Azure の暗号化の概要

この記事では、Microsoft Azureがどのように暗号化を活用しているかについて説明します。 このプログラムは、静止時の暗号化、トランジット中の暗号化、Azure Key Vaultによる鍵管理など、主要な暗号化分野をカバーしています。

静止時の暗号化

静止データには、物理メディア上に任意のデジタル形式で永続的に保存されている情報が含まれます。 Azureはファイル、ディスク、ブロブ、テーブルストレージなど、多くのデータストレージソリューションを提供しています。 Azureはまた、Azure SQL Database、Azure Cosmos DB、Azure Data Lake Storageを保護するための暗号化も提供しています。

AES-256暗号化を用いて、ソフトウェア・アズ・ア・ア・サービス(SaaS)、プラットフォーム・アズ・ア・ア・サービス(PaaS)、インフラストラクチャ・アズ・ア・ア・サービス(IaaS)クラウドモデルのサービスでデータを静止状態で保護できます。

Azureが静止データをどのように暗号化しているかの詳細については、「データ暗号化アット静止」をご覧ください。

Azure の暗号化モデル

Azure では、サービスが管理するキー、Key Vault でユーザーが管理するキー、またはユーザーが制御するハードウェア上でユーザーが管理するキーを使用したサーバー側暗号化など、さまざまな暗号化モデルがサポートされています。 クライアント側の暗号化を使用すると、キーをオンプレミスまたは別の安全な場所で管理および格納できます。

クライアント側の暗号化

Azure の外部でクライアント側の暗号化を実行します。 次のものが含まれます。

• データセンターで稼働しているアプリケーションやサービスアプリケーションによって暗号化されたデータ。
• Azureが受信した時点ですでに暗号化されているデータです。

クライアントサイド暗号化を使用すると、クラウドサービスプロバイダーは暗号化鍵にアクセスできず、データを復号できません。 ユーザーがキーを完全に制御して保持します。

サーバー側の暗号化

3 つのサーバー側暗号化モデルでは、異なるキー管理特性が提供されます。

• サービス マネージド キー: 制御性と利便性を兼ね備え、オーバーヘッドを軽減します。
• 顧客管理キー:Bring Your Own Key(BYOK)サポートを含むキーの管理権限を与えたり、新規キーを作成したりできます。
• 顧客管理ハードウェアにおけるサービスマネージドキー:Microsoftの管理外で独自のリポジトリ内のキーを管理できるようにします。 このモデルはHost Your Own Key(HYOK)とも呼ばれます。

Azure Disk Encryption

Azureは、ストレージサービス暗号化とサービス管理キーを用いて、すべてのマネージドディスク、スナップショット、イメージをデフォルトで暗号化しています。 仮想マシンの場合、ホストでの暗号化は、一時ディスクやOSおよびデータディスクのキャッシュを含むVMデータのエンドツーエンド暗号化を提供します。 Azure には、Azure Key Vault でキーを管理するためのオプションも用意されています。 詳細については、「マネージド ディスク暗号化オプションの概要」を参照してください。

Azure Storage の暗号化

Azure Blob StorageやAzureファイル共有で、サーバーサイドとクライアントサイドの両方のシナリオでデータ・アット・レストデータを暗号化できます。

Azure Storageの暗号化は、ストレージの前に自動的にデータを暗号化し、取得時にデータを復号します。 Azure Storage暗号化は256ビットAES暗号化という強力なブロック暗号を使用しています。

Azure SQL Database の暗号化

Azure SQL Database は、リレーショナル データ、JSON、空間、XML などの構造をサポートする汎用リレーショナル データベース サービスです。 SQL Database では、Transparent Data Encryption (TDE) 機能によるサーバー側の暗号化と、Always Encrypted 機能を使用したクライアント側の暗号化の両方がサポートされています。

Transparent Data Encryption

Transparent Data Encryption(TDE)は、データベース暗号化鍵(DEK)を用いてSQL Server、Azure SQL Database、Azure Synapse Analyticsのデータファイルをリアルタイムで暗号化します。 TDE は、新しく作成された Azure SQL データベースで既定で有効になっています。

常に暗号化されています

Azure SQLのAlways Encrypted機能は、クライアントアプリケーション内でデータを暗号化してからAzure SQL Databaseに保存するのに役立ちます。 データを所有し、表示できるユーザーとデータを管理できるユーザーの間で分離を維持しながら、オンプレミスのデータベース管理をサード パーティに委任できます。

セル レベルまたは列レベルの暗号化

Azure SQL Database では、Transact-SQL を使用してデータの列に対称暗号化を適用できます。 この手法は セルレベル暗号化またはカラムレベル暗号化(CLE)と呼ばれます。 特定の列やセルを異なる暗号鍵で暗号化できるため、TDEよりも細かい暗号化能力を提供します。

Azure Cosmos DB データベースの暗号化

Azure Cosmos DBは、グローバルに分散されたマルチモデルデータベースです。 Azure Cosmos DBは、サービス管理キーを用いて、デフォルトでソリッドステートドライブなどの不揮発性ストレージに保存されたユーザーデータを暗号化します。 カスタマー マネージド キー (CMK) 機能を使用して、独自のキーを使用して 2 つ目の暗号化レイヤーを追加できます。

Azure Data Lake Storage の保存データ暗号化

Azure Data Lake Storageは、Azure Storageを基に構築されたクラウドベースのエンタープライズデータレイクソリューションです。 Azure Data Lake Storageは、Microsoft管理キーまたは顧客管理キーのいずれかを用いて、すべてのデータが静止状態で暗号化されます。 詳細については、「Azure Storage保存データの暗号化を参照してください。

転送時の暗号化

Azureは、データが一つの場所から別の場所へ移動する際にプライバシーを守るための多くの仕組みを提供しています。

データ リンクレイヤーの暗号化

Azureの顧客トラフィックが、Microsoftが管理する物理的境界外のリンクを介してデータセンター間移動する場合、AzureはIEEE 802.1AE MACセキュリティ標準(MACsec)を用いたデータリンク層暗号化方式を適用します。 基盤となるネットワークハードウェアはパケットを送信前に暗号化し、物理的な中間者攻撃、盗聴、盗聴攻撃を防ぐのに役立ちます。 MACsec暗号化は、リージョン内またはリージョン間を移動するすべてのAzureトラフィックに対してデフォルトで有効になっています。

TLS 暗号化

顧客はトランスポートレイヤーセキュリティ(TLS)を使って、Azureサービスと顧客システム間を移動するデータを保護できます。 Microsoftのデータセンターは、Azureサービスに接続するクライアントシステムとTLS接続を交渉します。 TLS により、強力な認証、メッセージのプライバシー、整合性が提供されます。

Perfect Forward Secrecy(PFS)は、顧客のクライアントシステムとMicrosoftクラウドサービス間の接続を、各接続ごとに固有の鍵を使用することで保護します。 接続では、RSA ベースの 2,048 ビット キー長、ECC 256 ビット キーの長さ、SHA-384 メッセージ認証、および AES-256 データ暗号化がサポートされます。

Azure Storage トランザクション

Azure Portal で Azure Storage を操作する際は、すべてのトランザクションが HTTPS 経由で行われます。 HTTPS 経由で Storage REST API を使用して Azure Storage を操作することもできます。 ストレージ アカウントの安全な転送要件を有効にすることで、REST API を呼び出すときに HTTPS の使用を強制できます。

共有アクセス署名(SAS)は、Azure Storageオブジェクトへのアクセスを委任するために使えますが、HTTPSプロトコルのみを使用できるオプションが含まれています。

SMB 暗号化

Azure Files SMB共有は、AES-256-GCM、AES-128-GCM、AES-128-CCMを含むSMBチャネル暗号化をサポートしています。 現在のSMB 3.xクライアントを使用して、地域間および対応デスクトップOSからAzureファイル共有に安全にアクセスできます。

VPN 暗号化

ネットワーク経由で送信されるデータのプライバシーを保護するためのセキュリティで保護されたトンネルを作成する仮想プライベート ネットワークを介して Azure に接続できます。

Azure VPN Gateway

Azure VPN ゲートウェイ は、パブリック接続を介して、または仮想ネットワーク間で、仮想ネットワークとオンプレミスの場所の間で暗号化されたトラフィックを送信します。 サイト間 VPN は、転送の暗号化に IPsec を使用します。

ポイント対サイト VPN

ポイント・トゥ・サイトVPNは、個々のクライアントコンピュータがAzure仮想ネットワークにアクセスすることを可能にします。 ポイント・トゥ・サイトVPNは、クライアントや認証設定に応じてOpenVPN、Secure Socket Tunneling Protocol(SSTP)、またはIKEv2を使用できます。 詳細については、「 ポイント・トゥ・サイトVPNについて」をご覧ください。

サイト間 VPN

サイト間 VPN ゲートウェイ接続は、IPsec/IKE VPN トンネル経由でオンプレミス ネットワークを Azure 仮想ネットワークに接続します。 詳細については、「 サイト間接続の作成」を参照してください。

Key Vault のキー管理

暗号化は適切な鍵保護と管理に依存します。 Azure には、Azure Key Vault、Azure Key Vault Managed HSM、Azure Cloud HSM、Azure Payment HSM など、いくつかのキー管理ソリューションが用意されています。

Key Vault を使用すると、ハードウェア セキュリティ モジュール (HSM) とキー管理ソフトウェアの構成、修正プログラムの適用、保守を行う必要がなくなります。 Key Vaultを使うことで、コントロールを維持できます。アプリケーションは鍵に直接アクセスできません。 キーを HSM にインポートしたり生成したりすることもできます。 最も強力な鍵分離保証のために、Azure Key Vault Managed HSMは顧客所有のセキュリティドメインを提供し、Microsoftはあなたの鍵資料にアクセスできません。

Azure でのキー管理の詳細については、「Azure でのキー管理」を参照してください。

次のステップ

• Azure security overview.
• Azure ネットワークセキュリティ概要。
• Azureデータベースセキュリティ概要。
• Azure virtual machines security overview.
• データ暗号化は静止状態です。
• データセキュリティと暗号化のベストプラクティス。
• Azureでのキー管理。