新しいストレージ アカウント用のクロステナントのカスタマー マネージド キーを構成する

Azure portal にサインインして、次の手順を実行します。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダーによって実行されます。

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

新しいマルチテナント Microsoft Entra アプリケーションの登録を作成するか、既存のマルチテナント アプリケーションの登録から始めることができます。 既存のアプリケーション登録から始める場合は、アプリケーションのアプリケーション ID (クライアント ID) をメモします。

新しい登録を作成するには、次の手順に従います。

1. 検索ボックスで Microsoft Entra ID を検索します。 Microsoft Entra ID 拡張機能を見つけて選びます。

2. 左ウィンドウで、[管理] > [アプリの登録] を選択します。

3. [+ 新規登録] を選択します。

4. アプリケーションの登録の名前を指定して、[任意の組織ディレクトリ内のアカウント (任意の Microsoft Entra ディレクトリ - マルチテナント)] を選びます。

5. [登録] を選択します。

6. アプリケーションの ApplicationId/ClientId を メモします。

   

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

フェデレーション ID 資格情報として使用されるユーザー割り当てマネージド ID を作成します。

1. 検索ボックスで「マネージド ID」を検索します。 マネージド ID 拡張機能を見つけて選択します。

2. [+ 作成] を選択します。

3. マネージド ID のリソース グループ、リージョン、名前を指定します。

4. [Review + create](レビュー + 作成) を選択します。

5. デプロイが成功したら、ユーザー割り当てマネージド ID の Azure ResourceId をメモします。この ID は [プロパティ] にあります。 次に例を示します。

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

アプリケーションの ID を借用できるように、アプリケーションのフェデレーション ID 資格情報としてユーザー割り当てマネージド ID を構成します。

1. [Microsoft Entra ID] > [アプリの登録] > 自分のアプリに移動します。

2. [証明書とシークレット] を選択します。

3. [フェデレーション資格情報] を選択します。

   

4. [資格情報の追加] を選択します。

5. [フェデレーション資格情報のシナリオ] で、[カスタマー マネージド キー] を選択します。

6. [マネージド ID の選択] をクリックします。 ウィンドウからサブスクリプションを選択します。 [マネージド ID] で、[ユーザー割り当てマネージド ID] を選択します。 [選択] ボックスで、先ほど作成したマネージド ID を検索し、ウィンドウの下部にある [選択] をクリックします。

   

7. [資格情報の詳細] で、資格情報の名前と説明 (省略可能) を指定し、[追加] を選択します。

   

Azure PowerShell を使用して ISV のテナントを構成するには、最新の Az モジュールをインストールします。 PowerShell のインストールの詳細については、PowerShellGet を使用した Windows への Azure PowerShell のインストールに関する記事を参照してください。

• Azure PowerShell をローカルで使用する場合は、次のようにします。
  • Az PowerShell モジュールの最新バージョンをインストールします。
  • Connect-AzAccount コマンドレットを使用して、Azure アカウントに接続します。
• Azure Cloud Shell を使用する場合は、次のようにします。
  • 詳細については、Azure Cloud Shell の概要に関するページを参照してください。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダー (ISV) によって実行されます。

サービス プロバイダーが Azure にサインインします

Azure PowerShell で、ISV のテナントにサインインし、アクティブなサブスクリプションを ISV のサブスクリプションに設定します。

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

Tenant1 でマルチテナントの登録済みアプリケーションの名前を選び、Azure portal でマルチテナント アプリケーションを作成します。

マルチテナント アプリケーションに対して指定した名前が、Tenant2 でアプリケーションを識別するために顧客によって使われます。 アプリのオブジェクト ID とアプリケーション ID をメモします。 これらの値は、後続のステップで必要になります。

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

ISV のテナントにサインインしてから、フェデレーション ID の資格情報として使われるユーザー割り当てマネージド ID を作成します。 新しいユーザー割り当てマネージド ID を作成するには、Microsoft.ManagedIdentity/userAssignedIdentities/write アクションを含むロールが割り当てられている必要があります。

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

アプリケーションの ID を借用できるように、アプリケーションのフェデレーション ID 資格情報としてユーザー割り当てマネージド ID を構成します。

PowerShell からフェデレーション ID 資格情報を構成するには、まず Az.Resources モジュールのバージョン 6.3.0 以降をインストールします。

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for CMK"

• Azure Cloud Shell で Bash 環境を使用します。 詳細については、「Azure Cloud Shell の Bash のクイックスタート」を参照してください。

  

• CLI リファレンス コマンドをローカルで実行する場合、Azure CLI をインストールします。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。 詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。

  • ローカル インストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。 認証プロセスを完了するには、ターミナルに表示される手順に従います。 その他のサインイン オプションについては、Azure CLI でのサインインに関するページを参照してください。

  • 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。 拡張機能の詳細については、Azure CLI で拡張機能を使用する方法に関するページを参照してください。

  • az version を実行し、インストールされているバージョンおよび依存ライブラリを検索します。 最新バージョンにアップグレードするには、az upgrade を実行します。

サービス プロバイダーが ID を構成します

次の手順は、サービス プロバイダーのテナント Tenant1 のサービス プロバイダーによって実行されます。

サービス プロバイダーが Azure にサインインします

Azure にサインインして Azure CLI を使用します。

az login

サービス プロバイダーが新しいマルチテナント アプリ登録を作成します

Tenant1 でマルチテナント アプリケーションの名前を選び、Azure portal でマルチテナント アプリケーションを作成します。

マルチテナント アプリケーションに対して指定した名前が、Tenant2 でアプリケーションを識別するために顧客によって使われます。 アプリのアプリケーション ID (またはクライアント ID)、アプリのオブジェクト ID、アプリのテナント ID をコピーします。 これらの値は、次の手順で使用します。

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

サービス プロバイダーは、ユーザー割り当てマネージド ID を作成します

ISV のテナントにサインインしてから、フェデレーション ID の資格情報として使われるユーザー割り当てマネージド ID を作成します。 新しいユーザー割り当てマネージド ID を作成するには、Microsoft.ManagedIdentity/userAssignedIdentities/write アクションを含むロールが割り当てられている必要があります。

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

サービス プロバイダーは、ユーザー割り当てマネージド ID をアプリケーションのフェデレーション資格情報として構成します

az ad app federated-credential create メソッドを実行して、アプリにフェデレーション ID 資格情報を構成し、外部 ID プロバイダーとの信頼関係を作成します。

フェデレーション ID 資格情報の audience 値として api://AzureADTokenExchange を使用します。 詳細については、API リファレンスを参照してください。

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for CMK",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Azure portal にサインインして、次の手順を実行します。

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーの登録済みアプリケーションを顧客のテナントにインストールするには、登録済みアプリからのアプリケーション ID で、サービス プリンシパルを作成します。 サービス プリンシパルは、次のいずれかの方法で作成できます。

• Microsoft Graph、Microsoft Graph PowerShell、Azure PowerShell、または Azure CLI を使用して、サービス プリンシパルを手動で作成します。
• 管理者の同意 URL を作成し、サービス プリンシパルを作成するためのテナント全体にわたる同意を付与します。 AppId を指定する必要があります。

顧客がキー コンテナーを作成する

キー コンテナーを作成するには、ユーザーのアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

1. Azure portal メニューまたは [ホーム] ページで、[+リソースの作成] を選択します 検索ボックスに「Key Vaults」と入力します。 結果の一覧から [キー コンテナー] を選択します。 [キー コンテナー] ページで、[作成] を選択します。

2. [基本] タブで、サブスクリプションを選択します。 [リソース グループ] で、[新規作成] を選択し、リソース グループ名を入力します。

3. キー コンテナーの一意の名前を入力します。

4. リージョンと価格レベルを選択します。

5. 新しいキー コンテナーの消去保護を有効にします。

6. [アクセス ポリシー] タブで、[アクセス許可モデル] に [Azure ロールベースのアクセス制御] を選びます。

7. [確認および作成] 、 [作成] の順に選択します。

   

キー コンテナーの名前と URI を記録しておきます。キー コンテナーにアクセスするアプリケーションは。この URI を使う必要があります。

詳細については、「クイックスタート - Azure portal を使用して Azure キー コンテナーを作成する」を参照してください。

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

この手順により、暗号化キーを作成できるようになります。

1. キー コンテナーに移動し、左側のウィンドウから [アクセスの制御 (IAM)] を選択します。
2. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
3. Key Vault Crypto Officer を検索して選択します。
4. [メンバー] タブで、[ユーザー、グループ、またはサービス プリンシパル] を選択します。
5. [メンバー] を選択し、ユーザー アカウントを検索します。
6. [レビューと割り当て] を選択します。

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

1. Key Vault のプロパティ ページで、[キー] を選択します。
2. [Generate/Import](生成/インポート) を選択します。
3. [キーの作成] 画面で、キーの名前を指定します。 他の値は既定値のままにしておきます。
4. ［作成］ を選択します
5. キー URI をコピーします。

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

キー コンテナーにアクセスできるように、Azure RBAC ロール Key Vault Crypto Service Encryption User をサービス プロバイダーの登録済みアプリケーションに割り当てます。

1. キー コンテナーに移動し、左側のウィンドウから [アクセスの制御 (IAM)] を選択します。
2. [このリソースへのアクセス権の付与] で [ロールの割り当ての追加] を選択します。
3. [Key Vault Crypto Service Encryption User] を検索して選択します。
4. [メンバー] タブで、[ユーザー、グループ、またはサービス プリンシパル] を選択します。
5. [メンバー] を選択し、サービス プロバイダーからインストールしたアプリケーションのアプリケーション名を検索します。
6. [レビューと割り当て] を選択します。

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

Azure PowerShell を使用してクライアントのテナントを構成するには、最新の Az モジュールをインストールします。 PowerShell のインストールの詳細については、PowerShellGet を使用した Windows への Azure PowerShell のインストールに関する記事を参照してください。

• Azure PowerShell をローカルで使用する場合は、次のようにします。
  • Az PowerShell モジュールの最新バージョンをインストールします。
  • Connect-AzAccount コマンドレットを使用して、Azure アカウントに接続します。
• Azure Cloud Shell を使用する場合は、次のようにします。
  • 詳細については、Azure Cloud Shell の概要に関するページを参照してください。

顧客が Azure にサインインする

Azure PowerShell で、顧客のテナントにサインインし、アクティブなサブスクリプションを顧客のサブスクリプションに設定します。

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーのマルチテナント アプリケーションのアプリケーション ID を受け取ったら、サービス プリンシパルを作成して、テナント Tenant2 にアプリケーションをインストールします。

キー コンテナーを作成する予定のテナントで、次のコマンドを実行します。

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

顧客がキー コンテナーを作成する

キー コンテナーを作成するには、顧客のアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます。 この手順により、ユーザーはキー コンテナーと暗号化キーを作成できるようになります。 次の例では、現在サインインしているユーザーにロールを割り当てます。

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

Azure RBAC ロール Key Vault Crypto Service Encryption User を、上記で作成したサービス プリンシパル経由でサービス プロバイダーの登録済みアプリケーションに割り当てて、キー コンテナーにアクセスできるようにします。

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

• Azure Cloud Shell で Bash 環境を使用します。 詳細については、「Azure Cloud Shell の Bash のクイックスタート」を参照してください。

  

• CLI リファレンス コマンドをローカルで実行する場合、Azure CLI をインストールします。 Windows または macOS で実行している場合は、Docker コンテナーで Azure CLI を実行することを検討してください。 詳細については、「Docker コンテナーで Azure CLI を実行する方法」を参照してください。

  • ローカル インストールを使用する場合は、az login コマンドを使用して Azure CLI にサインインします。 認証プロセスを完了するには、ターミナルに表示される手順に従います。 その他のサインイン オプションについては、Azure CLI でのサインインに関するページを参照してください。

  • 初回使用時にインストールを求められたら、Azure CLI 拡張機能をインストールします。 拡張機能の詳細については、Azure CLI で拡張機能を使用する方法に関するページを参照してください。

  • az version を実行し、インストールされているバージョンおよび依存ライブラリを検索します。 最新バージョンにアップグレードするには、az upgrade を実行します。

顧客が Azure にサインインする

Azure にサインインして Azure CLI を使用します。

az login

顧客が顧客テナントにサービス プロバイダー アプリケーションをインストールする

サービス プロバイダーのマルチテナント アプリケーションのアプリケーション ID を受け取ったら、次のコマンドを使用して、テナント Tenant2 にアプリケーションをインストールします。 アプリケーションをインストールすると、テナントにサービス プリンシパルが作成されます。

キー コンテナーを作成する予定のテナントで、次のコマンドを実行します。

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

顧客がキー コンテナーを作成する

キー コンテナーを作成するには、顧客のアカウントに Key Vault Contributor ロール、またはキー コンテナーの作成を許可する別のロールを割り当てる必要があります。

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

顧客は、Key Vault Crypto Officer ロールをユーザー アカウントに割り当てます

この手順により、キー コンテナーと暗号化キーを作成できるようになります。

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

顧客が暗号化キーを作成する

暗号化キーを作成するには、ユーザーのアカウントに Key Vault Crypto Officer ロール、またはキーの作成を許可する別のロールを割り当てる必要があります。

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

顧客がサービス プロバイダー アプリケーションにキー コンテナーへのアクセスを許可する

Azure RBAC ロール Key Vault Crypto Service Encryption User を、上記で作成したサービス プリンシパル経由でサービス プロバイダーの登録済みアプリケーションに割り当てて、登録済みアプリケーションからキー コンテナーにアクセスできるようにします。

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

これで、キー コンテナーの URI とキーを使用して、カスタマー マネージド キーを構成できます。

Azure portal で新しいストレージ アカウント用のクロステナントのカスタマー マネージド キーを構成するには、次の手順を実行します。

1. Azure portal で、ISV のテナントの [ストレージ アカウント] ページに移動し、[作成] ボタンを選択して新しいアカウントを作成します。

2. 「ストレージ アカウントを作成する」に示されている手順に従って、[基本]、[詳細設定]、[ネットワーキング]、[データ保護] の各タブのフィールドに入力します。

3. [暗号化] タブの [カスタマー マネージド キーのサポートを有効にする] フィールドで、カスタマー マネージド キーのサポートを有効にするサービスを指定します。

4. [Encryption type] (暗号化の種類) フィールドで、[Customer-managed keys (CMK)] (カスタマー マネージド キー (CMK)) を選択します。

5. [暗号化キー] フィールドで、[Enter key from key vault] (キー コンテナーからキーを入力する) を選択し、キー URI を指定します。 Azure Storage で新しいキー バージョンを自動的にチェックして更新する場合は、URI からキーのバージョンを省略します。

6. [ユーザー割り当て ID] フィールドで、ISV のテナントで以前に作成したユーザー割り当てマネージド ID を検索します。

7. [詳細設定] セクションを展開し、ISV のテナントで以前に作成したマルチテナント登録済みアプリケーションを選択します。

   

8. [確認] ボタンを選択して検証し、アカウントを作成します。

PowerShell で新しいストレージ アカウントのテナント間のカスタマー マネージド キーを構成するには、まず Az.Storage PowerShell モジュール のバージョン 5.1.0以降 をインストールします。 このモジュールは、 Az PowerShell モジュール バージョン 9.1.0 以降と共にインストールされます。

次に、New-AzStorageAccount を呼び出し、ISV のサブスクリプションで以前に構成したユーザー割り当てマネージド ID のリソース ID と、ISV のサブスクリプションで以前に構成したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 顧客のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<keyName>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> -ResourceGroupName $rgName

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -UserAssignedIdentityId $userIdentity.Id `
    -IdentityType SystemAssignedUserAssigned `
    -KeyName $keyName `
    -KeyVaultUri $kvUri `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id `
    -KeyVaultFederatedClientId $multiTenantAppId 

Azure CLI を使用して新しいストレージ アカウントのクロステナントのカスタマー マネージド キーを構成するには、まず Azure CLI バージョン2.42.0 以降をインストールします。 Azure CLI のインストールに関する詳細については、「Azure CLI をインストールする方法」を参照してください。

次に、az storage account create を呼び出し、ISV のサブスクリプションで以前に構成したユーザー割り当てマネージド ID のリソース ID と、ISV のサブスクリプションで以前に構成したマルチテナント アプリケーションのアプリケーション (クライアント) ID を指定します。 顧客のキー コンテナーのキー コンテナー URI とキー名を指定します。

角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $managedIdentity \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Azure portal でキーを変更するには、次の手順を実行します。

1. お使いのストレージ アカウントに移動し、 [暗号化] の設定を表示します。
2. キー コンテナーを選択し、新しいキーを選択します。
3. 変更を保存します。

PowerShell を使用してキーを変更するには、Set-AzStorageAccount を呼び出して、新しいキーの名前とバージョンを指定します。 新しいキーが別のキー コンテナーにある場合は、キー コンテナー URI も更新する必要があります。

Azure CLI を使用してキーを変更するには、az storage account update を呼び出して、新しいキーの名前とバージョンを指定します。 新しいキーが別のキー コンテナーにある場合は、キー コンテナー URI も更新する必要があります。

Azure portal でカスタマー マネージド キーを無効にするには、以下の手順に従います。

1. キーを含むキー コンテナーに移動します。

2. [オブジェクト] で [キー] を選択します。

3. キーを右クリックし、[無効] を選択します。

   

PowerShell を使用してカスタマー マネージド キーを取り消すには、次の例に示すように、Update-AzKeyVaultKey コマンドを呼び出します。 必ず、角かっこ内のプレースホルダー値を、変数を定義する独自の値に置き換えるか、前の例で定義した変数を使用してください。

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Azure CLI を使用してカスタマー マネージド キーを取り消すには、次の例に示すように、az keyvault key set-attributes コマンドを呼び出します。 必ず、角かっこ内のプレースホルダー値を、変数を定義する独自の値に置き換えるか、前の例で定義した変数を使用してください。

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Azure portal でカスタマー マネージド キーから Microsoft マネージド キーに戻すには、以下の手順に従います。

1. ストレージ アカウントに移動します。

2. [セキュリティとネットワーク] で、[暗号化] を選択します。

3. [暗号化の種類] を [Microsoft マネージド キー] に変更します。

   

PowerShell を使用してカスタマー マネージド キーから Microsoft マネージド キーに戻すには、次の例に示すように、-StorageEncryption オプションを使用して Set-AzStorageAccount を呼び出します。 角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Azure CLI を使用してカスタマー マネージド キーから Microsoft マネージド キーに戻すには、次の例に示すように、az storage account update を呼び出して、--encryption-key-source parameter を Microsoft.Storage に設定します。 角かっこ内のプレースホルダー値を独自の値に置き換え、前の例で定義した変数を使用してください。

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage