Azure SQL Managed Instanceでのカスタマーマネージドキーによるデータ暗号化設定

2026.01.14 　最終更新日: 2026.01.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Azure SQL Managed Instanceにおけるカスタマーマネージドキー（CMK）による透過的データ暗号化（TDE）の実装について、セキュリティリスクの詳細分析と、エンタープライズレベルの実装方法を解説します。

ポリシーの説明

Azure SQL Managed Instanceにおいて、カスタマーマネージドキー（CMK）による透過的データ暗号化（TDE）を実装することで、暗号化キーのライフサイクル全体を組織が完全に制御し、規制コンプライアンス要件を満たしながら、最高レベルのデータ保護を実現する必要があります。

実装前に以下の要件を確認してください：

権限要件
- Azure SQL Managed Instance Contributor
- Key Vault Contributor
- User Access Administrator（ロール割り当て用）
技術要件
- Azure Key Vault（Premium SKU推奨）
- SQL Managed Instance（Business CriticalまたはGeneral Purpose）
- Azure Private Endpointの構成（推奨）
ネットワーク要件
- Key VaultとSQL Managed Instance間の通信経路
- ファイアウォール規則の適切な設定

Key Vaultの作成と強化設定
- Azure Portal → 「リソースの作成」 → 「セキュリティ」 → 「Key Vault」
基本設定
- 名前: kv-sqlmi-prod-<region>-<unique>
- サブスクリプション: <production-subscription>
- リソースグループ: rg-sqlmi-security-prod
- リージョン: <SQL MIと同一リージョン>
- 価格レベル: Premium（HSMサポート）
アクセス構成（重要）
- 権限モデル: Azure ロールベースのアクセス制御（RBAC）
- 削除保護を有効にする（必須）をチェック
- 消去保護を有効にする（必須）をチェック
- 保持日数: 90日
ネットワーク設定
- ネットワーク接続: プライベートエンドポイント
- ファイアウォール例外: 以下をチェック
- 信頼されたMicrosoftサービスを許可
監視設定
- 診断設定: 有効
- ログの送信先: Log Analytics Workspace
- 監視対象: 以下をチェック
  - AuditEvent
  - AllMetrics

Key Vaultでの暗号化キー作成
- Key Vault → 「キー」 → 「生成/インポート」
キー設定の詳細
- オプション: 生成
- 名前: sqlmi-tde-key-prod-<date>
- キーの種類: RSA-HSM（HSM保護）
- RSAキーサイズ: 3072（推奨）または4096（最高セキュリティ）
- 有効化日: <現在の日時>
- 有効期限: <1年後>（定期ローテーション用）
- 操作の許可: 以下をチェック
  - Encrypt
  - Decrypt
  - Wrap Key
  - Unwrap Key
  - Sign
  - Verify
キーローテーションポリシーの設定
- 自動ローテーション: 有効
- ローテーション間隔: 90日
- 有効期限前の通知: 30日