本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
Azure Key Vaultの「アクセスポリシー」が2027年2月に廃止へ：Azure RBACへの完全移行が必須に
Microsoftは、Azure Key Vaultの旧来のアクセス制御モデルを廃止し、より高度なセキュリティ管理が可能なAzure RBACへ一本化することを発表しました。
【ニュースの概要】
Microsoftは、2024年2月にAzure Key Vaultにおける「コンテナーアクセスポリシー」の廃止スケジュールを公表しました。これにより、既存の管理手法から「Azureロールベースのアクセス制御（Azure RBAC）」への移行が全ユーザーに求められます。
廃止日（JST）： 2027年2月28日（この日以降、旧APIおよびアクセスポリシーによる制御は機能しなくなります）
発表組織： Microsoft（Azure Key Vault製品チーム）
主な変更点： Key Vaultのデータプレーン操作（シークレットの読み取り、証明書の作成など）の権限管理を、従来のアクセスポリシーモデルからAzure RBACモデルへ完全に移行。
【技術的背景と仕組み】
従来の「アクセスポリシー」は、Key Vault全体に対して一括で権限を付与する仕組みであり、「特定のシークレットのみを読み取らせる」といった最小権限の原則（Least Privilege）を適用するのが困難でした。これに対し、Azure RBACモデルでは、管理プレーン（リソースの作成・削除）とデータプレーン（データの参照・更新）を統合し、個別のシークレットやキー単位での細かい権限割り当てが可能になります。
graph TD
User["ユーザー / サービスプリンシパル"] -->|"認証"| EntraID["Microsoft Entra ID"]
EntraID -->|"認可判断"| RBAC["Azure RBACエンジン"]
RBAC -->|"スコープ指定"| SecretA["シークレットA"]
RBAC -->|"拒否"| SecretB["シークレットB"]
subgraph mermaid_group_6["Azure Key Vault(#quot;RBACモデル#quot;)"]
SecretA
SecretB
endこのモデルでは、Azureの他のリソースと同様のアイデンティティ管理基盤に統合されるため、監査ログの透明性が向上し、権限の一元管理が可能になるという課題解決をもたらします。
【コード・コマンド例】
既存のKey VaultをアクセスポリシーモデルからAzure RBACモデルへ切り替えるためのAzure CLIコマンドは以下の通りです。
1. 権限モデルをAzure RBACに更新する
az keyvault update \ --name "YourVaultName" \ --resource-group "YourResourceGroup" \ --enable-rbac-authorization true
2. 特定のユーザーに「シークレットの読み取り」権限を付与する（ロール割り当て）
az role assignment create \
--role "Key Vault Secrets User" \
--assignee "user@example.com" \
--scope "/subscriptions/{sub-id}/resourceGroups/{rg-name}/providers/Microsoft.KeyVault/vaults/{vault-name}"
【インパクトと今後の展望】
インパクト（事実）：
2027年3月1日以降、アクセスポリシーを利用しているアプリケーションはKey Vaultへのアクセスに失敗することになります。これに伴い、TerraformやARMテンプレート、BicepなどのIaC（Infrastructure as Code）定義も、従来の access_policy ブロックから role_assignment への書き換えが必要です。
今後の展望（考察）： この変更は、単なる機能の置き換えではなく、Azure全体のセキュリティガバナンスを「Microsoft Entra ID」へ完全に集約させる戦略の一環といえます。短期的には大規模な移行コストが発生しますが、長期的には特権アクセスの管理（PIM）との連携が容易になり、サプライチェーン攻撃に対する耐性が向上すると分析します。
【まとめ】
2027年2月28日をもって、旧来のKey Vaultアクセスポリシーは廃止される。
今後は、個別のアイテム単位で詳細な制御が可能なAzure RBACが唯一の推奨モデルとなる。
新規構築するKey Vaultは、当初からRBACモデルを選択し、既存環境は順次移行計画を立てる必要がある。
参考リンク：
