本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Azure Key Vaultのアクセス管理が「Azure RBAC」へ完全移行、2027年2月に旧API廃止

Azure Key Vaultの権限モデルが、従来のアクセスポリシーからAzure RBACへ統合されます。2027年2月には旧APIが廃止されるため、早期の移行計画が必要です。

【ニュースの概要】

Microsoftは、Azure Key Vaultにおける従来の「アクセスポリシー（Vault Access Policy）」モデルを2027年2月28日をもって廃止し、権限管理を「Azureロールベースのアクセス制御（Azure RBAC）」へ一本化することを発表しました。

• 発表組織： Microsoft (Azure)

• 主な事実：

  1. 2027年2月28日以降、従来のアクセスポリシーAPIを利用したKey Vaultへのアクセス管理ができなくなります。

  2. Azure RBACへの移行により、管理プレーン（コントロールプレーン）とデータプレーンの権限管理がAzure Resource Manager（ARM）の下で統合されます。

  3. 既存のKey Vaultリソースについては、管理者が手動またはスクリプトを用いて、RBAC許可モデルへの切り替えとロールの割り当てを行う必要があります。

【技術的背景と仕組み】

従来のアクセスポリシーモデルには、「特定のキーやシークレット単位での細かな制御が困難」「Azure全体のRBAC体系から独立しているため、ガバナンスの維持が煩雑」という課題がありました。

Azure RBACモデルへ移行することで、Microsoft Entra ID（旧Azure AD）に基づいた統一的な権限管理が可能になります。「Key Vault Secrets Officer」や「Key Vault Reader」といった組み込みロールを使用することで、職務分掌に基づいた最小特権の原則をより容易に実現できます。

graph TD
User["ユーザー / サービスプリンシパル"] -->|1. 認証| EntraID["Microsoft Entra ID"]
EntraID -->|2. トークン発行| User
User -->|3. リクエスト| AKV["Azure Key Vault"]
AKV -->|4. 認可判定| RBAC["Azure RBAC エンジン"]
RBAC -->|5. ロール定義を確認| Data["シークレット / 鍵 / 証明書"]

※図解：Azure RBACによるアクセス制御フロー。認可判定がAzure Resource Managerの統一エンジンによって行われるため、監査ログの一貫性も向上します。

【コード・コマンド例】

既存のKey VaultをAzure RBAC権限モデルに切り替えるためのAzure CLIコマンド例です。

# 特定のKey Vaultの権限モデルをAzure RBACに更新する

az keyvault update \
    --name "MyYourVaultName" \
    --resource-group "MyResourceGroup" \
    --enable-rbac-authorization true

# 特定のユーザーに「シークレット管理者」ロールを割り当てる例

az role assignment create \
    --role "Key Vault Secrets Officer" \
    --assignee "user@example.com" \
    --scope "/subscriptions/<sub-id>/resourceGroups/<rg-name>/providers/Microsoft.KeyVault/vaults/<vault-name>"

【インパクトと今後の展望】

客観的分析（Fact）： 現在、多くの既存システムが「アクセスポリシー」を利用して稼働しています。移行には単なる設定変更だけでなく、アプリケーションが使用しているサービスプリンシパルに必要なロール（Role Assignment）を正しく再定義するための調査コストが発生します。

今後の展望（Opinion）： この移行は、Azure全体のセキュリティモデルをARMに完全統合する動きの一環です。短期的には開発者の移行負荷が高まりますが、長期的には「条件付きアクセス」や「PIM（Privileged Identity Management）」との親和性が高まり、エンタープライズレベルでのセキュリティガバナンスは大幅に強化されるでしょう。2027年という期限は余裕があるように見えますが、大規模な環境では依存関係の特定に時間を要するため、2025年内にはインベントリ調査を開始すべきです。

【まとめ】

読者が覚えておくべき3つのポイント：

1. 期限： 2027年2月28日にアクセスポリシーは完全に廃止される。

2. 推奨： 新規に作成するKey Vaultは、当初から「Azure RBAC」モデルを選択する。

3. アクション： 既存環境の権限設定を棚卸しし、適切な組み込みロールへのマッピングを開始する。

参考リンク：

• Azure Key Vault アクセスポリシーの廃止に関する通知（公式）

• Azure RBAC への移行ガイド（Microsoft Learn）