2 セットの認証資格情報があるリソースを対象にシークレットのローテーションを自動化する

[アーティクル]
08/08/2024

Azure サービスに対する認証を行う最善の方法はマネージド ID を使用することですが、この方法を選択できないシナリオもあります。このような場合は、アクセスキーまたはパスワードが使用されます。アクセスキーとパスワードは頻繁にローテーションする必要があります。

このチュートリアルでは、2 セットの認証資格情報を使用するデータベースとサービスを対象に、シークレットの定期的なローテーションを自動化する方法について説明します。具体的には、Azure Key Vault にシークレットとして格納されている Azure ストレージアカウントキーをローテーションする方法について説明します。 Azure Event Grid の通知によってトリガーされる関数を使用します。

Note

ストレージアカウントサービスの場合は、Microsoft Entra ID を使用して要求を承認することをお勧めします。詳しくは、Microsoft Entra ID を使用した BLOB へのアクセスの認可に関する記事をご覧ください。アクセスキーと共にストレージアカウントの接続文字列を必要とするサービスがあります。そのようなシナリオで、このソリューションは推奨されます。

このチュートリアルで説明するローテーションソリューションを次に示します。

ローテーションソリューションを示す図。

このソリューションでは、ストレージアカウントの個々のアクセスキーが、同じシークレットの別バージョンとして Azure Key Vault に格納され、プライマリとセカンダリのキーが後続のバージョンで交互に入れ替わります。最新バージョンのシークレットにアクセスキーが格納されるときは、代替キーが再生成されて、新たな最新バージョンのシークレットとして Key Vault に追加されます。このソリューションによって、再生成された最新のキーに更新するための完全なローテーションサイクルがアプリケーションで実現します。

シークレットの有効期限が切れる 30 日前に、Key Vault から "有効期限が近づいている" ことを示すイベントが Event Grid に発行されます。
Event Grid でイベントサブスクリプションが確認され、HTTP POST を使用して、このイベントをサブスクライブしている関数アプリエンドポイントが呼び出されます。
関数アプリによって代替キー (最新ではない方) が特定され、ストレージアカウントが呼び出されてキーが再生成されます。
関数アプリによって、再生成された新しいキーが新しいバージョンのシークレットとして Azure Key Vault に追加されます。

前提条件

Azure サブスクリプション。無料で作成できます。
Azure Cloud Shell。このチュートリアルでは、PowerShell 環境でポータル Cloud Shell を使用しています
Azure Key Vault。
2 つの Azure ストレージアカウント。

Note

共有ストレージアカウントキーのローテーションでは、そのキーに基づいて生成されたアカウントレベルの共有アクセス署名 (SAS) が取り消されます。ストレージアカウントキーのローテーション後は、アプリケーションの中断を回避するために、アカウントレベルの SAS トークンを再生成する必要があります。

まだキーコンテナーとストレージアカウントをお持ちでない場合は、このデプロイリンクを使用してください。

[リソースグループ] で、 [新規作成] を選択します。このグループに vault rotation という名前を付けて [OK] を選択します。
[Review + create](レビュー + 作成) を選択します。
［作成］ を選択します

これで 1 つのキーコンテナーと 2 つのストレージアカウントが作成されます。この設定は、Azure CLI または Azure PowerShell でこのコマンドを実行して検証できます。

Azure CLI
Azure PowerShell

az resource list -o table -g vaultrotation

Get-AzResource -Name 'vaultrotation*' | Format-Table

結果として得られる出力は次のようになります。

Name                     ResourceGroup         Location    Type                               Status
-----------------------  --------------------  ----------  ---------------------------------  --------
vaultrotation-kv         vaultrotation      westus      Microsoft.KeyVault/vaults
vaultrotationstorage     vaultrotation      westus      Microsoft.Storage/storageAccounts
vaultrotationstorage2    vaultrotation      westus      Microsoft.Storage/storageAccounts

キーローテーション関数を作成してデプロイする

次に、システムマネージド ID を使用する関数アプリと、その他の必須コンポーネントを作成します。また、ストレージアカウントキーのローテーション関数もデプロイします。

関数アプリのローテーション関数には、次のコンポーネントおよび構成が必要です。

Azure App Service プラン
関数アプリのトリガーを管理するためのストレージアカウント
Key Vault 内のシークレットにアクセスするためのアクセスポリシー
ストレージアカウントのアクセスキーにアクセスできるよう関数アプリに割り当てられるストレージアカウントキーオペレーターのサービスロール
キーローテーション関数とイベントトリガーおよび HTTP トリガー (オンデマンドローテーション)
SecretNearExpiry イベントの Event Grid イベントサブスクリプション

Azure テンプレートのデプロイのリンクを選択します。
[リソースグループ] 一覧から [vaultrotation] を選択します。
[Storage Account RG](ストレージアカウント RG) ボックスに、自分のストレージアカウントがあるリソースグループの名前を入力します。キーローテーション関数のデプロイ先と同じリソースグループにストレージアカウントが既にある場合は、既定値の [resourceGroup().name] のままにしてください。
[ストレージアカウント名] ボックスに、ローテーションするアクセスキーを含んだストレージアカウントの名前を入力します。「前提条件」で作成したストレージアカウントを使用する場合は、既定値 [concat(resourceGroup().name, 'storage')] をそのまま使用します。
[Key Vault RG](キーコンテナー RG) ボックスに、自分のキーコンテナーがあるリソースグループの名前を入力します。キーローテーション関数のデプロイ先と同じリソースグループに、キーコンテナーが既にある場合は、既定値の [resourceGroup().name] のままにしてください。
[Key Vault 名] ボックスに、キーコンテナーの名前を入力します。「前提条件」で作成したキーコンテナーを使用する場合は、既定値 [concat(resourceGroup().name, '-kv')] をそのまま使用します。
[App Service Plan Type](App Service プランの種類) ボックスで、ホスティングプランを選択します。 Premium プランは、キーコンテナーがファイアウォールの背後にある場合にのみ必要です。
[関数アプリ名] ボックスに、関数アプリの名前を入力します。
[シークレット名] ボックスに、アクセスキーの保存先となるシークレットの名前を入力します。
[Repo Url](リポジトリの URL) ボックスに、関数コードがある GitHub の場所を入力します。このチュートリアルでは、https://github.com/Azure-Samples/KeyVault-Rotation-StorageAccountKey-PowerShell.git を使用できます。
[Review + create](レビュー + 作成) を選択します。
［作成］ を選択します

上記の手順を完了すると、ストレージアカウント、サーバーファーム、関数アプリ、Application Insights を使用できるようになります。デプロイが完了すると、このページが表示されます。

Note

エラーが発生した場合、 [再デプロイ] を選択して、コンポーネントのデプロイを完了できます。

デプロイテンプレートとローテーション関数のコードは、Azure のサンプルに関するページにあります。

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する

まず、シークレットの管理権限をユーザープリンシパルに付与するようにアクセスポリシーを設定します。

Azure CLI
Azure PowerShell

az keyvault set-policy --upn <email-address-of-user> --name vaultrotation-kv --secret-permissions set delete get list

Set-AzKeyVaultAccessPolicy -UserPrincipalName <email-address-of-user> --name vaultrotation-kv -PermissionsToSecrets set,delete,get,list

これで、ストレージアカウントのアクセスキーを値とする新しいシークレットを作成できます。さらに、ローテーション関数でストレージアカウントにキーを再生成できるよう、ストレージアカウントのリソース ID、シークレットの有効期間、シークレットに追加するキーの ID も必要となります。

ストレージアカウントのリソース ID を調べます。この値は、id プロパティで確認できます。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

キーの値を取得できるよう、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

有効期間を 60 日間に設定し、ストレージアカウントのリソース ID を指定して、キーコンテナーにシークレットを追加します。また、デモンストレーション用にローテーションを即座にトリガーするために、有効期限を明日に設定します。取得した key1Value と storageAccountResourceId の値を使用して、このコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey --vault-name vaultrotation-kv --value <key1Value> --tags "CredentialId=key1" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (Get-Date).AddDays(+1).ToString('yyy-MM-ddTHH:mm:ssZ')
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key1'
    ProviderAddress='<storageAccountResourceId>'
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

このシークレットでは、数分以内に SecretNearExpiry イベントがトリガーされます。このイベントによって関数がトリガーされ、有効期限が 60 日に設定されたシークレットがローテーションされます。この構成では、"SecretNearExpiry" イベントが 30 日ごと (有効期限の 30 日前) にトリガーされ、ローテーション関数によって key1 と key2 が交互にローテーションされます。

アクセスキーが再生成されたことは、ストレージアカウントキーと Key Vault のシークレットを取得して比較することで確認できます。

シークレットの情報を得るには、このコマンドを使用します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey -AsPlainText

CredentialId が代替の keyName に更新され、value が再生成されたことがわかります。

1 つ目のストレージアカウントに対する A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

キーの value がキーコンテナー内のシークレットと同じであることに注意してください。

1 つ目のストレージアカウントに対する A Z storage account keys list コマンドの出力を示すスクリーンショット。

複数のストレージアカウントに既存のローテーション関数を使用する

複数のストレージアカウントを対象に、同じ関数アプリを再利用してキーのローテーションを行うことができます。

ローテーションするストレージアカウントキーを既存の関数に追加するには、以下が必要です。

ストレージアカウントのアクセスキーにアクセスできるよう関数アプリに割り当てられるストレージアカウントキーオペレーターのサービスロール。
SecretNearExpiry イベントの Event Grid イベントサブスクリプション。

Azure テンプレートのデプロイのリンクを選択します。
[リソースグループ] 一覧から [vaultrotation] を選択します。
[Storage Account RG](ストレージアカウント RG) ボックスに、自分のストレージアカウントがあるリソースグループの名前を入力します。キーローテーション関数のデプロイ先と同じリソースグループにストレージアカウントが既にある場合は、既定値の [resourceGroup().name] のままにしてください。
[ストレージアカウント名] ボックスに、ローテーションするアクセスキーを含んだストレージアカウントの名前を入力します。
[Key Vault RG](キーコンテナー RG) ボックスに、自分のキーコンテナーがあるリソースグループの名前を入力します。キーローテーション関数のデプロイ先と同じリソースグループに、キーコンテナーが既にある場合は、既定値の [resourceGroup().name] のままにしてください。
[Key Vault 名] ボックスに、キーコンテナーの名前を入力します。
[関数アプリ名] ボックスに、関数アプリの名前を入力します。
[シークレット名] ボックスに、アクセスキーの保存先となるシークレットの名前を入力します。
[Review + create](レビュー + 作成) を選択します。
［作成］ を選択します

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する

ストレージアカウントのリソース ID を調べます。この値は、id プロパティで確認できます。

Azure CLI
Azure PowerShell

az storage account show -n vaultrotationstorage2

Get-AzStorageAccount -Name vaultrotationstorage -ResourceGroupName vaultrotation | Select-Object -Property *

キー 2 の値を取得できるよう、ストレージアカウントのアクセスキーを一覧表示します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage2

Get-AzStorageAccountKey -Name vaultrotationstorage2 -ResourceGroupName vaultrotation

有効期間を 60 日間に設定し、ストレージアカウントのリソース ID を指定して、キーコンテナーにシークレットを追加します。また、デモンストレーション用にローテーションを即座にトリガーするために、有効期限を明日に設定します。取得した key2Value と storageAccountResourceId の値を使用して、このコマンドを実行します。

Azure CLI
Azure PowerShell

tomorrowDate=$(date -u -d "+1 day" +"%Y-%m-%dT%H:%M:%SZ")
az keyvault secret set --name storageKey2 --vault-name vaultrotation-kv --value <key2Value> --tags "CredentialId=key2" "ProviderAddress=<storageAccountResourceId>" "ValidityPeriodDays=60" --expires $tomorrowDate

$tomorrowDate = (get-date).AddDays(+1).ToString("yyyy-MM-ddTHH:mm:ssZ")
$secretValue = ConvertTo-SecureString -String '<key1Value>' -AsPlainText -Force
$tags = @{
    CredentialId='key2';
    ProviderAddress='<storageAccountResourceId>';
    ValidityPeriodDays='60'
}
Set-AzKeyVaultSecret -Name storageKey2 -VaultName vaultrotation-kv -SecretValue $secretValue -Tag $tags -Expires $tomorrowDate

シークレットの情報を得るには、このコマンドを使用します。

Azure CLI
Azure PowerShell

az keyvault secret show --vault-name vaultrotation-kv --name storageKey2

Get-AzKeyVaultSecret -VaultName vaultrotation-kv -Name storageKey2 -AsPlainText

CredentialId が代替の keyName に更新され、value が再生成されたことがわかります。

2 つ目のストレージアカウントに対する A Z keyvault secret show コマンドの出力を示すスクリーンショット。

アクセスキーを取得して値を比較します。

Azure CLI
Azure PowerShell

az storage account keys list -n vaultrotationstorage

Get-AzStorageAccountKey -Name vaultrotationstorage -ResourceGroupName vaultrotation

キーの value がキーコンテナー内のシークレットと同じであることに注意してください。

2 つ目のストレージアカウントに対する A Z storage account keys list コマンドの出力を示すスクリーンショット。

シークレットのローテーションを無効にする

シークレットのローテーションは、そのシークレットの Event Grid のサブスクリプションを削除するだけで無効にできます。 Azure PowerShell の Remove-AzEventGridSubscription コマンドレットまたは Azure CLI の az event grid event--subscription delete コマンドを使用します。

2 組の資格情報を使用する Key Vault ローテーション関数

2 組の資格情報用のローテーション関数と、すぐに使用できるいくつかの関数:

Note

これらのローテーション関数は、Microsoft ではなく、コミュニティのメンバーによって作成されています。コミュニティ機能は、Microsoft サポートプログラムまたはサービスのサポート対象ではなく、"手を加えず" に提供され、いかなる保証もありません。

次のステップ

チュートリアル:1 組の資格情報を使用するシークレットのローテーション
概要:Azure Event Grid での Key Vault の監視
方法:Azure portal で初めての関数を作成する
方法: Key Vault シークレットが変更されたときにメールを受信する
リファレンス: Azure Key Vault 用の Azure Event Grid イベントスキーマ

次の方法で共有

2 セットの認証資格情報があるリソースを対象にシークレットのローテーションを自動化する

前提条件

キーローテーション関数を作成してデプロイする

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する

複数のストレージアカウントに既存のローテーション関数を使用する

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する

シークレットのローテーションを無効にする

2 組の資格情報を使用する Key Vault ローテーション関数

次のステップ

フィードバック

その他のリソース

次の方法で共有

2 セットの認証資格情報があるリソースを対象にシークレットのローテーションを自動化する

前提条件

キー ローテーション関数を作成してデプロイする

ストレージ アカウントのアクセス キーを Key Vault のシークレットに追加する

複数のストレージ アカウントに既存のローテーション関数を使用する

ストレージ アカウントのアクセス キーを Key Vault のシークレットに追加する

シークレットのローテーションを無効にする

2 組の資格情報を使用する Key Vault ローテーション関数

次のステップ

フィードバック

その他のリソース

キーローテーション関数を作成してデプロイする

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する

複数のストレージアカウントに既存のローテーション関数を使用する

ストレージアカウントのアクセスキーを Key Vault のシークレットに追加する