Azure Key Vault ストレージの管理

概要

ビジネスに依存するデータは、通常、セキュリティで保護された方法で使用されます。 つまり、このデータを操作する機能またはアプリケーションは、データ暗号化、証明書の操作などをサポートする必要があります。Microsoft Dynamics 365 for Finance and Operations のクラウド バージョンでは証明書のローカル ストレージがサポートされていないため、この場合はキー コンテナー ストレージを使用する必要があります。 Azure Key Vaultでは、暗号化キー、証明書を Azure にインポートし、それらを管理する機会を提供します。 Azure Key Vaultに関する追加情報: Azure Key Vaultとは。

Microsoft Dynamics 365 for Finance and Operations と Azure Key Vaultの統合を定義するには、次のデータが必要です。

• Key Vault URL (DNS 名)

• クライアント ID (アプリケーション識別子)

• 名前が付いた証明書の一覧。

• シークレット キー (キー値)。

以下に、セットアップ手順の詳細な説明を示します。

Key Vault ストレージを作成する

1. https://ms.portal.azure.com/ というリンクを使用して Microsoft Azure portalを開きます。

2. 左側のパネルの [リソースの作成] ボタンをクリックして、新しいリソースを作成します。 "セキュリティ + ID" グループと "Key Vault" リソースの種類を選択します。

3. [キー コンテナーの作成] ページが開きます。 ここでは、Key Vault ストレージ パラメーターを定義し、[作成] ボタンをクリックする必要があります。

• キー コンテナーの "名前" を指定します。 このパラメーターは、"Azure Key Vault クライアントのセットアップ" で keyVaultName ><と呼ばれます。

• サブスクリプションを選択します。

• リソース グループを選択します。 これは、キー コンテナー ストレージ内の内部ディレクトリのようなものです。 どちらも既存のリソース グループを使用することも、新しいリソース グループを作成することもできます。

• 場所を選択します。

• 価格レベルを選択します。

• [作成] をクリックします。

• 作成したキー コンテナーをダッシュボードにピン留めします。

証明書をアップロードする

Key Vault ストレージへのアップロード手順は、証明書の種類によって異なります。

*.pfx 証明書のインポート

1. 拡張機能 *.pfx を持つ証明書は、PowerShell スクリプトを使用して Azure Key Vaultにアップロードできます。

• 次の手順に従って、PowerShell 用のモジュール AzureRM をインストール https://learn.microsoft.com/ru-ru/powershell/azure/install-azurerm-ps?view=azurermps-5.4.0

• 次の例のように、PowerShell でスクリプトを実行します。

Connect-AzAccount

$pfxFilePath = ' <Localpath> '

$pwd = ''

$secretName = ' <name> '

$keyVaultName = ' <keyvault> '

$collection = New-ObjectSystem.Security.Encryptiony.X509Certificates.X509Certificate2Collection

$collection。Import($pfxFilePath、$pwd、[System.Security.Encryptiony.X509Certificates.X509KeyStorageFlags]::Exportable)

$pkcs 12ContentType =[System.Security.Encryptiony.X509Certificates.X509ContentType]::P kcs12

$clearBytes = $collection。Export($pkcs 12ContentType)

$fileContentEncoded = [System.Convert]::ToBase64String($clearBytes)

$secret = ConvertTo-SecureString -String $fileContentEncoded -AsPlainText –Force

$secretContentType = 'application/x-pkcs12'

Set-AzKeyVaultSecret -VaultName $keyVaultName -Name $secretName -SecretValue $Secret -ContentType $secretContentType

どこ：

<Localpath> - certicate を含むファイルへのローカル パス (C:\<smth>.pfx など)

<名> - 証明書の名前 (例: <smth>

<keyvault> - Key Vault ストレージの名前

パスワードが必要な場合は、タグ $pwdに追加します。

1. Azure Key Vault にアップロードされた証明書のタグを設定します。

• Microsoft Azure portalで、[ダッシュボード] ボタンをクリックし、適切なキー コンテナーを選択して開きます。

• [シークレット] タイルをクリックします。

• 証明書名で適切なシークレットを見つけて開きます。

• [タグ] タブを開きます。

• タグ名 = "type" を、タグ値を "証明書" に設定します。

注: タグ名とタグ値は、引用符なしで小文字で入力する必要があります。

• [OK] ボタンをクリックし、更新されたシークレットを保存します。

他の証明書のインポート

1. 左側のパネルの [ダッシュボード] ボタンをクリックして、前に作成したキー コンテナーを表示します。

2. 適切なキー コンテナーを選択して開きます。 [概要] タブには、"DNS 名" を含むキー コンテナー ストレージの重要なパラメーターが表示されます。

注: DNS 名はキー コンテナーとの統合に必須のパラメーターであるため、アプリケーションで指定し、"Azure Key Vault クライアントのセットアップ" で URL>パラメーター<Key Vault参照する必要があります。

1. [シークレット] タイルをクリックします。

2. [シークレット ] ページの [生成/インポート] ボタンをクリックして、キー コンテナー ストレージに新しい証明書を追加します。 ページの右側で、証明書パラメーターを定義する必要があります。

• [アップロード オプション] フィールドで [手動] 値を選択します。

• [名前] フィールドに証明書名を入力します。

注: シークレット名 はキー コンテナーとの統合に必須のパラメーターであるため、アプリケーションで指定する必要があります。 これは、"Azure Key Vault クライアントのセットアップ" で secretName>パラメーター<と呼ばれます。

• 編集用の証明書を開き、開始タグと終了タグを含むすべてのコンテンツをコピーします。

• コピーしたコンテンツを [値] フィールドに貼り付けます。

• 証明書を有効にします。

• [作成] ボタンを押します。

1. 複数のバージョンの証明書をアップロードし、キー コンテナー ストレージで管理できます。 既存の証明書の新しいバージョンをアップロードする必要がある場合は、適切な証明書を選択し、[新しいバージョン] ボタンをクリックします。

注: 現在のバージョンはアプリケーションのセットアップで定義する必要があり、"Azure Key Vault クライアントのセットアップ" で SecretVersion>パラメーター<参照してください。

アプリケーションのエントリ ポイントを作成する

キー コンテナー ストレージを使用するアプリケーションのエントリ ポイントを作成します。

1. レガシ ポータル https://manage.windowsazure.com/ を開きます。

2. 左側のパネルで [Azure Active Directory] をクリックし、選択します。

3. アクティブ ディレクトリを開き、[アプリの登録] タブを選択します。

4. 下部のパネルの [新しいアプリケーションの登録] ボタンをクリックして、新しいアプリケーション エントリを作成します。

5. アプリケーションの "名前" を指定し、適切な種類を選択します。

注: このページでは、 http://<AppName>の形式を持つ "サインオン URL" を定義することもできます。ここで、<AppName>は前のページで指定したアプリケーション名です。 <AppName>は、キー コンテナー ストレージのアクセス ポリシーで定義する必要があります。

1. [作成] ボタンをクリックします。

アプリケーションを構成する

1. [アプリの登録] タブを開きます。

2. 適切なアプリケーションを見つけます。 "アプリケーション ID" フィールドは、クライアント>のパラメーターと同じ値<Key Vault持っています。

3. [設定] ボタンをクリックし、[キー] タブを開きます。

4. キーを生成します。 これは、アプリケーションからのキー コンテナー ストレージへのセキュリティで保護されたアクセスに使用されます。

• [説明] フィールドに入力します。

• 期間が 1 年または 2 年のキーを作成できます。 ページの下部にある [保存] ボタンをクリックすると、 キー値 が表示されます。

注: Key Value は、キー コンテナーとの統合に必須のパラメーターです。 コピーし、アプリケーションで指定する必要があります。 "Azure Key Vault クライアントのセットアップ" では、シークレット キー>パラメーター<Key Vault呼び出されます。

1. 構成から "クライアント ID" の値をコピーします。 アプリケーションで指定し、"Azure Key Vault クライアントのセットアップ" でクライアント >パラメーター<Key Vault参照する必要があります。

Key Vault ストレージにアプリケーションを追加する

前に作成したキー コンテナー ストレージにアプリケーションを追加します。

1. Microsoft Azure portal (https://ms.portal.azure.com/) に戻る、

2. Key Vault ストレージを開き、タイル [アクセス ポリシー] をクリックします。

3. [新しい追加] ボタンをクリックし、[プリンシパルの選択] オプションを選択します。 その後、その名前でアプリケーションを見つける必要があります。 アプリケーションが見つかったら、[選択] ボタンをクリックします。

4. [テンプレートから構成] フィールドに入力し、[OK] ボタンをクリックします。

注: このページでは、必要に応じてキーのアクセス許可を設定することもできます。