Azure Database for PostgreSQL フレキシブル サーバーでデータ暗号化を設定する

Azure portal を使用します。

1. 新しいAzure Database for PostgreSQLフレキシブル サーバーのプロビジョニング中に、[セキュリティ] タブでデータ暗号化を構成します。[データ暗号化キー] で、[サービスマネージド キー] オプションを選択します。

   

2. geo 冗長バックアップ ストレージをサーバーと共にプロビジョニングできるようにする場合、サーバーが 2 つの個別の暗号化キーを使用するため、[ セキュリティ ] タブの側面が若干変わります。 1 つのキーはサーバーをデプロイするプライマリ リージョン用で、1 つのキーはサーバー バックアップが非同期的にレプリケートされるペアリージョン用です。

   

az postgres flexible-server create コマンドを使用して新しいサーバーをプロビジョニングするときに、システム割り当て暗号化キーを使用してデータ暗号化を有効にすることができます。

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Azure portal を使用します。

1. ユーザー割り当てマネージド ID がまだない場合は、作成します。 サーバーで geo 冗長バックアップが有効になっている場合は、2 つの異なる ID を作成する必要があります。 これらの各 ID は、2 つのデータ暗号化キーのそれぞれにアクセスします。

1. キー ストアがまだ作成されていない場合は、Azure Key Vaultを作成するか、Managed HSM を作成します。 要件を満たしていることを確認します。 また、キー ストアを構成する前と、キーを作成して必要なアクセス許可をユーザー割り当てマネージド ID に割り当てる前に、 推奨事項 に従ってください。 サーバーで geo 冗長バックアップが有効になっている場合は、2 つ目のキー ストアを作成する必要があります。 その 2 つ目のキー ストアは、サーバーの ペアリージョン にコピーされたバックアップを暗号化するデータ暗号化キーを保持します。

1. キー ストアにキーを作成します。 サーバーで geo 冗長バックアップが有効になっている場合は、各キー ストアに 1 つのキーが必要です。 これらのキーのいずれかを使用すると、すべてのサーバーのデータ (すべてのシステム データベースとユーザー データベース、一時ファイル、サーバー ログ、先書きログ セグメント、バックアップを含む) を暗号化できます。 2 番目のキーを使用すると、サーバーの ペアになっているリージョン に非同期的にコピーされるバックアップのコピーを暗号化します。

2. 新しいAzure Database for PostgreSQLフレキシブル サーバーのプロビジョニング中に、[セキュリティ] タブでデータ暗号化を構成します。[データ暗号化キー] で、[カスタマー マネージド キー] ラジオ ボタンを選択します。

   

3. geo 冗長バックアップ ストレージをサーバーと共にプロビジョニングできるようにする場合、サーバーが 2 つの個別の暗号化キーを使用するため、[ セキュリティ ] タブの側面が若干変わります。 1 つのキーはサーバーをデプロイするプライマリ リージョン用で、1 つのキーはサーバー バックアップが非同期的にレプリケートされるペアリージョン用です。

   

4. [ユーザー割り当てマネージド ID] で、[ID の変更] を選択します。

   

5. ユーザー割り当てマネージド ID の一覧から、Azure Key Vaultに格納されているデータ暗号化キーへのアクセスにサーバーで使用するものを選択します。

   

6. [] を選択し、[] を追加します。

   

7. 現在のバージョンが手動または自動的にローテーションされるたびに、選択したキーの最新バージョンへの参照をサービスで自動的に更新できるようにする場合は、[キーバージョンの 自動更新を使用する] を選択します。 キーバージョンの自動更新を使用する利点については、キーバージョンの自動更新に関 する記事を参照してください。

   

8. [ キーの選択] を選択します。

   

9. サブスクリプション には、これから作成するサーバーのサブスクリプション名が自動的に入力されます。 データ暗号化キーを保持するキー ストアは、サーバーと同じサブスクリプションに存在する必要があります。

   

10. [ キー ストアの種類] で、データ暗号化キーを格納するキー ストアの種類に対応するラジオ ボタンを選択します。 この例では、 キー コンテナーを選択しますが、 Managed HSM を選択した場合のエクスペリエンスは似ています。

    

11. キー コンテナー (または、そのストレージの種類を選択した場合は Managed HSM) を展開し、データ暗号化キーが存在するインスタンスを選択します。

    

    注

    ドロップダウン ボックスを展開すると、[ 使用可能な項目がありません] と表示されます。 サーバーと同じリージョンにデプロイされているキー コンテナーのすべてのインスタンスが一覧表示されるまで、数秒かかります。

12. [ キー] を展開し、データ暗号化に使用するキーの名前を選択します。

    

13. [ キーバージョンの自動更新を使用する] を選択しなかった場合は、特定のバージョンのキーも選択する必要があります。 これを行うには、[ バージョン] を展開し、データ暗号化に使用するキーのバージョンの識別子を選択します。

    

14. 選択

    

15. 新しいサーバーの他のすべての設定を構成し、[ 確認と作成] を選択します。

    

az postgres flexible-server create コマンドを使用して、ユーザー割り当て暗号化キーによるデータ暗号化を有効にし、新しいサーバーをプロビジョニングします。

サーバーで geo 冗長バックアップが有効になっていない場合:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

サーバーで geo 冗長バックアップが有効になっている場合:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Azure portal を使用します。

1. お使いの Azure Database for PostgreSQL フレキシブル サーバーを選択します。

2. リソース メニューの [ セキュリティ ] セクションで、[ データ暗号化] を選択します。

   

3. サーバーがキー ストアへのアクセスに使用するユーザー割り当てマネージド ID を変更するには、[ ユーザー割り当てマネージド ID ] ドロップダウンを展開し、使用可能な ID のいずれかを選択します。

   

   注

   コンボ ボックスには、Azure Database for PostgreSQL フレキシブル サーバーが割り当てた ID のみが表示されます。 必須ではありませんが、リージョンの回復性を維持するには、サーバーと同じリージョンのユーザー マネージド ID を選択します。 サーバーで geo バックアップ冗長が有効になっている場合、geo 冗長バックアップのデータ暗号化キーへのアクセスに使用される 2 番目のユーザー マネージド ID は、サーバーの ペアになっているリージョン に存在する必要があります。

4. データ暗号化キーへのアクセスに使用するユーザー割り当てマネージド ID が Azure Database for PostgreSQL フレキシブル サーバーに割り当てられていない場合、Microsoft Entra IDの対応するオブジェクトを持つAzure リソースとして存在しない場合は、[作成] を選択して作成します。

   

5. [ユーザー割り当てマネージド ID の作成] パネルで、作成するユーザー割り当てマネージド ID の詳細を入力し、Azure Database for PostgreSQLフレキシブル サーバーに自動的に割り当ててデータ暗号化キーにアクセスします。

   

6. データ暗号化キーへのアクセスに使用するユーザー割り当てマネージド ID が、Azure Database for PostgreSQL フレキシブル サーバーに割り当てられていないが、Microsoft Entra IDの対応するオブジェクトを持つAzure リソースとして存在する場合は、[選択] を選択して割り当てます。

   

7. ユーザー割り当てマネージド ID の一覧から、Azure Key Vaultに格納されているデータ暗号化キーへのアクセスにサーバーで使用するものを選択します。

   

8. [] を選択し、[] を追加します。

   

9. 現在のバージョンが手動または自動でローテーションされるたびに、サービスが選択したキーの最新バージョンへの参照を自動的に更新する場合は、[キーバージョンの 自動更新を使用する ] を選択します。 キーバージョンの自動更新を使用する利点を理解するには、[キーバージョンの自動更新](../security/security-data-encryption.md##CMK キー バージョンの更新)をご覧ください。

   

10. キーをローテーションしても、キー バージョンの自動更新を使用する を有効にしない場合。 または、別のキーを使用する場合は、Azure Database for PostgreSQLフレキシブル サーバーを更新して、新しいキー のバージョンまたは新しいキーをポイントするようにします。 これを行うには、キーのリソース識別子をコピーし、[ キー識別子 ] ボックスに貼り付けます。

    

11. Azure portal にアクセスするユーザーに、キー ストアに格納されているキーにアクセスするためのアクセス許可がある場合は、別の方法を使用して、新しいキーまたは新しいキー バージョンを選択できます。 これを行うには、[ キーの選択方法] で [キーの選択] ラジオ ボタン を選択 します。

    

12. [ キーの選択] を選択します。

    

13. サブスクリプション には、これから作成するサーバーのサブスクリプション名が自動的に入力されます。 データ暗号化キーを保持するキー ストアは、サーバーと同じサブスクリプションに存在する必要があります。

    

14. [ キー ストアの種類] で、データ暗号化キーを格納するキー ストアの種類に対応するラジオ ボタンを選択します。 この例では、 キー コンテナーを選択しますが、 Managed HSM を選択した場合のエクスペリエンスは似ています。

    

15. キー コンテナー (または、そのストレージの種類を選択した場合は Managed HSM) を展開し、データ暗号化キーが存在するインスタンスを選択します。

    

    注

    ドロップダウン ボックスを展開すると、[ 使用可能な項目がありません] と表示されます。 サーバーと同じリージョンにデプロイされているキー コンテナーのすべてのインスタンスが一覧表示されるまで、数秒かかります。

16. [ キー] を展開し、データ暗号化に使用するキーの名前を選択します。

    

17. [ キーバージョンの自動更新を使用する] を選択しなかった場合は、特定のバージョンのキーも選択する必要があります。 これを行うには、[ バージョン] を展開し、データ暗号化に使用するキーのバージョンの識別子を選択します。

    

18. 選択

    

19. 変更に問題がなければ、[ 保存] を選択します。

    

既存のサーバーのユーザー割り当て暗号化キーを使用してデータ暗号化を構成するには、 az postgres flexible-server update コマンドを使用します。

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

キーへのアクセスに使用するユーザー割り当てマネージド ID のみを変更する場合でも、データ暗号化に使用するキーのみを変更する場合でも、両方を同時に変更する場合でも、パラメーター --identity と --key の両方を指定する必要があります (geo 冗長バックアップの場合は --backup-identity と --backup-key )。 パラメーターを 1 つだけ指定すると、次のいずれかのエラーが発生します。

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

--key パラメーター (または geo 冗長バックアップの場合は--backup-key) で指定したキーが存在しない場合、または --identity パラメーター (または geo 冗長バックアップの場合は--backup-identity) にリソース識別子を渡すユーザー割り当てマネージド ID にキーへのアクセスに必要なアクセス許可がない場合は、次のエラーが発生します。

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

サーバーで geo 冗長バックアップが有効になっている場合は、geo 冗長バックアップの暗号化に使用されるキーと、そのキーへのアクセスに使用される ID を構成できます。 これを行うには、 --backup-identity パラメーターと --backup-key パラメーターを使用します。

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

パラメーター --backup-identity と --backup-key を az postgres flexible server update コマンドに渡し、geo 冗長バックアップが有効になっていない既存のサーバーを参照すると、次のエラーが発生します。

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

--identityと--backup-identityパラメーターに ID を追加し、それらが有効な場合、システムは、Azure Database for PostgreSQLフレキシブル サーバーに関連付けられているユーザー割り当てマネージド ID の一覧に自動的に追加します。 このアクションは、コマンドが後で他のエラーで失敗した場合でも発生します。 このような場合は、 az postgres フレキシブル サーバー ID コマンドを使用して、Azure Database for PostgreSQL フレキシブル サーバーに割り当てられたユーザー割り当てマネージド ID を一覧表示、割り当て、または削除することができます。 Azure Database for PostgreSQL フレキシブル サーバーでのユーザー割り当てマネージド ID の構成の詳細については、ユーザー割り当てマネージド ID を既存のサーバーに関連付ける方法、ユーザー割り当てマネージド ID を既存のサーバーに関連付ける方法、関連付けられているユーザー割り当てマネージド ID を表示する方法を参照してください。