Azure Key Vault の仮想ネットワーク サービス エンドポイント

Azure Key Vault の仮想ネットワーク サービス エンドポイントを使用すると、指定した仮想ネットワークに対するアクセスを制限できます。 エンドポイントでは、IPv4 (インターネット プロトコル バージョン 4) アドレス範囲のリストへのアクセスを制限することもできます。 このようなソースの外部からお使いのキー コンテナーに接続するユーザーはすべて、アクセスを拒否されます。

この制限には重要な例外が 1 つあります。 ユーザーが信頼できる Microsoft サービスを許可するようにオプトインした場合、このようなサービスからの接続はファイアウォールを介して行われます。 たとえば、Office 365 Exchange Online、Office 365 SharePoint Online、Azure コンピューティング、Azure Resource Manager、Azure Backup などのサービスが含まれます。 このようなユーザーでも有効な Microsoft Entra トークンを提示する必要があり、要求された操作を実行できるアクセス許可 (アクセス ポリシーとして構成) を持っている必要があります。 詳細については、仮想ネットワーク サービス エンドポイントに関するページを参照してください。

使用シナリオ

既定で (インターネット トラフィックを含む) すべてのネットワークからのトラフィックに対するアクセスを拒否するように Key Vault ファイアウォールと仮想ネットワークを構成することができます。 特定の Azure 仮想ネットワークやパブリック インターネット IP アドレスの範囲からのトラフィックにアクセスを許可できるため、アプリケーションに対してセキュリティで保護されたネットワーク境界を構築することができます。

サービス エンドポイントの使用方法の例をいくつか次に示します。

• Key Vault を使用して暗号化キー、アプリケーションのシークレット、証明書を保存しており、パブリック インターネットからキー コンテナーへのアクセスをブロックする場合。
• 自分のアプリケーションまたはリストで指定した少数のホストのみが自分のキー コンテナーに接続できるように、キー コンテナーへのアクセスをロックする場合。
• Azure 仮想ネットワークでアプリケーションを実行していて、この仮想ネットワークはすべての受信および送信トラフィックに対してロックされている。 それでもアプリケーションで、シークレットまたは証明書を取得したり、暗号キーを使用したりするために、キー コンテナーに接続する必要がある場合。

信頼された Azure サービスにアクセスを許可する

他のアプリに対するネットワーク ルールを維持しながら、キー コンテナーに信頼された Azure サービスへのアクセス権を付与できます。 それにより、これらの信頼されたサービスでは、強力な認証を使用してキー コンテナーに安全に接続します。

ネットワーク設定を構成することによって、信頼された Azure サービスへのアクセス権を付与できます。 ステップ バイ ステップ ガイダンスについては、この記事のネットワーク構成オプションを参照してください。

信頼された Azure サービスにアクセスを許可する場合は、次の種類のアクセスを許可します。

• サブスクリプションに登録されているリソースに対する選択された操作のための信頼されたアクセス。
• マネージド ID に基づくリソースへの信頼されたアクセス。
• フェデレーション ID 資格情報を使用した、テナントにまたがる信頼されたアクセス

信頼できるサービス

信頼できるサービスを許可するオプションが有効な場合にキー コンテナーへのアクセスが許可されている信頼できるサービスの一覧を次に示します。

次のステップ

• 詳しい手順については、「Azure Key Vault のファイアウォールと仮想ネットワークを構成する」を参照してください。
• 「Azure Key Vault のセキュリティの概要」を参照してください。