Key Vault を Azure Private Link と統合する

Azure portal を使用してキー コンテナーへのプライベート リンク接続を確立する

最初に、Azure portal を使用した仮想ネットワークの作成に関するページの手順に従って、仮想ネットワークを作成します。

その後、新しいキー コンテナーを作成するか、既存のキー コンテナーへのプライベート リンク接続を確立できます。

新しいキー コンテナーを作成し、プライベート リンク接続を確立する

新しいキー コンテナーを作成するには、Azure portal、Azure CLI、または Azure PowerShell を使用します。

キー コンテナーの基本的な構成の後、[ネットワーク] タブを選択し、次の手順に従います。

1. ラジオ ボタンをオフにしてパブリック アクセスを無効にします。

2. [+ プライベート エンドポイントを作成する] ボタンをクリックして、プライベート エンドポイントを追加します。

   

3. [プライベート エンドポイントの作成] ブレードの [場所] フィールドで、自分の仮想ネットワークが配置されているリージョンを選択します。

4. [名前] フィールドに、このプライベート エンドポイントを識別できるわかりやすい名前を作成します。

5. ドロップダウン メニューから、このプライベート エンドポイントを作成する仮想ネットワークとサブネットを選択します。

6. [プライベート DNS ゾーンと統合する] オプションはそのままにします。

7. [OK] を選択します。

   

これで、構成されたプライベート エンドポイントが表示されるようになります。 これで、このプライベート エンドポイントを削除したり編集したりできるようになりました。 [レビュー + 作成] ボタンを選択してキー コンテナーを作成します。 デプロイが完了するまでに 5 から 10 分かかります。

既存のキー コンテナーへのプライベート リンク接続を確立する

既にキー コンテナーがある場合は、次の手順に従ってプライベート リンク接続を作成できます。

1. Azure portal にサインインします。

2. 検索バーで、「キー コンテナー」と入力します。

3. 一覧から、プライベート エンドポイントを追加するキー コンテナーを選択します。

4. [設定] で [ネットワーク] タブを選択します。

5. ページの上部にある [プライベート エンドポイント接続] タブを選択します。

6. ページの上部にある [+作成] ボタンを選択します。

   

7. [Projectの詳細] で、このチュートリアルの前提条件として作成した仮想ネットワークを含むリソース グループを選択します。 [インスタンスの詳細] に「myPrivateEndpoint」と入力し、このチュートリアルの前提条件として作成した仮想ネットワークと同じ場所を選択します。

   このブレードを使用することで、任意の Azure リソース用のプライベート エンドポイントを作成できます。 ドロップダウン メニューを使用してリソースの種類を選択し、自分のディレクトリ内のリソースを選択することも、リソース ID を使用して任意の Azure リソースに接続することもできます。 [プライベート DNS ゾーンと統合する] オプションはそのままにします。

8. [リソース] ブレードに進みます。 [リソースの種類] で 、[Microsoft.KeyVault/vaults] を選択します。[リソース] で、このチュートリアルの前提条件として作成したキー コンテナーを選択します。 "ターゲット サブリソース" では、"コンテナー" が自動的に設定されます。

9. "Virtual Network" に進みます。 このチュートリアルの前提条件として作成した仮想ネットワークとサブネットを選択します。

10. "DNS" ブレードと "タグ" ブレードを進め、既定値をそのまま使用します。

11. [確認および作成] ブレードで、 [作成] を選択します。

プライベート エンドポイントを作成する際は、接続を承認する必要があります。 作成しているプライベート エンドポイントの接続先となるリソースが自分のディレクトリ内にある場合は、十分なアクセス許可を持っていれば、自分で接続要求を承認できます。別のディレクトリ内にある Azure リソースに接続する場合は、そのリソースの所有者が接続要求を承認するまで待つ必要があります。

プロビジョニングの状態には次の 4 つがあります。

Azure portal を使用してキー コンテナーへのプライベート エンドポイント接続を管理する方法

1. Azure ポータルにログインします。

2. 検索バーで、「キー コンテナー」と入力します。

3. 管理するキー コンテナーを選択します。

4. [ネットワーク] タブを選択します。

5. 保留中の接続がある場合は、プロビジョニング状態に [保留] と表示されている接続が一覧表示されます。

6. 承認するプライベート エンドポイントを選択します。

7. [承認] ボタンを選択します。

8. 拒否したいプライベート エンドポイント接続がある場合は、保留中の要求か既存の接続かにかかわらず、該当する接続を選択し、[拒否] ボタンを選択します。

   

CLI を使用して Key Vault へのプライベート リンク接続を確立する (初期セットアップ)

az login                                                         # Login to Azure CLI
az account set --subscription {SUBSCRIPTION ID}                  # Select your Azure Subscription
az group create -n {RESOURCE GROUP} -l {REGION}                  # Create a new Resource Group
az provider register -n Microsoft.KeyVault                       # Register KeyVault as a provider
az keyvault create -n {VAULT NAME} -g {RG} -l {REGION}           # Create a Key Vault
az keyvault update -n {VAULT NAME} -g {RG} --default-action deny # Turn on Key Vault Firewall
az network vnet create -g {RG} -n {vNet NAME} -location {REGION} # Create a Virtual Network

    # Create a Subnet
az network vnet subnet create -g {RG} --vnet-name {vNet NAME} --name {subnet NAME} --address-prefixes {addressPrefix}

    # Disable Virtual Network Policies
az network vnet subnet update --name {subnet NAME} --resource-group {RG} --vnet-name {vNet NAME} --disable-private-endpoint-network-policies true

    # Create a Private DNS Zone
az network private-dns zone create --resource-group {RG} --name privatelink.vaultcore.azure.net

    # Link the Private DNS Zone to the Virtual Network
az network private-dns link vnet create --resource-group {RG} --virtual-network {vNet NAME} --zone-name privatelink.vaultcore.azure.net --name {dnsZoneLinkName} --registration-enabled true

プライベート エンドポイントを作成する (自動的に承認する)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --location {AZURE REGION}

プライベート エンドポイントを作成する (承認を手動で要求する)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --location {AZURE REGION} --manual-request

プライベート リンク接続を管理する

# Show Connection Status
az network private-endpoint show --resource-group {RG} --name {Private Endpoint Name}

# Approve a Private Link Connection Request
az keyvault private-endpoint-connection approve --approval-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Deny a Private Link Connection Request
az keyvault private-endpoint-connection reject --rejection-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Delete a Private Link Connection Request
az keyvault private-endpoint-connection delete --resource-group {RG} --vault-name {KEY VAULT NAME} --name {PRIVATE LINK CONNECTION NAME}

プライベート DNS レコードを追加する

# Determine the Private Endpoint IP address
az network private-endpoint show -g {RG} -n {PE NAME}      # look for the property networkInterfaces then id; the value must be placed on {PE NIC} below.
az network nic show --ids {PE NIC}                         # look for the property ipConfigurations then privateIpAddress; the value must be placed on {NIC IP} below.

# https://video2.skills-academy.com/azure/dns/private-dns-getstarted-cli#create-an-additional-dns-record
az network private-dns zone list -g {RG}
az network private-dns record-set a add-record -g {RG} -z "privatelink.vaultcore.azure.net" -n {KEY VAULT NAME} -a {NIC IP}
az network private-dns record-set list -g {RG} -z "privatelink.vaultcore.azure.net"

# From home/public network, you wil get a public IP. If inside a vnet with private zone, nslookup will resolve to the private ip.
nslookup {KEY VAULT NAME}.vault.azure.net
nslookup {KEY VAULT NAME}.privatelink.vaultcore.azure.net