Azure VM ディスクでCMK暗号化設定について

2025.11.13

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Azure VM ディスクの CMK による暗号化設定手順について、リスクと対策を解説します。

ポリシーの説明

Azure VM のディスクは、既定でプラットフォームマネージドキー（PMK）によるAES-256暗号化が適用されています。しかし、より高度なセキュリティ要件やコンプライアンス要件を満たすためには、カスタマーマネージドキー（CMK）によるサーバーサイド暗号化（SSE）を適用することが必須です。

CMKを使用することで、組織は暗号化キーの完全な制御権を保持し、キーのライフサイクル管理（作成、ローテーション、失効、削除）、アクセス制御、監査ログの管理を組織のセキュリティポリシーに従って実施できます。これは、Azure Storage Service Encryption（SSE）のCMKオプションを使用して実現されます。

修復方法

コンソールでの修復手順

Azure コンソールを使用して、VM ディスクに CMK による暗号化を適用します。

前提条件

Azure Key Vault が作成されていること
Key Vault にディスク暗号化用のキーが作成されていること
適切な権限（Key Vault Contributor、Virtual Machine Contributor）を持っていること
Key VaultとVMが同じAzureリージョンに存在すること

手順

1. Azure Key Vault の準備

Azure Portal (https://portal.azure.com) にログイン
「Key Vaults」サービスを検索して選択
新規作成または既存の Key Vault を選択
Key Vaultの設定：
- 「アクセス設定」タブで以下を有効化：
  - ☑ Azure Disk Encryption for volume encryption
  - ☑ Azure Virtual Machines for deployment（オプション）
- 「ネットワーキング」タブでプライベートエンドポイントを設定（推奨）
「キー」セクションで新しいキーを作成：
- 「+ 生成/インポート」をクリック
- キーの種類：RSA-HSM（高セキュリティ）またはRSA
- キーサイズ：4096 ビット（推奨）または2048ビット
- キーのローテーションポリシーを設定（推奨）

2. ディスク暗号化セットの作成

Azure Portal で「ディスク暗号化セット」（Disk Encryption Sets）を検索
「+ 作成」をクリック
基本設定：
- リソースグループを選択
- 名前を入力（例：des-prod-eastus-001）
- リージョンを選択（VMおよびKey Vaultと同じリージョン）
暗号化の設定：
- 暗号化の種類：「Encryption at rest with a customer-managed key」
- Key Vaultを選択
- 暗号化キーを選択
- キーのバージョンを選択（最新バージョンを推奨）
「確認および作成」→「作成」
作成後、ディスク暗号化セットのIDとシステム割り当てマネージドIDが自動生成される

3. 新規 VM 作成時の CMK 適用

VM 作成ウィザードを開始
「ディスク」タブに移動
OS ディスクの暗号化設定：
- 「OSディスクの暗号化」セクションを展開
- 暗号化の種類：「（Default）Encryption at rest with a customer-managed key」
- ディスク暗号化セットを選択
データディスクの追加（オプション）：
- 「新しいディスクを作成して接続」をクリック
- 暗号化の種類を同様に設定
他の設定を完了し、VMを作成