Azure NetApp FilesのCMK on CRR検証

今回はAzure NetApp Filesの二つ機能を同時に使用した検証です。
機能1：Cross Region Replication(CRR)クロスリージョン間のレプリケーション
機能2：Customer Managed Key(CMK)いわゆるBYOKユーザー独自のキー

検証環境のイメージ図：
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/0820fcde-4a2d-3990-69d0-1707b80222f7.png)

構築環境でメインに利用されているAzureのサービス：
・Virtual Network
・Azure NetApp Files
・Azure Key Vault
一部Azure上の基本的なものは本記事に割愛させて頂きます。

早速ですが、構築に着手しましょう！
段取り：
1、東日本で仮想ネットワークと二つのサブネットを作成、ANFへ専用サブネットの委任
2、ANFアカウントの作成、今回は利用用途はファイルサーバー利用の想定シナリオで（SMBプロトコルでボリュームの作成予定ーーー＞その為ANFアカウントからAD(ADDS)参加が必要、この部分は別の記事で紹介あり、本記事で割愛致します)
3、Azure Key VaultでKeyとシークレットを作成、ネットワークのプライベートエンドポイントを作成
4、User-assignedロール持つユーザーの作成（権限付与）
5、ANFアカウントでCMKを設定
※CMK機能は事前登録(申請)が必要のため、1週間前後申請が降ります
6、SMBプロトコルのボリュームを作成、作成項目内にCMK機能を選択する

ここから西日本でもステップ5まで同じ構築を行います。
7、西日本ANFアカウントでレプリケーション為のSMBプロトコルのボリュームを作成
8、東日本のソース側ボリュームでレプリケーションの承認


具体的な環境構築及び参照のスクリーンショット：
1、キーコンテナのプライベートエンドポイントはANFと同じ仮想ネットワーク内の異なるサブネットに配置する為、事前計画して、サブネットの作成が必要です。
cmksubnetはキーコンテナのプライベートエンドポイントを配置する予定です
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/15a0e531-f468-2203-a716-c24738779803.png)
2、ADDS参加済のANFアカウントです
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/30878e57-19e7-62ce-e0bf-cc2c111eba64.png)
3、キーコンテナにおいて下記事項が要注意です：
①「Soft-delete」、「Purge protection」を有効にする
②キーコンテナでシークレットが90日の有効期限があり、自動更新されない為、モニター機能のアラートと合わせて更新管理を推奨する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/ed1d10df-cfe2-702f-2039-1ec7796a70c8.png)
③プライベートエンドポイントの設定はANFボリューム委任されたサブネットとは同一仮想ネットワーク内の別のサブネットでの設定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/cb8bba40-e418-aeaf-af40-33291c5336fa.png)

4、User-assignedロール持つユーザーの作成：
このユーザーには３つアクセス許可が必須、
Microsoft.KeyVault/vaults/keys/read
Microsoft.KeyVault/vaults/keys/encrypt/action
Microsoft.KeyVault/vaults/keys/decrypt/action
基本的に「Least Privilege」最小特権での付与をお願い致します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/cf4fdf80-bb82-a710-e0d7-d3b0667ab044.png)
（私の環境ではKey Vault Administratorを付与しました）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/d8e80d0b-c58e-a309-9d70-58324e5a290c.png)

5、ANFアカウントでCMK機能の設定：
設定時の画面（本記事書くタイミングで東日本ANFアカウントが既に設定を完了しまちゃったので、西日本アカウントの画面をお借りしてます、大目に見てくださいませ）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/9b7463c5-6e04-fa03-a1e7-2b0674a3882a.png)
設定後の画面
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/3fd6403e-d9ed-f85b-e429-a60edf6f719e.png)

6、SMBプロトコルのボリュームを作成：「暗号化キーのソース」には「カスタマーマネージドキー」を選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/9b169de0-c9c4-04fd-f03f-922796a1695d.png)


今回のDRデザイン：
東日本：ソース側
西日本：宛先側

西日本で上記と１から５まで同じ手順で行います。
7、西日本のDR転送先（宛先側）になる為、SMBプロトコルのボリュームは[データのレプリケーション追加」からの作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/f710b83f-6628-4e1f-a227-a2e24b7c8750.png)

注意点：
①「基本」のタブ同じく「暗号化キーのソース」で「カスタマーマネージドキー」を選択
②「レプリケーション」タブではソース側のボリュームID情報が必要

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/9e0993fe-7374-89dd-0105-7d786e6c8be4.png)
ソース側のボリュームID情報の確認方法：
東日本ANFアカウントのボリューム⇒設定の「プロパティ」⇒リソースIDのクリップボードを活用してコピー
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/506e946e-c7aa-c947-4570-8d112a80aa7b.png)

8、東日本ソース側のボリュームでレプリケーションの承認を行う
①下記の画面のようにメニューバーの「レプリケーション」⇒「承認」をクリックする
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/2c2aa4f5-0561-32a5-ee71-f69810d4ba79.png)

②承認で求められているボリュームIDは対向側のもの（Destination volume id）ですから、つまり西日本リージョンで作成したボリュームになります、ボリュームのリソースID確認方法は先と同じです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/e08f5ac0-3b72-2feb-4b61-a31cd40b834a.png)

上記全部実行してから、東日本リージョンと西日本リージョンのボリュームのそれぞれのメニューバーから「レプリケーション」をクリックし、画面を更新頂くとレプリケーションの関連情報は確認出来ます。
私の検証環境のDR宛先側：西日本リージョンのボリュームはこんな感じです：
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/7ad7972a-7e86-d954-9d41-5fe6575052dd.png)

DRソース側：東日本リージョンのボリュームは今回感じです：
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3230994/2e2b47cb-ec0a-45a9-0fab-10b6a224d465.png)

後書き：
わざとAzure上の画面を「日本語」と「英語」表示し、スクリーンショットを混じって載せました
楽しんでいただけましたでしょうか？