Azure Key Vault 完全ガイド｜Secret/Key/Certificate 管理・Managed Identity 統合・セキュリティベストプラクティス

Azure Key Vault は、Secret (パスワード・接続文字列・API キー)・Key (暗号化鍵)・Certificate (TLS 証明書) を一元管理する Microsoft マネージドのシークレット管理サービスです。 Azure 上のアプリケーションがハードコードされたシークレットを排除し、Managed Identity 経由で動的に取得する『シークレットレスアプリ』を実現する基幹サービス。 本記事では、Key Vault のティア選定・Secret/Key/Certificate の使い分け・RBAC・Managed Identity 統合・セキュリティベストプラクティスを網羅的に整理します。

ティア選定: Standard vs Premium vs Managed HSM

Secret / Key / Certificate

Secret

• 任意の文字列を保管 (パスワード・接続文字列・API キー・Token・JSON 文字列)
• 最大 25 KB
• 最も汎用的、新規 Key Vault 用途の 80% は Secret
• Version 管理 (Update 時に旧 Version 自動保持)
• Activation Date / Expiration Date 設定可

Key

• 暗号化鍵を保管 (RSA 2048/3072/4096・EC P-256/P-384/P-521・oct AES)
• Sign / Verify / Encrypt / Decrypt / Wrap / Unwrap などの暗号操作を Key Vault 内で実行 (鍵の外部エクスポート不可)
• TDE (Transparent Data Encryption) の Customer-Managed Key
• SSE (Storage Service Encryption) Customer-Managed Key
• Azure Disk Encryption Customer-Managed Key

Certificate

• X.509 証明書を保管
• Public 部分は Secret として取り出し可能、Private Key は Key として保管
• Auto Renewal (Let's Encrypt 等の CA 連携) 対応
• App Service / Application Gateway の SSL 証明書管理に最適

RBAC ベースアクセス制御

現在の Microsoft 推奨は RBAC (Azure Role-Based Access Control) ベースで、Key Vault Access Policies は旧方式。

主要 RBAC ロール

• Key Vault Administrator: Key Vault 全権限 (RBAC・Secret・Key・Certificate 全操作)
• Key Vault Reader: メタデータ読み取りのみ (Secret 値読み取り不可)
• Key Vault Secrets Officer: Secret 全操作 (作成・読み取り・更新・削除)
• Key Vault Secrets User: Secret 読み取りのみ (アプリ用)
• Key Vault Crypto Officer: Key 全操作
• Key Vault Crypto User: Key 暗号操作のみ (Sign / Encrypt 等)
• Key Vault Certificates Officer: Certificate 全操作

新規 Key Vault は『Use RBAC』を選択、既存の Access Policies ベースは RBAC へ移行が推奨です。

Managed Identity との統合パターン

現代的なシークレットレスアプリの定番パターン:

1. Azure リソース (VM・App Service・Functions 等) で System-assigned または User-assigned Managed Identity を有効化
2. Key Vault の RBAC で Managed Identity に Key Vault Secrets User ロール付与
3. アプリケーションで Azure Identity SDK (DefaultAzureCredential) を使用
4. Key Vault Secret Client で動的に Secret 取得 (例: client.getSecret('db-connection-string'))

これにより Connection String や API Key を App Settings / 環境変数に書く必要が完全になくなり、Git コミットでのシークレット漏洩リスクをゼロ化。Microsoft 推奨の現代的アプリ実装パターンで、すべての新規 Azure アプリで採用すべきです。

Soft Delete と Purge Protection

Purge Protection 有効化により、Compromised 認証情報を持つ攻撃者が Key Vault を完全削除する攻撃を防止。 ランサムウェア攻撃などからのデータ復旧の最後の砦となります。本番運用では必須の設定項目です。

ネットワーク分離

本番 Key Vault はPublic エンドポイント無効化 + Private Endpoint 経由のみアクセスが標準。

構成手順

1. Network → Firewalls and virtual networks で『Disable public access』
2. Private Endpoint を VNet に作成
3. privatelink.vaultcore.azure.net Private DNS Zone と統合 (Auto Configuration)
4. オンプレからは VPN/ExpressRoute + Azure DNS Private Resolver 経由で解決

Selected Networks 方式 (特定 IP / VNet からのみ許可) は Service Endpoint との組み合わせで有効、限定的なシナリオで使用。詳細は Private Endpoint vs Service Endpoint を参照。

セキュリティベストプラクティス

1. Purge Protection 有効化 (本番必須)
2. Public Access Disable + Private Endpoint
3. RBAC ベースアクセス制御 (Access Policies からの移行)
4. Managed Identity 認証 (シークレットレスアプリ)
5. Microsoft Defender for Key Vault 有効化 (異常アクセス検知)
6. Diagnostic Logs を Microsoft Sentinel に送信
7. Secret / Key / Certificate の Expiration Date 設定 (定期ローテーション)
8. Backup の定期取得 (BYOK Key の Backup 必須)
9. Customer-Managed Key (CMK) で Key Vault 自体を暗号化 (Premium のみ)
10. Key Vault 命名規則統一 (環境・リージョン・用途を含む)

証明書の自動更新

Key Vault Certificate の最大の利点は自動更新です。

• Public CA (DigiCert・GlobalSign 等) と Key Vault を連携、証明書の購入から更新まで自動化
• Let's Encrypt 連携 (Acmebot Function App 等の OSS 経由) で無料証明書の自動更新
• App Service / Application Gateway は Key Vault Reference で証明書を直接参照、更新時の自動反映
• Expiration アラート (Event Grid 経由で更新失敗時通知)

料金体系

通常用途では Key Vault Standard が月数百-数千円で運用可能、コスト面での障壁は極めて低い。HSM 保護 Key が必要な場合のみ Premium、完全分離 HSM が必要な金融・医療要件のみ Managed HSM を検討します。

関連認定試験

• AZ-204 (Developer Associate): ドメイン 3 (Security 20-25%) で Key Vault SDK 経由の Secret 取得が深く問われる。
• AZ-104 (Administrator): Key Vault の構成・RBAC。
• AZ-305 (Solutions Architect Expert): アーキテクチャでの Secret 管理戦略。
• SC-300 (Identity Admin): RBAC + Managed Identity の組み合わせ。
• SC-100 (Cybersecurity Architect Expert): データ保護・暗号化戦略。
• DP-300 (DBA): SQL DB の TDE Customer-Managed Key。
• SC-400 (Information Protection): コンプライアンス対応。

よくある質問

本記事の技術情報は Azure Key Vault Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Entra は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。