Azure Data Manager for Energy のデータセキュリティと暗号化

[アーティクル]
06/28/2023

この記事では、Azure Data Manager for Energy のセキュリティ機能の概要について説明します。保存時の暗号化、転送中の暗号化、TLS、https、Microsoft マネージドキー、カスタマーマネージドキーの主要な領域について説明します。

保存データを暗号化

Azure Data Manager for Energy では、メタデータ、ユーザーデータ、メモリ内データなどを格納するためにいくつかのストレージリソースが使用されます。プラットフォームでは、サービス側の暗号化を使用して、クラウドに永続化されるときにすべてのデータが自動的に暗号化されます。データの保存時の暗号化によってデータは保護され、組織のセキュリティおよびコンプライアンスコミットメントを満たすのに役立ちます。 Azure Data Manager for Energy のすべてのデータは、既定で Microsoft が管理するキーで暗号化されます。 Microsoft マネージドキーに加えて、独自の暗号化キーを使用して、Azure Data Manager for Energy のデータを保護できます。カスタマーマネージドキーを指定すると、データを暗号化する Microsoft マネージドキーへのアクセスを保護および制御するために、そのキーが使用されます。

転送中のデータを暗号化する

Azure Data Manager for Energy では、クラウドサービスと顧客間で転送されるときにデータを保護するトランスポート層セキュリティ (TLS 1.2) プロトコルがサポートされています。 TLS には、強力な認証、メッセージの機密性、整合性 (メッセージの改ざん、傍受、偽造の検出の有効化)、相互運用性、アルゴリズムの柔軟性といったメリットがあります。

TLS に加えて、Azure Data Manager for Energy とやり取りすると、すべてのトランザクションが HTTPS 経由で実行されます。

Azure Data Manager for Energy インスタンスのカスタマーマネージドキー (CMK) を設定する

重要

Azure Data Manager for Energy インスタンスが作成されると、CMK 設定を編集することはできません。

前提条件

手順 1: キーコンテナーを構成する

新規または既存のキーコンテナーを使用して、カスタマーマネージドキーを格納することができます。 Azure Key Vault の詳細については、「Azure Key Vault の概要」と「Azure Key Vault とは」を参照してください。
Azure Data Manager for Energy でカスタマーマネージドキーを使用するには、キーコンテナーに対して論理的な削除と消去保護の両方を有効にする必要があります。新しいキーコンテナーを作成すると、論理的な削除は既定で有効になり、無効にすることはできません。消去保護は、キーコンテナーの作成時または作成後に有効にすることができます。
Azure portal を使ってキーコンテナーを作成する方法を学習するには、「クイックスタート: Azure portal を使用してキーコンテナーを作成する」を参照してください。キーコンテナーを作成するときに、[消去保護を有効にする] を選択します。
既存のキーコンテナーで消去保護を有効にするには、次の手順を実行します。
1. Azure portal で、ご自身のキーコンテナーに移動します。
2. [設定] の [プロパティ] を選択します。
3. [消去保護] セクションで、[消去保護を有効にする] を選択します。

手順 2: キーを追加する

次に、キーコンテナーにキーを追加します。
Azure portal を使ってキーを追加する方法を学習するには、「クイックスタート: Azure portal を使用して Azure Key Vault との間でキーの設定と取得を行う」を参照してください。
RSA キーサイズは 3072 を推奨します。「Azure Cosmos DB アカウントのカスタマーマネージドキーを構成する | Microsoft Learn」を参照。

手順 3: キーコンテナーへのアクセスを承認するためのマネージド ID を選択する

既存の Azure Data Manager for Energy インスタンスに対してカスタマーマネージドキーを有効にする場合、そのキーを含むキーコンテナーへのアクセスの承認に使用するマネージド ID を指定する必要があります。マネージド ID には、キーコンテナー内のキーにアクセスするためのアクセス許可が必要です。
ユーザー割り当てマネージド ID を作成できます。

既存のアカウントでカスタマーマネージドキーを構成する

Azure Data Manager for Energy インスタンスを作成します。
[暗号化] タブを選択します。

[暗号化] タブで、[カスタマーマネージドキー (CMK)] を選択します。
CMK を使用するには、キーが格納されているキーコンテナーを選択する必要があります。
[暗号化キー] を “キーコンテナーとキーの選択” として選択します。
次に、“キーコンテナーとキーの選択” を選択します。
次に、キーコンテナーとキーを選択します。
次に、キーが格納されるキーコンテナーへのアクセスを承認するために使用されるユーザー割り当てマネージド ID を選択します。
“ユーザー ID を選択する” を選択します。前提条件で作成したユーザー割り当てマネージド ID を選択します。

このユーザー割り当て ID には、キーコンテナーに対するキーの取得、キーの一覧表示、キーの折り返し、キーの折り返し解除のアクセス許可が必要です。 Azure Key Vault アクセスポリシーの割り当ての詳細については、「Key Vault アクセスポリシーの割り当て」を参照してください。
[暗号化キー] を “URI からキーを入力”として選択することもできます。キーでは、論理的な削除と消去の保護を有効にすることが必須です。以下のチェックボックスをオンにして、確認する必要があります。
次に、他のタブを完了してから、“確認と作成” を選択します。
"作成" ボタンを選択します。
Azure Data Manager for Energy インスタンスは、カスタマーマネージドキーを使用して作成されます。
CMK が有効になると、その状態が [概要] 画面に表示されます。
[暗号化] に移動し、ユーザーマネージド ID で CMK が有効になっていることを確認できます。