Azure Key Vaultの使い方入門｜az keyvaultでLinux VMから秘密情報を安全に参照する手順

この記事のポイント

・Key Vault はシークレット・証明書の集中管理庫として機能する
・az keyvault secret set/show で登録・取得できる
・--query value -o tsv オプションで値のみを取り出せる
・Managed Identity 連携で認証情報ゼロの設計が実現できる

# Azure CLI のインストール（RHEL 9.x）
$ sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
$ sudo dnf install -y azure-cli

# インタラクティブにサインイン
$ az login

# サインイン済みアカウントの確認
$ az account show --query "{subscription:name, id:id}" -o table
Name                          Id
----------------------------  ------------------------------------
My Azure Subscription         xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# リソースグループの作成（既存のものがあればスキップ）
$ az group create   --name rg-linux-practice   --location japaneast

# Key Vault の作成（RBAC認可モードを有効化）
$ az keyvault create   --name mykeyvault-prod-01   --resource-group rg-linux-practice   --location japaneast   --enable-rbac-authorization true
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-linux-practice/providers/Microsoft.KeyVault/vaults/mykeyvault-prod-01",
  "location": "japaneast",
  "name": "mykeyvault-prod-01",
  "properties": {
    "enableRbacAuthorization": true,
    "enableSoftDelete": true,
    "provisioningState": "Succeeded",
    "softDeleteRetentionInDays": 90,
    "vaultUri": "https://mykeyvault-prod-01.vault.azure.net/"
  },
  "type": "Microsoft.KeyVault/vaults"
}

# シークレットを登録する
$ az keyvault secret set   --vault-name mykeyvault-prod-01   --name db-password   --value "P@ssw0rd-Secure-2026"
{
  "id": "https://mykeyvault-prod-01.vault.azure.net/secrets/db-password/a1b2c3d4e5f6...",
  "name": "db-password",
  "properties": {
    "created": "2026-07-11T04:12:33+00:00",
    "enabled": true,
    "updated": "2026-07-11T04:12:33+00:00"
  },
  "value": "P@ssw0rd-Secure-2026"
}

# シークレット一覧の確認
$ az keyvault secret list   --vault-name mykeyvault-prod-01   --query "[].{name:name, enabled:attributes.enabled}"   -o table
Name         Enabled
-----------  ---------
db-password  True

# 自分のユーザーオブジェクトIDを取得
$ MY_OID=$(az ad signed-in-user show --query id -o tsv)

# Key VaultのリソースIDを取得
$ VAULT_ID=$(az keyvault show   --name mykeyvault-prod-01   --query id -o tsv)

# シークレット参照権限を付与（Key Vault Secrets User）
$ az role assignment create   --assignee $MY_OID   --role "Key Vault Secrets User"   --scope $VAULT_ID
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/.../roleAssignments/...",
  "principalId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "principalType": "User",
  "roleDefinitionId": ".../Key Vault Secrets User",
  "scope": "/subscriptions/.../mykeyvault-prod-01"
}

# シークレットの値のみを取得（スクリプト向け）
$ az keyvault secret show   --vault-name mykeyvault-prod-01   --name db-password   --query value   --output tsv
P@ssw0rd-Secure-2026

# 環境変数に格納して利用する例
$ DB_PASS=$(az keyvault secret show   --vault-name mykeyvault-prod-01   --name db-password   --query value   --output tsv)
$ echo "DBに接続中..."
DBに接続中...
$ mysql -h db.internal -u appuser -p"$DB_PASS" mydb
Welcome to the MariaDB monitor.

# 対象VMにManaged Identityを割り当て
$ az vm identity assign   --resource-group rg-linux-practice   --name linuxvm-rhel94
{
  "systemAssignedIdentity": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "userAssignedIdentities": {}
}

# VMのプリンシパルIDを取得（後続のロール付与で使用）
$ VM_OID=$(az vm show   --resource-group rg-linux-practice   --name linuxvm-rhel94   --query identity.principalId   --output tsv)
$ echo $VM_OID
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# Key VaultのリソースIDを取得
$ VAULT_ID=$(az keyvault show   --name mykeyvault-prod-01   --query id   --output tsv)

# VMのManaged IdentityにKey Vault Secrets Userロールを付与
$ az role assignment create   --assignee $VM_OID   --role "Key Vault Secrets User"   --scope $VAULT_ID
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/.../roleAssignments/...",
  "principalId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "principalType": "ServicePrincipal",
  "roleDefinitionId": ".../Key Vault Secrets User",
  "scope": "/subscriptions/.../mykeyvault-prod-01"
}

# VM内で実行する（SSH接続後）

# 1. IMDSからKey Vault向けアクセストークンを取得
$ TOKEN=$(curl -s   'http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://vault.azure.net'   -H 'Metadata:true'   | python3 -c "import sys,json;print(json.load(sys.stdin)['access_token'])")

# 2. Key Vault REST APIでシークレットを取得
$ curl -s   "https://mykeyvault-prod-01.vault.azure.net/secrets/db-password?api-version=7.4"   -H "Authorization: Bearer $TOKEN"   | python3 -c "import sys,json;print(json.load(sys.stdin)['value'])"
P@ssw0rd-Secure-2026

# az コマンドがある場合の代替手順
$ az login --identity
[
  {
    "cloudName": "AzureCloud",
    "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "isDefault": true,
    "name": "My Azure Subscription",
    "state": "Enabled",
    "tenantId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "user": {
      "assignedIdentityInfo": "MSI",
      "name": "systemAssignedIdentity",
      "type": "servicePrincipal"
    }
  }
]
$ az keyvault secret show   --vault-name mykeyvault-prod-01   --name db-password   --query value   --output tsv
P@ssw0rd-Secure-2026

# 削除済みシークレット（ソフト削除）の確認
$ az keyvault secret list-deleted   --vault-name mykeyvault-prod-01   --query "[].{name:name, scheduledPurgeDate:scheduledPurgeDate}"   -o table
Name         ScheduledPurgeDate
-----------  -------------------------
db-password  2026-10-10T04:12:33+00:00

# 削除済みシークレットの復旧
$ az keyvault secret recover   --vault-name mykeyvault-prod-01   --name db-password
{
  "name": "db-password",
  "properties": {
    "enabled": true,
    "recoveryLevel": "Recoverable+Purgeable"
  }
}