Microsoftは米国時間3月15日に「Azure Active Directory」（Azure AD）で発生した障害に関する予備的な原因分析結果を公開した。この障害によって、「Office」「Teams」「Dynamics 365」「Xbox Live」などをはじめとする、認証をAzure ADに依存しているMicrosoftやサードパーティーのアプリケーションが利用できなくなった。同社は、この約14時間にわたって続いた障害によって、世界中のMicrosoftの「一部」の顧客が影響を受けたと述べている。
提供：Microsoft
「Azureの状態の履歴」ページに3月16日に公開された今回のインシデントの予備分析結果によれば、「Azure ADが、OpenIDなどのIDに関する標準プロトコルを使った暗号署名操作をサポートするために使用している鍵のローテーションに問題が発生した」という。
Azure ADでは、通常のセキュリティ業務の一環として、使用されなくなった鍵を自動的に削除しているが、この数週間は、複雑なクラウド間移行をサポートするために、ある鍵に「保持」のマークが付与されていた。Microsoftによれば、これによって特定のバグが顕在化し、「保持」されていた鍵が削除されてしまった。その結果、Azure ADによってこの署名鍵に関するメタデータが世界に向けて公開された。このメタデータが障害が発生した時間である米国東部標準時午後3時に変更されると、Azure ADがこの新しいメタデータを受け取り始め、削除された鍵で署名されていたトークンやアサーションを信頼しなくなった。
Microsoftのエンジニアは、東部標準時午後5時頃にシステムをロールバックしたが、アプリケーションがロールバックされたメタデータを受け取り、正しいメタデータを使い始めるようになるまでには時間がかかる。一部のストレージリソースには長時間影響が残ったため、不正なエントリーを無効化し、強制的に更新するためにアップデートを行う必要があったという。
レポートには、Azure ADでは、この種の問題を防止するために、バックエンドの「Safe Deployment Process」の保護を強化するマルチフェーズの取り組みが進められていると説明されている。鍵の削除に関するコンポーネントはこの作業の第2フェーズに当たるが、終了するのは2021年中頃になる予定だったという。
報告では「当社は、今回の事態は極めて影響が大きく、容認できないものだったことを理解しており、深くお詫びいたします。今後このような事態が起こらないよう、Microsoft Azure Platformと当社の業務プロセスを改善するための措置を継続的に講じていきます」と述べている。
最終的な分析結果は、調査が完了した時点で公表される予定だ。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
