概要

Microsoft Azure に触れる機会が増え、ふと Azure Cosmos DB や Blob に保存したデータなどの暗号化などはどうなっているかと思い、調査してみた。

調査結果

規定では Microsoft マネージドキーで暗号化されている。
独自のキーで管理する方法もあり、その際のオプションは以下の 2 つ。
- BLOB ストレージ（と Azure Files）のデータの暗号化と復号化に使用する "カスタマーマネージドキー" を独自に指定することが可能（詳細は Azure Storage 暗号化へのカスタマーマネージドキーの使用を参照）。
- BLOB ストレージへのアクセス時、要求別・操作別に暗号化キーを指定する "カスタマー指定のキー" を独自に指定することが可能で、BLOB データの暗号化と暗号化解除の方法を細かく制御することが可能となる（詳細は BLOB ストレージに対する要求で暗号化キーを指定するを参照）。
Microsoft マネージドキーは、コンプライアンス要件に応じて適切に交換されるため、安全とのこと。ただし、特定のキー交換の要件がある場合は、独自にキーを管理・監視可能な "カスタマーマネージドキー" に移行することが推奨されている。
なお、以下の表は Azure Storage 暗号化のキー管理オプションの責任範囲を示す。

キー管理パラメーター	Microsoft のマネージドキー	カスタマーマネージドキー	カスタマー指定のキー
暗号化/暗号化解除の操作	Azure	Azure	Azure
サポートされている Azure Storage サービス	All	BLOB ストレージ（と Azure Files）	BLOB ストレージ
キー記憶域	Microsoft キーストア	Azure Key Vault または Key Vault HSM	カスタマーのキーストア
キーのローテーションの責任	Microsoft	カスタマー	カスタマー
キーコントロール	Microsoft	カスタマー	カスタマー

データのセキュリティについてより高いレベルの保証が必要な場合、Azure ストレージのインフラストラクチャレベルで 256 ビットの AES 暗号化を有効化することも可能とのこと。
その場合、2 つの異なる暗号化アルゴリズムと 2 つの異なるキーを使用して、2 回暗号化される（インフラストラクチャレベルで 1 回、ストレージサービスレベルで 1 回）。
- ストレージサービスレベルでの暗号では、Microsoft マネージドキーまたはカスタマーマネージドキーの使用がサポートされている。
- インフラストラクチャレベルでの暗号では、Microsoft マネージドキーに依存し、常に別のキーが使用されている。
インフラストラクチャの暗号化を有効にするストレージアカウントを作成する方法の詳細は、「データの二重暗号化のためにインフラストラクチャ暗号化を有効にしてストレージアカウントを作成する」を参照とのこと。