ドキュメント Experience Platform Experience Platform の概要

Customer Managed Keys用のAzure Key Vaultの設定

最終更新日： 2025年10月14日

トピック：
{"id":"daec7ead-f475-492a-a3b3-02ae08565d6f"}

作成対象：

{"id":"ff6a42d2-313e-452e-93a6-792e4fad9ff8"}

Customer Managed Keys （CMK）は、Microsoft Azure Key VaultとAWS Key Management Service (KMS)の両方のキーをサポートしています。実装がAzureでホストされている場合は、次の手順に従ってKey Vaultを作成します。 AWSでホストされる実装については、AWS KMS設定ガイドを参照してください。

IMPORTANT

Azure Key VaultのStandard、Premium、Managed HSMの各階層のみがサポートされます。 Azure Dedicated HSMとAzure Payments HSMはサポートされていません。提供されるキー管理サービスについて詳しくは、Azure ドキュメントを参照してください。

NOTE

以下のドキュメントでは、Key Vaultを作成するための基本的な手順のみを説明します。このガイダンス以外では、組織のポリシーに従ってKey Vaultを設定する必要があります。

Azure ポータルにログインし、検索バーを使用してサービスのリストの下にある Key vaults を見つけます。

検索結果でKey vaultsが強調表示されたMicrosoft Azureの検索機能。

サービスを選択すると、Key vaults ページが表示されます。ここから Create を選択します。

Createがハイライト表示されたMicrosoft AzureのKey vaults ダッシュボード。

提供されたフォームを使用して、名前と割り当てられたリソースグループを含むKey Vaultの基本的な詳細を入力します。

WARNING

ほとんどのオプションはデフォルト値のままでかまいませんが、必ずソフト削除および消去保護オプションを有効にしてください。これらの機能をオンにしないと、Key Vaultが削除されると、データへのアクセスが失われるリスクがあります。

ソフト削除とパージ保護がハイライト表示されたMicrosoft Azure Create a Key Vault ワークフロー。

ここから、引き続きKey Vault作成ワークフローを進め、組織のポリシーに従って様々なオプションを設定します。

Review + create ステップに到達したら、検証を行う間にKey Vaultの詳細を確認できます。検証に問題がなければ、「Create」を選択してプロセスを完了します。

Microsoft Azure Key Vault Review and create page with Create highlighted.

アクセス権の設定 configure-access

次に、Key VaultのAzure ロールベースのアクセス制御を有効にします。左側のナビゲーションの「Settings」セクションで「Access configuration」を選択し、「Azure role-based access control」を選択して設定を有効にします。この手順は、CMK アプリを後でAzure ロールに関連付ける必要があるため、不可欠です。役割の割り当ては、APIおよびUI ワークフローの両方で文書化されています。

Access configurationとAzure role-based access controlがハイライト表示されたMicrosoft Azure ダッシュボード。

ネットワークオプションの設定 configure-network-options

Key Vaultが特定の仮想ネットワークへのパブリックアクセスを制限するように設定されている場合、またはパブリックアクセスを完全に無効にするように設定されている場合は、Microsoftにファイアウォール例外を付与する必要があります。

左側のナビゲーションの「Networking」を選択します。 Firewalls and virtual networks の下で、「Allow trusted Microsoft services to bypass this firewall」チェックボックスを選択し、「Apply」を選択します。

NOTE

Key Vaultで制限付きネットワークアクセスを使用している場合、Adobeでは、次の静的IP アドレスを追加することをお勧めします：20.88.123.53。このIP アドレスを追加すると、Adobe サービスは接続性をより効果的に監視し、アクセスの問題が検出されたときにプラットフォーム内アラートを提供できます。

AdobeのIP アドレスを許可リストに加えるするタイミング、アラートの仕組み、主要なアクセス失敗通知への対応方法について詳しくは、Azure CMKのアラートとIP アクセスの設定を参照してください。

Key Vaultがパブリックネットワークアクセスを許可するように既に設定されている場合、追加の操作は必要ありません。

例外NetworkingとAllow trusted Microsoft surfaces to bypass this firewallがハイライト表示されたMicrosoft AzureのNetworking タブ。

キーの生成 generate-a-key

Key Vaultを作成したら、新しいキーを生成できます。「Keys」タブに移動し、「Generate/Import」を選択します。

Generate importがハイライト表示されたAzureのKeys タブ。

指定されたフォームを使用してキーの名前を指定し、キータイプに RSA または RSA-HSM のいずれかを選択します。 Azureでホストされている実装の場合、RSA key sizeは、Azure Cosmos DBで必要とされる3072 ビット以上である必要があります。 Azure Data Lake Storage は、RSA 3027 とも互換性があります。

NOTE

キーをAdobeに送信するために必要なので、キーに指定した名前を覚えておいてください。

残りのコントロールを使用して、必要に応じて生成または読み込むキーを設定します。終了したら「Create」を選択します。

3072 ビットがハイライト表示されたCreate a key ダッシュボード。