Azure Cosmos DB でキーローテーションを実装する

適用対象: NoSQL MongoDB Cassandra Gremlin Table

キーのローテーションは、資格情報の潜在的な公開の影響を最小限に抑えるために重要な部分です。 少なくとも 60 日ごとにキーを再生成する必要があります。

重要

Microsoft では、使用可能な最も安全な認証フローを使用することをお勧めします。 この手順で説明されている認証フローでは、アプリケーションで非常に高い信頼度が要求されるため、他のフローには存在しないリスクが伴います。 このフローは、マネージド ID など、より安全なフローが実行可能ではない場合にのみ使用してください。

Azure Cosmos DB の場合、Microsoft Entra 認証は、使用可能な最も安全な認証メカニズムです。 API の適切なセキュリティ ガイドを確認します。

• NoSQL 用 Azure Cosmos DB

前提条件

• 既存の Azure Cosmos DB アカウント

プライマリ キーまたはセカンダリ キーをローテーションする

キーは、Azure portal またはスクリプトを使用してローテーションできます。

Azure Portal

Azure portal を使用して、次の 4 つの組み込みキーのいずれかをローテーション (または再生成) します。

• プライマリ読み取り/書き込み
• プライマリ読み取り専用
• セカンダリ読み取り/書き込み
• セカンダリ読み取り専用

1. Azure portal (https://portal.azure.com) にサインインします。

2. 既存の Azure Cosmos DB アカウントに移動します。

3. アカウント リソース ウィンドウで、サービス メニューの [設定] セクションから [キー] を選択します。

4. [読み取り/書き込みキー] セクションまたは [読み取り専用] セクションの [主キー] フィールドまたは [セカンダリ キー] フィールドの更新オプションを選択します。

Azure CLI

この Azure CLI スクリプトを使用して、Azure Cosmos DB アカウントのキーの 1 つを再生成します。

az cosmosdb keys regenerate \
    --resource-group "<name-of-existing-resource-group>" \
    --name "<name-of-existing-account>" \
    --key-kind "primary"

--key-kind 引数のオプションは次のとおりです。

• primary
• primaryReadonly
• secondary
• secondaryReadonly

詳細については、az cosmosdb keys regenerate を参照してください

Azure PowerShell

この Azure PowerShell スクリプトを使用して、Azure Cosmos DB アカウントのキーの 1 つを再生成します。

$parameters = @{
    ResourceGroupName = "<name-of-existing-resource-group>"
    Name = "<name-of-existing-account>"
    KeyKind = "primary"
}
New-AzCosmosDBAccountKey @parameters

KeyKind パラメーター のオプションは次のとおりです。

• primary
• primaryReadonly
• secondary
• secondaryReadonly

詳細については、New-AzCosmosDBAccountKeyを参照してください。

関連するコンテンツ

• プライマリ/セカンダリ キーを取得する