Azure Bicepのセキュリティの基本

著者

Mark Johnson

2022年12月13日

0 分で読めます

この記事は、Snyk AmbassadorのMark Johnson（@tazmainiandevil）が執筆しました。Snykをいち早く体験するには、 Snyk Ambassadorに登録してください。

Azure Bicepの人気は日々高まっており、Azure Resource Manager（ARM）テンプレートに急速に取って代わりつつあります。この記事では、Bicepを使用する際のセキュリティの基本をいくつか紹介します。Bicepについて詳しくない方は、Microsoft Learnのドキュメントをご覧ください。

シークレットをソース管理に含めない

シークレットをソース管理に含めないことは誰もが理解していますが、特にローカルでBicepの構成をテストしていると、ファイルにシークレットを誤って残してしまうことは簡単に起こります。

シークレットをコミットしないための方法をいくつか紹介します。

コマンドラインからパラメーターを渡す。
ソース管理の対象外にするパラメーターJSONファイルを使用する。Gitを使用している場合は、たとえば.gitignoreファイルに追加します。

入力を保護する

外部からパラメーターを渡すのは一つの方法ですが、シークレットが安全に保護され、出力に表示されないようにするにはどうすればよいでしょうか。Bicepには、String型とObject型のパラメーターに使用できる@secureデコレーターが用意されています。例を示します。

1@secure()
2param adminPassword string
3
4@secure()
5param adminCredentials object

出力の扱いに注意する

Bicepモジュールに出力を追加すると便利ですが、注意すべき点もいくつかあります。シークレットのように見える値を出力に設定すると、Bicepはシークレットが漏えいする可能性があるという警告を表示します。ストレージアカウントの接続文字列を次のように出力すると、この警告が表示されます。

1output connection string = 'DefaultEndpointsProtocol=https;AccountName=${storageaccount.name};EndpointSuffix=${environment().suffixes.storage};AccountKey=${listKeys(storageaccount.id, storageaccount.apiVersion).keys[0].value}'

ただし、出力に割り当てる前に値を変数に追加しておくと、警告が表示されず、見落としやすくなります。

1var connectionString = 'DefaultEndpointsProtocol=https;AccountName=${storageaccount.name};EndpointSuffix=${environment().suffixes.storage};AccountKey=${listKeys(storageaccount.id, storageaccount.apiVersion).keys[0].value}'
2
3output connection string = connectionString

では、次の構成を使ってストレージアカウントのリソースをAzureにデプロイするとどうなるか見てみましょう。

1deploy.bicep
2param location string = resourceGroup().location
3param tags object = {}
4param storageName string = 'stsecureteststore'
5param sku string = 'Standard_LRS'
6
7module storageModule 'modules/storage.bicep' = {
8  name: 'StorageDeploy'
9  params: {
10    location: location
11    storageName: storageName
12    tags: tags
13    sku: sku
14  }
15}
16
17modules/storage.bicep
18
19@description('The storage account name')
20@minLength(3)
21@maxLength(24)
22param storageName string
23@description('The storage account location')
24param location string
25@description('The tags for the storage account')
26param tags object
27@description('The storage account sku') 
28@allowed([ 'Standard_LRS', 'Standard_GRS', 'Standard_GZRS', 'Standard_RAGRS', 'Standard_RAGZRS', 'Standard_ZRS', 'Premium_LRS', 'Premium_ZRS' ])
29param sku string = 'Standard_LRS'
30@description('The access tier for the blob services') 
31@allowed([ 'Hot', 'Cool' ]) 
32param accessTier string = 'Hot' 
33@description('Allow public access to blobs') 
34param allowBlobPublicAccess bool = false 
35
36resource storageaccount 'Microsoft.Storage/storageAccounts@2022-05-01' = {
37  name: storageName
38  location: location
39  kind: 'StorageV2'
40  tags: tags
41  sku: {
42    name: sku
43  }
44  properties: {
45    supportsHttpsTrafficOnly: true
46    minimumTlsVersion: 'TLS1_2'
47    accessTier: accessTier
48    allowBlobPublicAccess: allowBlobPublicAccess
49  }
50}
51
52var connectionString = 'DefaultEndpointsProtocol=https;AccountName=${storageaccount.name};EndpointSuffix=${environment().suffixes.storage};AccountKey=${listKeys(storageaccount.id, storageaccount.apiVersion).keys[0].value}'
53output connection string = connectionString

Bicepで定義した出力は、リソースのデプロイ先であるリソースグループのデプロイから確認できます。

rg-security-exampleリソースグループのAzureポータルのデプロイページ。StorageDeployとmainのデプロイが表示され、ステータスはいずれも「成功」

StorageDeployの出力を見ると、接続文字列にアカウントキーが平文で表示されていることがわかります。

ストレージアカウントの接続文字列の出力が表示された、AzureポータルのStorageDeploy Outputsページ。

つまり、Azure Portalでリソースを閲覧できる人なら誰でも、これらの出力を確認できます。セキュリティ態勢を適切に保つには、Bicepでシークレットを出力しないことをおすすめします。

今後、Bicepの出力にも@secureデコレーターが使えるようになれば、シークレットを安全に返せるようになるでしょう。

リソースからシークレットを取得する

Bicepからシークレットを返すことが問題となる場合、あるモジュールから別のモジュールへシークレットを渡すにはどうすればよいでしょうか。一つの方法は、existingキーワードを使って既存のリソースにアクセスすることです。例を示します。

1param storageName string
2
3resource storageaccount 'Microsoft.Storage/storageAccounts@2022-05-01' existing = {
4  name: storageName  
5}
6
7var connectionString = 'DefaultEndpointsProtocol=https;AccountName=${storageName};EndpointSuffix=${environment().suffixes.storage};AccountKey=${listKeys(storageaccount.id, storageaccount.apiVersion).keys[0].value}'

この接続文字列は、別のリソースへの入力として使用できます。

Key Vaultからシークレットを取得する

既存のリソースからシークレットを取得する方法のほかに、Key Vaultを使ってシークレットを取得することもできます。

注意：Key Vaultのアクセス構成で「テンプレートのデプロイに Azure Resource Manager を許可する」を有効にしてください。

テンプレートのデプロイにはAzure Resource Managerを使用するリソースアクセス設定。仮想マシンとディスク暗号化は選択されていません。

前のセクションと同様に、existingキーワードを使ってKey Vaultにアクセスします。ただし、getSecretメソッドを使用できるのは、@secureデコレーターが付いたモジュールパラメーターに割り当てる場合のみです。

1deploy.bicep
2param location string = resourceGroup().location
3param tags object
4param sqlServerName string
5param keyVaultName string
6param keyVaultResourceGroupName string
7param subscriptionId string = subscription().subscriptionId
8
9resource vaultResource 'Microsoft.KeyVault/vaults@2022-07-01' existing = {
10  name: keyVaultName 
11  scope: resourceGroup(subscriptionId, keyVaultResourceGroupName  )
12}
13
14module sqlModule 'modules/sql.bicep' = {
15  name: 'SqlDeploy'
16  params: {
17    location: location
18    tags: tags
19    sqlServerName: sqlServerName
20    administratorLogin: vaultResource.getSecret('sqlUser')
21    administratorLoginPassword: vaultResource.getSecret('sqlPassword')
22  }  
23}
24
25modules/sql.bicep
26@description('The resource location')
27param location string
28@description('The tags for the resources')
29param tags object
30@description('The name for the SQL Server')
31param sqlServerName string
32@secure()
33@description('The SQL Administrator Login')
34param administratorLogin string
35@secure()
36@description('The SQL Administrator password')
37param administratorLoginPassword string
38
39resource sqlServerResource 'Microsoft.Sql/servers@2022-05-01-preview' = {
40  name: sqlServerName
41  location: location
42  tags:tags
43  properties: {
44    administratorLogin: administratorLogin
45    administratorLoginPassword: administratorLoginPassword
46  }
47}

Bicepのセキュリティスキャン

Infrastructure as Code（IaC）のスキャンが広く利用されるようになり、セキュリティ上の問題をできるだけ早く見つけようという動きが広がっています。Snykが提供する無料のCLIを使えば、ローカル環境でセキュリティやコンプライアンスの基準に照らしてIaCをスキャンできます。Bicep形式には直接対応していませんが、Bicepのコンパイル先であるARMテンプレートのスキャンには対応しています。

BicepをARMにコンパイルするには、Bicep CLIをインストールする必要があります。Snyk CLIを使い始めるには、無料アカウントを作成し、npmでSnyk CLIをインストールしてください。Node.jsがローカルにインストールされている場合は、次のコマンドを実行してインストールできます。

1npm install snyk@latest -g

インストールとセットアップが完了したら、次のコマンドを実行します。

1az bicep build -f {file_name}.bicep

Bicepファイルと同じ名前のJSONファイルが生成されます。その後、次のコマンドでSnykスキャンを実行できます。

1snyk iac test {file_name}.json

まとめ

セキュリティは誰もが考慮すべきことです。状況は常に変化しますが、学びを重ねることで、リソースの保護に向けてできることも増えていきます。この記事が参考になり、Bicepの構成を保護するためのヒントを得ていただけたなら幸いです。

開発者のために設計されたIaCセキュリティ

Snykは、統合されたポリシー・アズ・コードエンジンにより、SDLCからクラウドでの実行時までInfrastructure as Codeを保護します。すべてのチームが安全に開発、デプロイ、運用できるよう支援します。

ライブデモを予約