1.2Azure Key Vault によるシークレットとキーの保護

パスワード・接続文字列・API キー・暗号化キー・TLS 証明書といった シークレット をコードや構成ファイルに直書きすると、漏洩時の被害が大きくなります。Azure Key Vault は、これらを一元的に・暗号化して保管し、アクセスを厳密に制御し、利用を監査するマネージドサービスです。SC-500 では「保管する」だけでなく、「誰がアクセスできるか（認可モデル）」「どこからアクセスできるか（ネットワーク）」「漏洩・異常をどう検知するか（Defender）」までを一体で設計します。

1.2.1アクセスモデル：RBAC とアクセスポリシー

Key Vault の認可には2つのモデルがあります。Azure RBAC（推奨）は、Key Vault のデータ面操作（キーの使用・シークデータの取得など）をロール割り当てで制御し、PIM・条件付きアクセス・他の Azure リソースと統一的に管理できます。もう一つの アクセスポリシー（Vault access policy） は、ボールトごとに「この ID にはキーの取得を許可」のように個別付与する旧来モデルです。新規は RBAC を選ぶのが基本です。いずれの場合も最小特権（例：シークレットの取得だけ許可し、削除や管理は許可しない）を徹底します。

1.2.2ネットワークの制限：ファイアウォールとプライベートエンドポイント

既定では Key Vault はパブリックエンドポイントを持ちます。ファイアウォール設定 で「選択した仮想ネットワーク／IP のみ許可」に絞り、さらに プライベートエンドポイント（Private Link）を使うと、ボールトへのトラフィックを仮想ネットワーク内の private IP 経由のみに限定し、パブリック露出をなくせます。「信頼された Microsoft サービスを許可」オプションと組み合わせると、Defender などの正規サービスのアクセスを保ったまま外部を遮断できます。認可（RBAC）とネットワーク制限は別レイヤーであり、両方をかけることで多層防御になります。

1.2.3キー・シークレット・証明書とライフサイクル保護

• キー（Keys）：暗号化/署名に使う暗号鍵。Storage の CMK や SQL TDE の保護キーなどに利用。HSM 保護も選べる。
• シークレット（Secrets）：パスワード・接続文字列・API キーなどの機微な文字列。
• 証明書（Certificates）：TLS/SSL 証明書。自動更新（ライフサイクル管理）が可能。
• ソフト削除（soft-delete）＋消去保護（purge protection）：誤削除/悪意ある削除からの復元を保証。purge protection 有効時は保持期間中の完全削除を禁止。

1.2.4検知：Defender CSPM のシークレットスキャンと Defender for Key Vault

保管と制御に加えて「漏れていないか・不審に使われていないか」を検知します。Defender CSPM（Cloud Security Posture Management）の シークレットスキャン は、VM・コード・リソースにハードコードされたシークレット（平文のキーや接続文字列）を発見し、Key Vault への移行を促します。Microsoft Defender for Key Vault はボールトへの異常なアクセスパターン（普段と異なる場所/大量取得など）を検知してアラートを出します。両者は「事前の発見（CSPM）」と「実行時の脅威検知（Defender プラン）」という役割の違いがあります。

1.2.5この節のまとめ

• Key Vault＝シークレット/キー/証明書を一元保管・暗号化・監査。コードへの直書きを排除
• 認可は Azure RBAC（推奨） か アクセスポリシー（旧）。最小特権を徹底
• ネットワークは ファイアウォール＋プライベートエンドポイント でパブリック露出を排除
• 検知は Defender CSPM シークレットスキャン（事前発見） と Defender for Key Vault（実行時検知）。ソフト削除＋消去保護で復元保証