Azure Key Vault サービスの制限

Azure Key Vault サービスでは、コンテナーとマネージド HSM という 2 つのリソースの種類がサポートされています。 次の 2 つのセクションでは、それぞれのサービスの制限について説明します。

リソースの種類: コンテナー

このセクションでは、リソースの種類 vaults のサービスの制限について説明します。

キーのトランザクション (リージョンあたりのコンテナーごとに、10 秒間に許可される最大トランザクション数1):

キーの種類 HSM キー
CREATE キー
HSM キー
その他すべてのトランザクション
ソフトウェア キー
CREATE キー
ソフトウェア キー
その他すべてのトランザクション
RSA 2,048 ビット 10 2,000 20 4,000
RSA 3,072 ビット 10 500 20 1,000
RSA 4,096 ビット 10 250 20 500
ECC P-256 10 2,000 20 4,000
ECC P-384 10 2,000 20 4,000
ECC P-521 10 2,000 20 4,000
ECC SECP256K1 10 2,000 20 4,000

Note

前の表を見ると、RSA 2,048 ビット ソフトウェア キーでは、10 秒間に 4,000 件の GET トランザクションが許可されます。 RSA 2,048 ビット HSM キーでは、10 秒間に 2,000 件の GET トランザクションが許可されます。

スロットルのしきい値は重み付けされ、合計に対して適用されます。 たとえば、前の表で示されているように、RSA HSM キーで GET 操作を実行する場合に 4,096 ビット キーを使用すると、2,048 ビット キーと比較して 8 倍のコストがかかります。 これは、2,000/250 = 8 によります。

10 秒間に、Azure Key Vault クライアントは、429 のスロットル HTTP 状態コードが発生するまで、次の操作のいずれか 1 つのみを実行できます。

  • 4,000 件の RSA 2,048 ビット ソフトウェア キー GET トランザクション
  • 2,000 件の RSA 2,048 ビット HSM キー GET トランザクション
  • 250 件の RSA 4,096 ビット HSM キー GET トランザクション
  • 248 件の RSA 4,096 ビット HSM キー GET トランザクションおよび 16 件の RSA 2,048 ビット HSM キー GET トランザクション

シークレット、管理ストレージ アカウント キー、およびコンテナーのトランザクション:

トランザクションの種類 リージョンあたりのコンテナーごとに、10 秒間に許可される最大トランザクション数1
Secret
シークレットの作成
300
その他すべてのトランザクション 4,000

これらの制限を超えたときにスロットルを処理する方法については、「Azure Key Vault のスロットル ガイダンス」をご覧ください。

1 すべてのトランザクションの種類に適用されるサブスクリプション レベルの制限は、キー コンテナーの制限の 5 倍です。

キー、シークレット、証明書をバックアップする

キー コンテナー オブジェクト (シークレット、キー、証明書など) をバックアップすると、そのオブジェクトは、バックアップ操作によって、暗号化された BLOB としてダウンロードされます。 Azure の外部でこの BLOB の暗号化を解除することはできません。 この BLOB から有効なデータを取得するには、同じ Azure サブスクリプションと Azure 地域内のキー コンテナーに BLOB を復元する必要があります。

トランザクションの種類 許容されるキー コンテナー オブジェクトのバージョン数の上限
個々のキー、シークレット、証明書をバックアップする 500

Note

バージョン数が上記の制限を超えるキー、シークレット、または証明書オブジェクトをバックアップしようとすると、エラーが発生します。 キー、シークレット、または証明書の以前のバージョンを削除することはできません。

キー、シークレット、および証明書の数に関する制限:

Key Vault では、コンテナーに格納できるキー、シークレット、または証明書の数は制限されません。 コンテナーに関するトランザクション制限を考慮して、操作が調整されないようにする必要があります。

Key Vault では、シークレット、キー、または証明書に対するバージョン数は制限されませんが、多数のバージョン (500 個以上) を格納すると、バックアップ操作のパフォーマンスに影響を与える可能性があります。 「Azure Key Vault のバックアップ」を参照してください。

リソースの種類: マネージド HSM

このセクションでは、リソースの種類 managed HSM のサービスの制限について説明します。

オブジェクト制限

アイテム 制限
リージョンごとのサブスクリプションあたりの HSM インスタンスの数 5
HSM インスタンスあたりのキー数 5000
キーあたりのバージョン数 100
HSM インスタンスあたりのカスタム ロール定義の数 50
HSM スコープでのロールの割り当て数 50
個々のキー スコープでのロールの割り当て数 10

管理操作のトランザクション制限 (HSM インスタンスごとの 1 秒あたりの操作数)

操作 1 秒あたりの操作数
すべての RBAC 操作
(ロールの定義とロールの割り当てに関するすべての CRUD 操作が含まれます)
5
HSM の完全なバックアップまたは復元
(HSM インスタンスごとに 1 つの同時バックアップまたは復元操作のみがサポートされています)
1

暗号化操作のトランザクション制限 (HSM インスタンスごとの 1 秒あたりの操作数)

  • 各マネージド HSM インスタンスは、負荷分散された 3 つの HSM パーティションを構成します。 スループット制限は、各パーティションに割り当てられた、基になるハードウェア容量の機能です。 下の表は、使用可能なパーティションが少なくとも 1 つある最大スループットを示しています。 3 つすべてのパーティションが使用可能な場合、実際のスループットは最大 3 倍になります。
  • スループット制限は、最大スループットを実現するために 1 つのキーが使用されていることを前提としています。 たとえば、1 つの RSA-2048 キーが使用されている場合、最大スループットは 1100 回の署名操作になります。 それぞれ 1 秒あたり 1 トランザクションの、1100 個の異なるキーを使用する場合は、同じスループットを実現することはできません。
RSA キー操作 (HSM インスタンスごとの 1 秒あたりの操作数)
操作 2048 ビット 3072 ビット 4096 ビット
キーの作成 1 1 1
キーの削除 (論理的な削除) 10 10 10
キーの消去 10 10 10
キーのバックアップ 10 10 10
キーの復元 10 10 10
キー情報の取得 1100 1100 1100
Encrypt 10000 10000 6000
復号化 1100 360 160
ラップ 10000 10000 6000
ラップ解除 1100 360 160
署名 1100 360 160
確認 10000 10000 6000
EC キー操作 (HSM インスタンスごとの 1 秒あたりの操作数)

この表は、各曲線の種類に対する 1 秒あたりの操作数を示しています。

操作 P-256 P-256K P-384 P-521
キーの作成 1 1 1 1
キーの削除 (論理的な削除) 10 10 10 10
キーの消去 10 10 10 10
キーのバックアップ 10 10 10 10
キーの復元 10 10 10 10
キー情報の取得 1100 1100 1100 1100
署名 260 260 165 56
確認 130 130 82 28
AES キー操作 (HSM インスタンスごとの 1 秒あたりの操作数)
  • 暗号化と復号化の操作では、4 KB のパケット サイズが想定されます。
  • 暗号化または復号化のスループット制限は、AES-CBC および AES GCM アルゴリズムに適用されます。
  • ラップまたはラップ解除のスループット制限は、AES-KW アルゴリズムに適用されます。
操作 128 ビット 192 ビット 256 ビット
キーの作成 1 1 1
キーの削除 (論理的な削除) 10 10 10
キーの消去 10 10 10
キーのバックアップ 10 10 10
キーの復元 10 10 10
キー情報の取得 1100 1100 1100
Encrypt 8000 8000 8000
復号化 8000 8000 8000
ラップ 9000 9000 9000
ラップ解除 9000 9000 9000