マネージド ディスクで保存時の二重暗号化を有効にする

1. Azure portal にサインインします。

2. [ディスク暗号化セット] を検索して選択します。

   

3. [+ 作成] を選択します。

4. サポートされているリージョンの 1 つを選択します。

5. [暗号化の種類] で、 [Double encryption with platform-managed and customer-managed keys] (プラットフォーム マネージド キーとカスタマー マネージド キーを使用した二重暗号化) を選択します。

   注意

   特定の種類の暗号化を使用してディスク暗号化セットを作成すると、そのセットを変更することはできません。 別の種類の暗号化を使用する場合は、新しいディスク暗号化セットを作成する必要があります。

6. 残りの情報を入力します。

   

7. Azure Key Vault とキーを選択するか、必要に応じて新しいものを作成します。

   注意

   Key Vault インスタンスを作成する場合は、論理的な削除と消去保護を有効にする必要があります。 これらの設定は、マネージド ディスクの暗号化のために Key Vault を使用する場合は必須であり、誤った削除によるデータ損失の防止になります。

   

8. ［作成］ を選択します

9. 作成したディスク暗号化セットに移動し、表示されるエラーを選択します。 これにより、ディスク暗号化セットが機能するように構成されます。

   

   通知がポップアップ表示され、成功します。 これで、キー コンテナーでディスク暗号化セットを使用できるようになります。

   

10. ディスクに移動します。

11. [暗号化] を選択します。

12. [キー管理] には、[プラットフォーム マネージド キーとカスタマー マネージド キー] でいずれかのキーを選択します。

13. [保存] を選択します。

    

これで、マネージド ディスクで保存時の二重暗号化を有効にしました。

1. Azure Key Vault と暗号化キーのインスタンスを作成します。

   Key Vault インスタンスを作成する場合、論理的な削除と消去保護を有効にする必要があります。 論理的な削除では、Key Vault は削除されたキーを特定の保持期間 (既定では90日) にわたって保持します。 消去保護では、保持期間が経過するまで、削除されたキーを完全に削除できないようになります。 これらの設定は、誤って削除したためにデータが失われるのを防ぎます。 これらの設定は、Key Vault を使用してマネージド ディスクを暗号化する場合は必須です。

   subscriptionId=yourSubscriptionID
   rgName=yourResourceGroupName
   ___location=westcentralus
   keyVaultName=yourKeyVaultName
   keyName=yourKeyName
   diskEncryptionSetName=yourDiskEncryptionSetName
   diskName=yourDiskName
   
   az account set --subscription $subscriptionId
   
   az keyvault create -n $keyVaultName -g $rgName -l $___location --enable-purge-protection true --enable-soft-delete true
   
   az keyvault key create --vault-name $keyVaultName -n $keyName --protection software
   

2. az keyvault key show で作成したキーのキー URL を取得します。

   az keyvault key show --name $keyName --vault-name $keyVaultName
   

3. EncryptionAtRestWithPlatformAndCustomerKeys として encryptionType を設定して、DiskEncryptionSet を作成します。 yourKeyURL を、az keyvault key show から受け取った URL に置き換えます。

   az disk-encryption-set create --resource-group $rgName --name $diskEncryptionSetName --key-url yourKeyURL --source-vault $keyVaultName --encryption-type EncryptionAtRestWithPlatformAndCustomerKeys
   

4. DiskEncryptionSet リソースに Key Vault へのアクセス権を付与します。

desIdentity=$(az disk-encryption-set show -n $diskEncryptionSetName -g $rgName --query [identity.principalId] -o tsv)

az keyvault set-policy -n $keyVaultName -g $rgName --object-id $desIdentity --key-permissions wrapkey unwrapkey get

1. Azure Key Vault と暗号化キーのインスタンスを作成します。

   Key Vault インスタンスを作成する場合、論理的な削除と消去保護を有効にする必要があります。 論理的な削除では、Key Vault は削除されたキーを特定の保持期間 (既定では90日) にわたって保持します。 消去保護では、保持期間が経過するまで、削除されたキーを完全に削除できないようになります。 これらの設定は、誤って削除したためにデータが失われるのを防ぎます。 これらの設定は、Key Vault を使用してマネージド ディスクを暗号化する場合は必須です。

   $ResourceGroupName="yourResourceGroupName"
   $LocationName="westus2"
   $keyVaultName="yourKeyVaultName"
   $keyName="yourKeyName"
   $keyDestination="Software"
   $diskEncryptionSetName="yourDiskEncryptionSetName"
   
   $keyVault = New-AzKeyVault -Name $keyVaultName -ResourceGroupName $ResourceGroupName -Location $LocationName -EnableSoftDelete -EnablePurgeProtection
   
   $key = Add-AzKeyVaultKey -VaultName $keyVaultName -Name $keyName -Destination $keyDestination  
   

2. 作成したキーの URL を取得します。これは、後続のコマンドで必要です。 Get-AzKeyVaultKey からの ID 出力はキー URL です。

   Get-AzKeyVaultKey -VaultName $keyVaultName -KeyName $keyName
   

3. 作成した Key Vault インスタンスのリソース ID を取得します。これは、後続のコマンドで必要です。

   Get-AzKeyVault -VaultName $keyVaultName
   

4. EncryptionAtRestWithPlatformAndCustomerKeys として encryptionType を設定して、DiskEncryptionSet を作成します。 yourKeyURL と yourKeyVaultURL を以前に取得した URL に置き換えます。

   $config = New-AzDiskEncryptionSetConfig -Location $locationName -KeyUrl "yourKeyURL" -SourceVaultId 'yourKeyVaultURL' -IdentityType 'SystemAssigned'
   
   $config | New-AzDiskEncryptionSet -ResourceGroupName $ResourceGroupName -Name $diskEncryptionSetName -EncryptionType EncryptionAtRestWithPlatformAndCustomerKeys
   

5. DiskEncryptionSet リソースに Key Vault へのアクセス権を付与します。

   Note

   Azure が Microsoft Entra ID で DiskEncryptionSet の ID を作成するには数分かかる場合があります。 次のコマンドを実行しているときに "Active Directory オブジェクトが見つかりません" のようなエラーが表示された場合は、数分待ってから再試行してください。

   $des=Get-AzDiskEncryptionSet -name $diskEncryptionSetName -ResourceGroupName $ResourceGroupName
   Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -ObjectId $des.Identity.PrincipalId -PermissionsToKeys wrapkey,unwrapkey,get