Azure Confidential Computing 完全ガイド｜Confidential VM・Container・Always Encrypted Enclaves・Confidential AI

Azure Confidential Computing は、データを『使用中 (In Use)』も暗号化保護する技術。従来の Encryption at Rest (保存中・Storage 暗号化) + Encryption in Transit (通信中・TLS) に加えて、Encryption in Use (CPU メモリ内データの暗号化) を実現する 3 つ目の暗号化レイヤ。Trusted Execution Environment (TEE、信頼実行環境) で CPU レベルのハードウェア保護を提供、Microsoft・クラウド管理者・ハイパーバイザーからも内部データが見えない『Zero Trust to Cloud』を実現。Intel SGX (Software Guard Extensions)・AMD SEV-SNP (Secure Encrypted Virtualization with Secure Nested Paging) の 2 つの TEE 技術をサポート。金融機関・医療機関・政府機関の最高機密ワークロード向けの最先端セキュリティ機能です。

Confidential VM は AMD SEV-SNP ベースの VM ファミリー (DCasv5・ECasv5・ECCasv5)、VM 全体を Hypervisor から完全分離した状態で実行。代表的特徴: 1) VM メモリ全体が AMD CPU で暗号化、Hypervisor からも見えない、2) Boot Integrity Measurement で改ざん検出、3) Trusted Launch・Secure Boot 必須、4) vTPM (Virtual Trusted Platform Module) 統合、5) Confidential OS Disk (OS Disk 自体も暗号化、Customer-managed Key で鍵管理)。代表的なユースケース: 1) 多者間データ分析 (Multi-party Computation・Federated Learning)、2) 金融データ分析・トランザクション処理、3) 医療画像 AI 推論、4) 機密 AI モデル推論 (Model IP 保護)。コードは既存 VM とほぼ同じ (Lift and Shift 可能)、追加コストは Standard VM の約 30% 増しです。

Confidential Containers on AKS は 2024 GA、AMD SEV-SNP 上で動作する Confidential AKS Node Pool。Pod を Confidential Container として実行、Hypervisor・AKS 管理面・ノード OS からも Pod 内データが見えない。Open Source プロジェクトの Kata Containers ベース、Container を VM サンドボックスで実行する追加分離。代表的なユースケース: 1) AI 推論サービス (顧客データを使わせない・モデル IP 保護)、2) 多者間 ML パイプライン (各参加者のデータを互いに見せない Federated Learning)、3) 規制業界の SaaS (Tenant データの完全分離)。AKS の Confidential Node Pool を追加して Pod のアノテーションで Confidential Container 指定。コンテナアプリケーションを既存コードで Confidential 化できる画期的機能ですが、起動時間が長め (数十秒・Confidential VM 起動分) という制約があります。

Always Encrypted with Secure Enclaves は、Azure SQL Database / Managed Instance / SQL on VM の機密列を Intel SGX TEE で暗号化処理する機能。従来の Always Encrypted は暗号化のまま等価比較のみ可能だったが、Secure Enclaves で Pattern Match (LIKE)・範囲検索 (BETWEEN)・JOIN 操作も暗号化のまま実行可能。動作: 1) クライアントが Column Master Key で Column Encryption Key を暗号化、2) クライアントから暗号化された SQL クエリを送信、3) SQL Server が Secure Enclave (Intel SGX) 内で復号化・処理、4) 結果を暗号化して返却、5) クライアントが復号化して取得。DBA や Cloud 管理者は復号化された値を見れない『Zero Trust to DBA』を実現。GDPR・HIPAA で要求される Privacy by Design の最高レベル実装パターンです。

Confidential Computing の AI / ML 応用パターン。Confidential AI: AI モデル推論を Confidential Container / VM で実行、顧客データもモデル IP も完全保護。代表シナリオ: 医療画像 AI で患者データを病院から AI ベンダに送らずに推論完了、Model IP を顧客から守る同時に顧客データを AI ベンダから守る両方向保護。Federated Learning: 複数組織が自社データを開示せず共同で ML モデルを学習する手法、各参加者の Confidential VM 内でローカル学習 → モデルパラメータのみ集約。Azure Confidential AI Inferencing Service (2024 Preview) で Microsoft が Azure OpenAI を Confidential Computing 上で提供開始、顧客プロンプト・推論結果が Microsoft 内部でも見えない『Confidential OpenAI』が実現。AI 時代の最先端プライバシー保護技術として急速に重要度を増しています。

Attestation (証明) は、Confidential VM / Container が実際に TEE で動作していることを暗号学的に証明する仕組み。動作: 1) Confidential VM 起動時に CPU が Attestation Quote を生成 (vTPM + CPU Signing Key)、2) Microsoft Azure Attestation Service (MAA) または Customer Attestation Service が Quote を検証 (Microsoft の Attestation Certificate Authority Chain)、3) 検証成功で Confidential VM が信頼可能と確認、4) Key Vault / Secret Server が Attestation Token と引き換えに復号鍵をリリース。これにより『この VM は本当に Confidential Computing で動作しているか』『Hypervisor から見られていないか』を暗号学的に保証可能。Cosmos DB・Always Encrypted with Secure Enclaves・Confidential Ledger なども Attestation 統合済み。本番運用ではアプリケーション起動時に Attestation 検証 → 検証失敗時は機密データアクセス拒否、というフローが標準パターンです。

重要な注意点: 1) コスト約 30% 増 (Confidential VM)・追加遅延 (CPU 暗号化処理)、すべてのワークロードに適用するのは過剰、機密データ処理部分のみ選定、2) Confidential Container 起動時間が数十秒 (通常 Pod は 1-2 秒)、Autoscale 想定するなら Warm Pool 構成、3) Confidential VM サイズ制限 (DCasv5 シリーズなど特定 SKU のみ)、Region 限定 (全 Region 対応ではない)、4) Confidential Ledger は 5,000 Transactions/秒 制限、大量書き込みには不向き、5) Attestation Service の SLA・可用性に依存、Region Pairing 必要、6) アプリケーション側で Attestation 検証実装が必要 (透過的でない)、7) Microsoft も完全には『見えない』わけではない (Side Channel Attack のリスク・将来の脆弱性対応必要)。利点 (Microsoft / Cloud Admin からも見えない) と制約 (コスト・性能・設計複雑性) のバランスで採用を慎重判断する必要があります。

SC-100 (Cybersecurity Architect Expert) でゼロトラスト戦略の Data 柱・暗号化アーキテクチャとして問われる本領域の主要トピック。SC-400 (Information Protection) のドメイン 1 で Confidential Computing 統合、AZ-305 (Solutions Architect Expert) でアーキテクト視点での選定 (Confidential Computing 採用判断)、AI-103 (2026-06 GA) で Confidential AI 推論パターン、DP-300 (DBA) で Always Encrypted with Secure Enclaves。最先端セキュリティ技術のため認定試験での出題比率はまだ高くないが、セキュリティアーキテクトには重要な知識領域です。