Managed HSM の論理的削除と消去保護

  • [アーティクル]

この記事では、Managed HSM の 2 つの復旧機能 (論理的削除と消去保護) について説明します。 これらの機能の概要について説明し、Azure CLI と Azure PowerShell を使用してそれらを管理する方法を示します。

詳細については、Managed HSM の概要に関する記事を参照してください。

前提条件

論理的な削除と消去保護とは

論理的な削除と消去保護は、復旧機能です。

論理的な削除は、HSM とキーが誤って削除されるのを防ぐよう設計されています。 論理的な削除は、ごみ箱のような働きをします。 HSM またはキーを削除すると、構成可能な保持期間または既定期間の 90 日間、回復可能な状態に維持されます。 論理的に削除された状態の HSM とキーは、消去することもできます。これは、完全に削除されることを意味します。 消去すると、HSM とキーを消去されたものと同じ名前で再作成できます。 HSM とキーの復旧と削除はどちらも特定のロールの割り当てが必要です。 論理的な削除を無効にすることはできません。

Note

基になるリソースは、削除された状態にあるときでも HSM に割り当てられたままなので、HSM リソースはその状態にある間、時間あたりの料金が発生し続けます。

Managed HSM 名は、すべてのクラウド環境でグローバルに一意です。 そのためマネージド HSM を、論理的に削除された状態で存在するものと同じ名前で作成することはできません。 同様に、キーの名前は HSM 内で一意です。 キーを、論理的に削除された状態で存在するものと同じ名前で作成することはできません。

詳細については、Managed HSM の論理的な削除の概要に関する記事を参照してください。

消去保護は、悪意のある内部関係者によって HSM とキーが削除されるのを防ぐように設計されています。 これは、時間ベースのロックを備えたごみ箱のようなものです。 構成可能な保持期間中であればいつでも、項目を回復できます。 HSM やキーを、保持期間が終わるまでは、完全に削除したり消去したりできません。 保持期間が終了すると、HSM やキーは自動的に消去されます。

Note

管理者のロールまたはアクセス許可によって消去保護をオーバーライド、無効化、または回避することができません。 消去保護が有効な場合、それを Microsoft を含む誰もが無効にしたりオーバーライドしたりすることができません。 そのため、削除された HSM を復旧するか、保持期間が終了するまで待った後で HSM 名を再利用する必要があります。

マネージド キーとマネージド HSM

マネージド HSM (CLI)

  • マネージド HSM の論理的な削除と消去保護の状態を確認するには:

    az keyvault show --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} --hsm-name {HSM NAME}

  • HSM を削除するには:

    az keyvault delete --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} --hsm-name {HSM NAME}

    このアクションが復旧可能な理由は、論理的な削除が既定でオンになっているからです。

  • 論理的に削除されたすべての HSM を一覧表示するには:

    az keyvault list-deleted --subscription {SUBSCRIPTION ID} --resource-type hsm

  • 論理的に削除された HSM を復旧するには:

    az keyvault recover --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME} --location {LOCATION}

  • 論理的に削除された HSM を消去するには:

    az keyvault purge --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME} --location {LOCATION}

    警告

    この操作を行うと、HSM が完全に削除されます。

  • HSM で消去保護を有効にするには:

    az keyvault update-hsm --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} --hsm-name {HSM NAME} --enable-purge-protection true

キー (CLI)

  • キーを削除するには:

    az keyvault key delete --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME} --name {KEY NAME}

  • 削除されたキーを一覧表示するには:

    az keyvault key list-deleted --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME}

  • 削除されたキーを復旧するには:

    az keyvault key recover --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME} --name {KEY NAME}

  • 論理的に削除されたキーを消去するには:

    az keyvault key purge --subscription {SUBSCRIPTION ID} --hsm-name {HSM NAME} --name {KEY NAME}

    警告

    この操作を行うと、キーが完全に削除されます。

次のステップ