローテーションされます。 暗号化キーの自動ローテーションを有効にする方法については、こちらを参照してください。

4. [保存] を選択します。

5. 左のメニューにある [バックアップ ジョブ] ビューを使用して、暗号化キーの割り当ての進行状況と状態を追跡します。 少し時間が経過すると状態が [完了] に変わります。 指定したキーを KEK として使用して、コンテナーですべてのデータが暗号化されます。

   

   暗号化キーの更新は、コンテナーのアクティビティ ログにも記録されます。

   

Set-AzRecoveryServicesVaultProperty コマンドを使用して、CMK 暗号化を有効にし、暗号化キーの割り当てまたは更新を行います。

例:

$keyVault = Get-AzKeyVault -VaultName "testkeyvault" -ResourceGroupName "testrg" 
$key = Get-AzKeyVaultKey -VaultName $keyVault -Name "testkey" 
Set-AzRecoveryServicesVaultProperty -EncryptionKeyId $key.ID -KeyVaultSubscriptionId "xxxx-yyyy-zzzz"  -VaultId $vault.ID


$enc=Get-AzRecoveryServicesVaultProperty -VaultId $vault.ID
$enc.encryptionProperties | fl

出力:

EncryptionAtRestType          : CustomerManaged
KeyUri                        : testkey
SubscriptionId                : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx 
LastUpdateStatus              : Succeeded
InfrastructureEncryptionState : Disabled

az backup vault encryption update コマンドを使用して、CMK 暗号化を有効にし、暗号化キーの割り当てまたは更新を行います。

例:

az backup vault encryption update --encryption-key-id MyEncryptionKeyId --mi-system-assigned --resource-group MyResourceGroup --name MyVault

出力:

EncryptionAtRestType          : CustomerManaged
KeyUri                        : testkey
SubscriptionId                : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx 
LastUpdateStatus              : Succeeded
InfrastructureEncryptionState : Disabled

暗号化キーを更新または変更する場合も、このプロセスは同じです。 (現在使用されているものとは異なる) 別のキー コンテナーのキーを更新して使用する場合は、次のことを確認します。

• そのキー コンテナーが、Recovery Services コンテナーと同じリージョンにある。
• そのキー コンテナーで論理的な削除と消去保護が有効になっている。
• Recovery Services コンテナーに、キー コンテナーにアクセスするために必要なアクセス許可がある。

復元ペインの [暗号化設定] で DES を指定するには、次の手順に従います。

1. [キーを使用してディスクを暗号化する] で、[はい] を選択します。

2. [暗号化セット] ドロップダウン リストで、復元されたディスクに対して使用する DES を選択します。 DES にアクセスできることを確認してください。

Get-AzRecoveryServicesBackupItem コマンドをパラメーター -DiskEncryptionSetId <string> と共に使用して、復元されたディスクの暗号化に使用する DES を指定します。 VM バックアップからのディスクの復元の詳細については、こちらの記事を参照してください。

例:

$namedContainer = Get-AzRecoveryServicesBackupContainer  -ContainerType "AzureVM" -Status "Registered" -FriendlyName "V2VM" -VaultId $vault.ID
$backupitem = Get-AzRecoveryServicesBackupItem -Container $namedContainer  -WorkloadType "AzureVM" -VaultId $vault.ID
$startDate = (Get-Date).AddDays(-7)
$endDate = Get-Date
$rp = Get-AzRecoveryServicesBackupRecoveryPoint -Item $backupitem -StartDate $startdate.ToUniversalTime() -EndDate $enddate.ToUniversalTime() -VaultId $vault.ID
$restorejob = Restore-AzRecoveryServicesBackupItem -RecoveryPoint $rp[0] -StorageAccountName "DestAccount" -StorageAccountResourceGroupName "DestRG" -TargetResourceGroupName "DestRGforManagedDisks" -DiskEncryptionSetId "testdes1" -VaultId $vault.ID

az backup restore restore-disks コマンドをパラメーター -DiskEncryptionSetId <string> と共に使用して、復元されたディスクの暗号化に使用する DES を指定します。

例:

az backup recoverypoint list --container-name MyContainer --item-name MyItem --resource-group MyResourceGroup --vault-name MyVault
az backup restore restore-disks --container-name MyContainer --disk-encryption-set-id testdes1 --item-name MyItem --resource-group MyResourceGroup --rp-name MyRp --storage-account mystorageaccount --vault-name MyVault