Azure Cloud HSMの監査ログ：到着確認から署名バッチの検証・保全へ

結論：ログ到着と、後から検証できる証跡の保全を別々に試験する

編集上の判断：Azure Cloud HSMを使う環境では、対象の管理操作が記録されること、指定先に到着すること、署名バッチを検証できることを、それぞれ確認します。検索画面の一行やアラート通知だけを保存しても、後日の署名検証に必要な一式が残るとは限りません。

編集上の設計提案：日常監視用の表示と、検証用データの保全を分けて運用します。前者は調査しやすさ、後者は完全なバッチと検証資料を取り出せることを優先します。本記事は個別環境の設計保証や法的助言を行いません。実装適用には検証環境での事前テスト、および委託・支援を含む業務範囲の確認が必要です。

背景と技術的要因：HSM自身が生成する署名付き管理操作ログ

確認済み事実：10月29日のMicrosoft公式ブログは、対応する管理操作についてHSMが生成する監査ログと、署名済みバイナリ・署名・証明書を使う独立した検証を説明しています。監査は変更できないHSMパーティションポリシーとして有効化される一方、監視環境へのアクセス、保持、アラート、レビューは利用者側の責任とされています。

編集上の技術評価：生成元の真正性・完全性の検証と、保管先の消失防止は異なる設計課題です。署名があることだけを理由に、診断設定の削除、保存期間の不足、参照権限の欠落を無視しないでください。また、正しく署名された記録があることは、その操作が業務上承認されていたことの証明と同義ではありません。

公表日・適用範囲・リソース：全環境での有効化完了とは区別する

確認済み事実：本記事が参照する公式ブログの公表日は2026-10-29です。利用可能なパブリックリージョンの新規Azure Cloud HSMリソースでは自動有効化されるとし、リージョンへ展開中と説明しています。一律の適用日、展開完了日、既存環境への自動適用日、非推奨化期日は確認できずnullです。ブログ公表日を初回提供日・GA日と同一視しません。

確認済み事実：対象リソース型はMicrosoft.HardwareSecurityModules/cloudHsmClustersです。日本語の構成チュートリアルの表示更新日は2026-10-16、テーブル参照は2026-07-31です。APIバージョンの一律変更期日は確認できずnullです。Azure Key Vault Managed HSMなど別サービスへの適用を示す情報ではありません。

編集上の数値管理：保持日数、許容転送遅延、欠損判定までの時間、検証周期は、自社の調査要件と提供仕様を照合して決めます。本記事では固定のSLAや法定保存年数を設定しません。公表日・資料更新日・環境での有効化日・本記事の確認日2026-11-02を別欄で記録することを提案します。

設計・実装：診断カテゴリと完全なバッチを扱うIaC・保全手順

確認済み事実：日本語チュートリアルは、診断設定でHsmOperationsを有効にし、StorageとLog Analyticsへ出力する構成を案内しています。補助的なHsmServiceOperationsも併用できます。HSM操作ログの収集先はCloudHsmHardwareOperationAuditLogs、サービス操作ログはCloudHsmServiceOperationAuditLogsです。

編集上のIaC確認事項：Bicep・Terraformでは、診断設定の対象リソースID、有効カテゴリ、storageAccountId、workspaceId、リソース固有テーブルへの宛先指定を照合します。CLI例の--export-to-resource-specific trueに対応する設定が、採用中のAPI・プロバイダーで意図どおり反映されるか検証してください。プロバイダーが全属性に対応すると本記事では保証しません。適用後に実設定を読み戻すことを提案します。

確認済み事実：構成資料は、署名検証用の出力には各CorrelationIdの全レコード、署名、証明書を含め、takeやlimitで切り詰めないよう求めています。編集上の提案：時間範囲で候補バッチを特定した後に、そのバッチ全体を回収する手順を用意します。通常監視用のprojectや集約結果、操作名だけで絞った一覧を、そのまま検証用原本にしないでください。

確認済み事実：テーブル定義にはBinaryLogData、BinarySignature、CorrelationId等があり、DCRワークスペース変換は非対応です。編集上の設計提案：DCRで任意に加工してから保全する構成を前提にせず、監視に必要な派生表示と検証用の元データを分けます。保存先の参照・変更・削除権限、保持設定、機密性をレビューしてください。

運用・監視・DR・責任分界：署名検証の成功だけで全期間の完全性を判断しない

編集上の運用提案：検証環境で承認した管理操作を実行し、実行記録とログの対象HSM・時刻・結果を照合します。次に公式手順でバッチと検証資料を取得し、公式監査ログユーティリティの手順に従って署名を検証します。本記事の作成時に実環境の署名検証を実施したものではなく、具体的な検証コマンドや成功結果を保証しません。

編集上の監視提案：アラートはログインやユーザー変更等の対象操作に加え、診断設定の変更、転送停止の兆候、保管先へのアクセス異常も検討します。あるバッチの署名検証が成功しても、収集対象期間の全バッチが揃うことまで自動的に証明したとは扱いません。対象操作・期間・収集先を記した台帳と照合して、欠損や未収集の可能性を調べます。

編集上のDR検証：監視ワークスペースや保存先を切り替えた後も、既に保全したバッチを取得して検証できるか、新しい管理操作が正しい宛先へ届くかを試験します。HSMの復元成功と監査証跡の継続は別の完了条件です。検証資料と結果の保全先、再取得権限、復旧担当を手順書に含めます。

編集上の責任分界整理：HSM管理者、Azure設定担当、監視担当、証跡保全・検証担当、委託先の間で、収集設定、変更承認、保持、検証失敗時の調査を割り当てます。署名付きログの提供をもって利用者側の保存・レビューまで完了とせず、担当と支援範囲を契約・運用体制で確認してください。