Azure ARM Misconfiguration: Hardcoded Secret

このテンプレートは、セキュア タイプのパラメーターのデフォルト値を定義します。

パスワードなどの機密性の高い Azure ARM テンプレート パラメーターでは、通常、securestring または secureobject タイプを使用します。

セキュア タイプを使用するパラメーターの場合、パラメーター値はログに記録されず、デプロイメント履歴に保存されません。

しかし、ハードコーディングされたデフォルト値がセキュア タイプに設定されている場合、そのデフォルト値は、テンプレートまたはデプロイメント履歴にアクセスできるすべてのユーザーが読み取ることができます。

ハードコーディングされたシークレットはセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。ソフトウェアが実運用に入った後は、侵害されたシークレットを変更するためのアップデートが必要です。

データの暗号化に使用されるシークレットの場合、侵害されたキーによって保護されているすべてのデータを復号化および再暗号化するために、キーローテーション手順を実行する必要があります。

例 1: 次のテンプレートは、ハードコーディングされたデフォルト値を持つ、シークレット タイプのパラメーターを示しています。

{
    ...
    "parameters": {
        "rootPassword": {
            "defaultValue": "HardcodedPassword",
            "type": "secureString"
        },
        "adminLogin": {
            "type": "string"
        },
        "sqlServerName": {
            "type": "string"
        }
    },
    ...
}