MicrosoftはAzure Updatesで2026年10月16日、新しい機能の正式提供(GA)を発表しました。Azure Key Vault Managed HSMの「外部の鍵の管理(External key management)」です。Azureのサービスのデータを守る鍵を、Microsoftの外にある自社のHSM(鍵を守る専用の機器)に置いたまま使える仕組みです。法令や契約で「鍵を自社で物理的に持つ」ことを求められる会社に向けた機能です。
何が正式提供になったのか
Azureの多くのサービスは、保存するデータを「データ暗号鍵(DEK)」で暗号化し、そのDEKを別の鍵(KEK)で包んで守ります。KEKを利用者が自分で管理する形を「カスタマーマネージドキー(CMK)」と呼びます。これまで、CMKのKEKは、AzureのKey VaultかManaged HSMの中に置いていました。
外部の鍵の管理では、KEKをMicrosoftの外のHSMに置きます。Managed HSMは、DEKを包む・解く操作だけを、利用者の側の中継の仕組み「EKMプロキシ」を通して外のHSMに頼みます。Azureのサービスの側は、これまでどおりManaged HSMの鍵の場所(URI)を設定するだけです。
Azure Updatesの告知。外部の鍵の管理を2026年10月に正式提供出典: Microsoft(Azure Updates)(引用)
Learnは、データの暗号化と復号は引き続きAzureのサービスが行い、包みを解いたDEKはサービスに返ると説明しています。外に置いたまま守られるのはKEKで、KEKはMicrosoftの設備に置かれず、通りもしないとしています。
EKMプロキシはMicrosoftが提供するものではなく、HSMの会社か利用者が用意します。Learnは対応するHSMの会社として7社を挙げていますが、一覧は参考で、互換性や品質は保証しないとしています。公開されている仕様に沿って、自社でプロキシを作ることもできます。
使える条件・地域・料金
| 項目 |
公式の説明(10月18日確認) |
| 提供の段階 |
正式提供は2026年10月。プレビューは2026年7月から |
| 地域 |
Azureのすべての公開リージョン。Azure Government・Azure Chinaは対象外 |
| 使えるサービス |
Managed HSMのCMKに対応したAzureのサービス |
| つなぎ方 |
インターネット経由(正式提供)、Azure Private Link(プレビュー)。どちらも相互TLS(mTLS)、TLS 1.3以上 |
| 鍵の種類 |
RSA 2048・3072・4096ビット、AES-256。操作は包む・解くだけ |
| 料金 |
Managed HSMの通常の料金。外部の鍵の管理の追加の料金は無し。プロキシとHSMの費用は別 |
Managed HSMのプール(Standard B1)は、東日本・西日本・米国東部とも1時間3.20ドルです(Azureの価格の公開API)。30日(720時間)動かすと、約2,304ドルになります。
有効にする方法は、告知とLearnで表記が分かれています。Azure Updatesは「アカウントチームを通じた有効化が要る」と書いています。Learnは、サブスクリプションごとに機能を登録すれば、自動で承認されるとしています。
できないこと・責任の分かれ目
Managed HSMのSLA(稼働の約束)は、Managed HSMまでです。プロキシと外のHSM、端から端までの鍵の使える状態は含みません。外の部品の障害でAzure Storageなどが止まっても、StorageとManaged HSMのSLAの対象外になります。
- 1回の要求は250ミリ秒以内に応える必要があり、超えるとエラーになります。
- Secure Key Release(鍵をAzureの中へ渡す仕組み)と、それを使うConfidential VMのディスクの暗号化は使えません。
- 外部の鍵は、Managed HSMのバックアップと復元、複数のリージョンへの複製に対応していません。
- 鍵の自動のローテーションはありません。外のHSMとManaged HSMで手順を合わせて、手で替えます。
- 外部の鍵とManaged HSMの鍵は、互いに切り替えられません。やめるときは新しい鍵を作り、使っているサービスをすべて新しいURIに付け替えます。
- 控えの無いまま外のHSMの鍵を失うと、その鍵を指す包む・解く操作は、ずっと失敗します。Microsoftも戻せないとしています。
Learnの比較の表。外部の鍵とManaged HSMの鍵の違い出典: Microsoft Learn(引用)
Learnは、Managed HSMの鍵でも利用者だけが鍵を管理できるとし、外部の鍵の管理を「最後の手段」と書いています。規制や契約で、鍵をMicrosoftの設備の外に物理的に置く必要がある場合に限る、という位置づけです。
鍵を自社で持つ必要があるときに確かめること
| 確かめること |
見る所 |
| 規制・契約が求めるのは「自社の機器に鍵を置く」ことか、「自社だけが鍵を管理する」ことか |
法務・監査の担当、契約書。後者ならManaged HSMの鍵で足りるかを相談 |
| 暗号化したいサービスが、Managed HSMのCMKに対応しているか |
Learnの対応サービスの一覧と、各サービスのCMKの文書 |
| 止まったときに誰が直すか、2系統以上で組めるか |
HSMの会社の保守の契約、プロキシの冗長化 |
| 鍵の控えとローテーションの手順 |
外のHSMのバックアップの手順、手動のローテーションの手順 |
| 記録を残す仕組み |
Managed HSMの診断ログ(EkmProxyOperation)。プロキシとHSMの記録は自社で集める |
Learnの対応サービスの一覧には、Blob Storage、Azure SQL Database、Azure Cosmos DBなどが載っています。ただし、この一覧のページ(9月17日更新)は、外部の鍵の管理を「プレビュー」と書いたままです。使う前に、サービスごとの文書で鍵の種類や条件を確かめます。
影響する会社・しない会社
- 影響する: 法令・規制・契約で、暗号鍵をMicrosoftの設備の外に物理的に置くことを求められている会社。そのためにAzureの利用を見送っていた会社も含みます。
- 影響する: すでにManaged HSMのCMKを使っていて、監査や顧客から鍵の置き場所を問われている会社。
- 影響しない: AzureでCMKを使う予定が無い会社。機能の登録だけでは、今ある鍵やサービスの暗号化の設定は変わりません。
- 急がなくてよい: 鍵をMicrosoftの外に置く義務が無い会社。Microsoftも、その場合はManaged HSMの鍵を勧めています。
情シスが今日やること
- 規制・契約・顧客との約束で、鍵の置き場所に決まりがあるかを、法務・監査の担当と確かめます。
- Azureで暗号化しているサービスと、今の鍵の種類(Microsoftの管理する鍵、Key Vault、Managed HSM)を一覧にします。
- 外部の鍵の管理を考えるなら、HSMの会社に、プロキシの冗長化、250ミリ秒以内の応答、障害時の保守の範囲を問い合わせます。
- 有効にする方法を、アカウントチームか最新のLearnで確かめます。
- 試すときは本番と別のサブスクリプションで、プロキシを止めたときにサービスがどう止まるかを確かめます(編集部の提案)。
2026年10月18日時点の内容です。
