Azure IaaS セキュリティの多層防御設計を解説

はじめに

Microsoft は、Azure IaaS のセキュリティが単一の制御ポイントではなく、層状のシステムとして構築されていることを説明する新しいガイダンスを公開しました。Azure で仮想マシンやインフラ workload を運用する IT 管理者にとって、これは IaaS におけるセキュリティが、プラットフォームの保護機能とテナント側の構成が連携して初めて成り立つことを再認識させる内容です。

Azure IaaS セキュリティ ガイダンスの新しいポイント

この投稿では、Azure の多層防御モデルを取り上げ、Microsoft の Secure Future Initiative の原則と関連付けています。

• Secure by design: セキュリティは、ハードウェア層から上位レイヤーに至るまで Azure に組み込まれています。
• Secure by default: 構成ミスのリスクを減らすため、主要な保護機能が自動的に有効化されます。
• Secure in operation: 監視、検出、対応はデプロイ後も継続されます。

強調されている主なプラットフォーム保護機能

• ハードウェアとホストの信頼性: TPM、secure boot、measured boot、ファームウェア検証を使用。
• VM レイヤーの保護: 強化された hypervisor 分離と、サポート対象の Gen2 VM 向け Trusted Launch。
• Confidential computing: trusted execution environments を使用し、機密性の高い workload を保護する選択肢。
• 既定のネットワーク セキュリティ: 分離された仮想ネットワーク、明示的に許可されない限り遮断される受信トラフィック、Private Link と private endpoints のサポート。
• 既定の暗号化: Azure ストレージ、ディスク、Azure バックボーン上のトラフィックを暗号化。
• ランタイム監視: Azure Monitor と Microsoft Defender for Cloud による構成ミスと脅威の検出。
• ID 中心のアクセス制御: Microsoft Entra ID と最小権限の実践。

管理者にとって重要な理由

このガイダンスは、Azure がホスト層とプラットフォーム層で複数の保護機能をすでに適用している一方で、顧客側でも workload 構成を保護する必要があることを明確にしています。既定の保護機能によって露出は減らせますが、アクセス制御、ネットワーク ルール、VM の強化、データ ガバナンスについては引き続き管理者の責任です。

コンプライアンス要件がある組織や高機密 workload を扱う組織では、Trusted Launch、ディスク暗号化、プライベート接続、Confidential computing などの機能を活用することで、環境全体を再設計せずにセキュリティ体制を強化できます。

推奨される次のステップ

管理者は現在の Azure IaaS 展開を見直し、これらの組み込みセキュリティ機能に沿っていることを確認する必要があります。

1. VM 展開を確認し、サポート対象では Trusted Launch が有効になっているか確認する。
2. NSG と受信アクセスを見直し、不要に公開されている管理ポートを排除する。
3. 暗号化設定を検証し、ディスク、ストレージ アカウント、customer-managed key 要件を確認する。
4. Defender for Cloud を活用して、安全でない構成を特定し、修正の優先順位を付ける。
5. ID 制御を強化し、Entra ID のロール割り当て、最小権限、必要に応じて Conditional Access を適用する。
6. プライベート接続を採用し、パブリック インターネットへの公開が不要なサービスを保護する。

まとめ

Azure の最新 IaaS セキュリティ ガイダンスは、強固なクラウド セキュリティは多層の制御、セキュアな既定値、継続的な運用によって実現されるという、よく知られたメッセージをあらためて示しています。プラットフォームはこれらの保護機能の多くを標準で提供していますが、管理者は自社の展開がそれらを十分に活用できているか確認する必要があります。