# Key Vault RBAC 移行

Microsoft は、API バージョン **2026-02-01**から始まる新しいすべての Key Vault に対する既定のアクセス制御モデルとして、Azure Key Vault を Azure RBAC へ移行しています。詳細はこちら [こちら](https://learn.microsoft.com/en-us/azure/key-vault/general/access-control-default?tabs=azure-cli). 

RBAC は厳密には必須ではなく、 **アクセス ポリシーを使用している既存の Key Vault はそのまま運用を継続できますが、** 新しい API にアップグレードした後に新しい Key Vault を作成するテナントでは、アクセス ポリシーが明示的に構成されていない限り、既定で RBAC が適用されます。

Microsoft Entra ID に合わせた、より統一的で拡張性の高い権限モデルを提供し、Microsoft が Key Vault のアクセス ポリシーを非推奨にした場合にも設定を将来にわたって保護できるため、RBAC へ移行しておくのがよいでしょう。

## 移行ガイド

{% hint style="warning" %}
作業を進める前にダウンタイムを見込んでください。権限の移行が正常に完了するまで、SCEPman は証明書を発行または検証できません。
{% endhint %}

{% stepper %}
{% step %}

### SCEPman の Key Vault に移動します

Azure > Key Vaults > に移動します *SCEPman の Key Vault* 

<figure><img src="/files/9d96a946c0515ac5d30be13b726287c5d2682056" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### 既存のアクセス ポリシーを確認します

に移動する **Access policies** および、SCEPman のアクセス ポリシーを **アプリケーション***.* SCEPman のアクセス ポリシーは、SCEPman App Service（および地理冗長の SCEPman App Services）の名前と同じにする必要があります。&#x20;

*ユーザー* アクセス ポリシーは、SCEPman の機能に影響しないため、移行する必要はありません。継続的なアクセスが必要なユーザーについては、以下の表に基づいてアクセス ポリシーを確認し、Azure ロールへ移行してください: <https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-migration?tabs=cli#access-policy-templates-to-azure-roles-mapping>

<figure><img src="/files/baaef63b172412f9ad9ae66ae12c7795f0b93136" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}

### 権限モデルを変更する

権限モデルを次から変更します **Vault access policy** から **Azure role-based access control**

<figure><img src="/files/d983241ce1d4119b4b0ad14c3ea6fe5b32fb9755" alt=""><figcaption></figcaption></figure>

を押すと **適用** するまで、SCEPman インスタンスは Key Vault から切断されます。以前のアクセス ポリシーも削除されます。
{% endstep %}

{% step %}

### Azure ロールを割り当てる

アクセス制御 (IAM) に移動し、以下のロールを SCEPman App Service（および地理冗長の SCEPman App Services）の **マネージド ID** に割り当てます:

* Key Vault Certificates Officer
* Key Vault Crypto Officer
* Key Vault Secrets User

<figure><img src="/files/01fbc44c1ceb2273d49e0bd77d467202b2e20b4c" alt=""><figcaption></figcaption></figure>

ロールは 1 つずつ割り当てる必要がありますが、1 つのロールに複数の ID を割り当てることはできます。

<figure><img src="/files/5756adc52e007d0a0521f49a2eff2fa4aeb61e03" alt=""><figcaption></figcaption></figure>

Certificate Master のマネージド ID（名前に -cm を含む） **は** は Key Vault へのアクセスが必要です。
{% endstep %}

{% step %}

### Key Vault 接続を確認する

SCEPman App Service を再起動し、SCEPman のホームページに移動して、Key Vault が接続されていることを確認します。

<figure><img src="/files/ea8a064d49947f5d2a8de34e51f39d917ebe116d" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.scepman.com/ja/sono/faqs/key-vault-rbac-yi-xing.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.