 | |
| URL |
azure |
|---|---|
| タイプ | Webサービス |
| ジャンル | クラウドコンピューティング(PaaS、IaaS) |
| 運営者 | マイクロソフト |
| 営利性 | 営利 |
| 開始 | 2010年2月1日 |
| 現在の状態 | 提供中 |
Microsoft Azure（マイクロソフト アジュール、略 :Azure）は、マイクロソフトが管理するグローバルデータセンターを通じてPaaS、IaaS、SaaSを提供するクラウドコンピューティングサービスである。合計で100を超える数のサービスを提供し、マイクロソフト独自とサードパーティ製の両方の多くのプログラミング言語、ツール、フレームワークが利用できる。IaaSにおける世界的シェアは21%で2位。
2008年のProfessional Developer Conferenceで発表され、2009年末までのサービス開始前の評価期間を経て、2010年1月に世界21ヶ国で正式にサービスを開始した。2014年3月26日に旧称であるWindows AzureからMicrosoft Azureへの名称変更が発表された。
サービス開始当初、Microsoft Azureのデータはアメリカ合衆国など海外のデータセンターに置かれることになり、情報漏えいや、海外にデータを置くことによる問題などが指摘されていた（当然のことながら、Amazon EC2、Google App Engineなどの競合サービスも同様である）。海外にデータを置く問題とは、例えば何らかの事件がありFBI（連邦捜査局）にデータをすべて押収される可能性などである。
2010年7月には、富士通がMicrosoft Azureの技術を用いた自社ブランドのクラウドサービスを提供している。
2014年2月26日からはマイクロソフト自身が東日本リージョン、西日本リージョンを開設し、運用している。日本国内でのサービス提供は当初、富士通が担当していた。これにより、既存の富士通版Azureのユーザーは、マイクロソフトのデータセンターへシステムを移行する必要が発生した。
2019年3月には、南アフリカのケープタウンとヨハネスブルグの新しいクラウド リージョンが開設された。これにより、Azureは世界各国 54 のリージョンで提供されることとなった。
 |
Microsoft Azureは世界中のマイクロソフトのデータセンターで大規模な仮想化を行っている。
Microsoft Azure Marketplaceは、多様な商用・非商用データ（人口統計や金融情報など）といったコンテンツを保持しているプロバイダ（パブリッシャ）が容易に販売することができるオンライン上のマーケットプレースである。利用者はMicrosoft Azure Marketplaceを通じ、検索・共有・購入等を行うことができる。また通常データはODataを通じて提供され、アプリケーションからの利用も可能となっている。
Microsoft Azure Marketplaceにはデータを提供するMicrosoft Azure Marketplace Dataセクションと、Windows Azure Platformに関連する多様なカテゴリのサービスやアプリケーションを提供するWindows Azure Marketplace Applicationsセクションの2つが存在する。Windows Azure Marketplace Dataは2010年に米国で開催されたMicrosoft PDC2010にて正式リリースされた。またWindows Azure Marketplace Applicationsは、2011年7月10日に米国で開催されたMicrosoft Worldwide Partner Conference 2011にて正式リリースがアナウンスされた。
Microsoft Azureは特化されたオペレーティングシステム Microsoft Azureを用い"fabric layer"を実行する。"fabric layer"とは、マイクロソフトにてホスティングされたクラスタであり、Microsoft Azure上にて動作するアプリケーションへの計算資源およびストレージの割り当て、および管理を行う。Microsoft Azureは開発中は"Red Dog"というコードネームで知られ、Windows Server 2008とカスタム化されたHyper-VであるMicrosoft Azure Hypervisor上の"cloud layer"として説明されており、サービスの仮想化を行うものである。
スケーリングと信頼性はMicrosoft Azure Fabric Controllerで制御され、マイクロソフトデータセンター内でサーバーがダウンしてもサービス環境が停止しないようになっている。加えて、ユーザーのWebアプリケーションのメモリアロケーションやロードバランシング等の管理も行われる。
開発者はREST、HTTP、XMLを組み合わせたAPIを使用して Microsoft Azure が提供するサービスと対話を行う。サービスと対話を行うライブラリはクライアントサイドにもマネージド クラス ライブラリで提供される。Microsoft Azureでホストされるアプリケーションの開発と発行はVisual Studio、Git、EclipseといったIDEを使用して行う。
サービスにはAPIを通してアクセスするほかに、2015年12月に一般提供開始になったWebベースのAzureポータルを使って、ユーザーはAzureサービスを管理できる。ポータルを使うとアクティブな仮想マシンやサービスについて、アクティブなリソースの閲覧、設定変更、新しいリソースの開始、基本的なモニタリングデータの閲覧を行うことができる。
Microsoft Azureはクラウドリソースについて「クラッシック」と「Azure Resource Manager」の2種類の展開モデルを提供している。クラシックモデルでは、仮想マシン、SQLデータベース等の各々のAzureリソースは個別に管理される。Azure Resource Managerは2014年に導入され、関連サービスのグループを作成し、密接に関連するリソースを一緒に展開、管理、監視できるようにしている。
マイクロソフトでは同サービスを基幹系システムのバックエンドにも採用されるプラットフォームとして普及することを目指しているが、過去に大規模な障害が複数発生している。以下に主な事例を挙げる。
2012年2月29日、うるう日のこの日、サービス内部で使用する証明書発行に端を発する世界的な障害が発生。マイクロソフトは同年3月9日に原因の分析を公表し、影響の有無を問わずWindows Azure Compute・Access Control・Service Bus・Cachingの全顧客に対して当該課金月の33%のクレジットを提供すると表明した。
2013年2月22日（米国時間）、Storageサービスの証明書の期限切れにより複数サービスに障害が発生。
2014年8月15日に東日本リージョンで全面的な障害と複数リージョンで管理ポータルの問題が発生し、同月18日（米国時間）にも複数のリージョンで障害が発生。
2014年11月19日、性能改善バグと運用ミスにより世界規模でサービスが停止。
2016年9月15日、ネットワーク機器の不具合により世界規模の障害が発生。
2017年3月8日、自己修復機能の不具合が原因で、東日本リージョンで顧客の一部がサービスを利用不能になるなどの影響が発生。
2017年3月15日（協定世界時）、Azure Storageの障害により28リージョンのうち26リージョンでストレージの作成・更新・削除といった管理操作が失敗し、米国東部の一部顧客はストレージアカウントにアクセスできなくなった。マイクロソフトはソフトウェアの誤りが根本原因の可能性があると説明した。
2017年3月28日に西日本リージョンで、3月31日に空冷システム向け電源装置の故障に伴い再び東日本リージョンで、大規模障害が発生。
2017年9月29日（協定世界時）、北欧州リージョンで障害が発生した。マイクロソフトの事後報告によれば、消火設備の定期保守中に消火剤が予期せず放出され、これを受けて空調が自動停止したことで区画内の温度が上昇し、サーバーやストレージが自動停止した。仮想マシンやAzure Backup、Azure Functionsなど多数のサービスで一部の顧客に影響が及び、13時27分から20時15分までの約7時間で正常化した。
2018年6月20日、北欧州リージョンの仮想マシンやストレージ、SQL Databaseなど多数のサービスで、一部の顧客が約11時間にわたり接続できなくなった。マイクロソフトは、データセンターの温度異常によりインフラ警報が発生し、ストレージとネットワーク機器の一部が保護のため計画的に停止されたことが原因であると説明した。
2018年9月4日（協定世界時）、米国中南部リージョンで障害が発生した。マイクロソフトの事後報告によれば、荒天による近隣への落雷から電源に異常が生じ、データセンターの一部で冷却が失われて温度が上昇したため、ハードウェアとデータを保護する自動手順により機器が停止した。仮想マシンやストレージ、SQL Databaseなど同リージョンの主要サービスに加え、Azure Active Directory（Azure AD）の認証を介してOffice 365やVisual Studio Team Servicesなど他リージョンのサービスにも影響が及び、Azureのステータスページ自体も一時閲覧できなくなった。復旧には24時間以上を要した。
2018年11月19日、システムアップデートの不具合で、Azure、Office 365、Microsoft Dynamicsなどへログインするための多要素認証システムが停止。およそ1週間後の11月27日にも、内部で使用するDNSエントリの期限切れと同じコンポーネントに残っていたバグにより再び同システムが停止。結果的に2週間で2度もの停止が発生し、障害が発生している間は多要素認証を用いたログインができない深刻な状態に陥った。
2019年5月2日、AzureのDNS設定変更に失敗し、全世界的にサービス障害が発生。キャッシュされた不正な情報が期限切れになるまで影響が継続。Office 365、Microsoft 365、Microsoft Dynamicsなど、同社サービスに対する接続不良も発生。
2020年8月17日、障害情報提供を改善する取り組みを発表。複数の地域やサービスに影響を及ぼす「広範な」障害を通知する一部の場合にのみ、公開されているAzureの状態ページを使用していることを認めた。インシデントの95%以上を影響を受けたユーザーと直接やり取りを行っており、公開されているAzureの状態ページに障害に関する情報が掲載されていなかった。
2020年9月28日、Azure ADでデプロイシステムの不具合により未検証アップデートが適用され、ロールバックにも失敗。これにより、同社が提供するOneDriveやOutlook、Teamsなどのサービスにも全世界で接続障害が発生。
2021年2月26日（協定世界時）、東日本リージョンでAzure Storageの障害が発生し、同リージョンの一部顧客でストレージを利用するリソースの性能低下や遅延の増大、仮想マシンのディスクの障害が3時26分から10時2分まで続いた。マイクロソフトは原因を、対象のストレージスケールユニットに設定されていた上限値が不適切で想定以上の負荷が集中していたことと、負荷分散の自動化がリージョン内の他のスケールユニットへ十分に負荷を分散できなかったことと説明した。国内ではJR東日本の「JR東日本アプリ」で「運行情報」と「列車走行位置」の最新情報を確認できない事象や、日本防火・防災協会の講習用Webサイトが利用できなくなる影響が出た。
2021年3月15日、Azure ADが暗号署名操作をサポートするために使用している鍵のローテーションに問題が発生したことにより機能停止。極めて影響が大きく、Office、Teams、Dynamics 365、Xbox Liveなどをはじめとして、Azure ADの認証を利用しているMicrosoftやサードパーティーのアプリケーションが利用できなくなった。
2021年4月1日（協定世界時）、Azure DNSが応答しなくなり、AzureやMicrosoft 365、Teams、Xbox Liveなどが世界的に利用できなくなった。マイクロソフトは原因を、コードの欠陥によりAzure DNSサービスが過負荷となってDNSクエリに応答できなくなったことと説明した。
2022年7月18日にルーターの問題により、ネットワーク障害が発生。同時にMicrosoft OutlookやExchange Onlineで接続障害が発生。3日後の7月21日にもMicrosoft Teams、Office365、Outlookなどで大規模障害が発生。
2023年1月25日、ルーターの設定変更ミスにより、WAN内の全ルーターが再計算状態に突入し、中国を除く米国、ヨーロッパ、中東、アフリカ、アジアの全リージョンで障害が発生。Microsoft Teams、Exchange Online、Outlook、SharePoint Online、OneDrive for Business、Microsoft Graph、Power BI、Microsoft 365 Admin Portalといった多数のサービスでも問題が発生。
2023年2月7日（協定世界時、日本時間では8日）、東南アジアリージョンで障害が発生した。マイクロソフトの事後報告によれば、電力網の電圧低下により冷却装置のチラーの一部が停止し、自動でも手動でも再起動できなかった3台の影響で冷水の温度が上昇したため、1つの可用性ゾーンの機器が自動停止した。Azure Cosmos DBなど複数のサービスに影響が出たほか、Azure Resource Managerを介して東アジアリージョンのリソース管理にも波及したが、東日本・西日本リージョンには影響がなかった。大半のサービスは翌8日16時30分までに回復し、完全に復旧したのは9日4時30分であった。
2023年6月9日（協定世界時）、Azureポータルに複数の地域からアクセスするとエラーが表示される障害が15時10分から約2時間にわたり発生し、ポータル上のMicrosoft Entra管理センターやIntuneにも影響が出た。同月5日以降にはOutlook.comやOneDriveでもアクセスできない不具合が断続的に発生していた。マイクロソフトは、世界各地から分散したHTTPリクエストの大量送信とキャッシュを迂回する手法を組み合わせたレイヤー7のDDoS攻撃によりポータルのオリジンサーバーが過負荷になったことが原因であると説明し、攻撃者をStorm-1359として追跡していると公表した。
2023年7月5日（協定世界時）、西欧州リージョンでネットワークのパケット損失や遅延が生じた。マイクロソフトは、オランダの荒天により光ファイバーが切断され、2つのデータセンターキャンパス間のネットワークリンクの25%が使えなくなり、設計上の目標を超える利用率で稼働していた残りのリンクが輻輳したことが原因であると説明した。App ServiceやSQL Database、仮想マシンなどのほか、Microsoft 365やMicrosoft Power Platform、Microsoft Sentinelの一部にも影響が及び、7時22分から16時ごろまで約8時間半続いた。
2023年8月30日（協定世界時）、オーストラリア東部リージョンで障害が発生した。マイクロソフトの事後報告によれば、約29キロメートル（18マイル）離れた電力設備への落雷により商用電源の電圧低下が起き、複数のデータセンターの冷却用チラーが停止した。自動で再起動しなかったチラーを手動で再起動する作業が間に合わず、冷水の温度が上昇したため1つの可用性ゾーンの機器が保護のため停止し、Azure、Microsoft 365、Power Platformの各サービスに影響が出た。マイクロソフトは、夜間の現場要員3名ではチラーの手動再起動が間に合わなかったと説明し、夜間要員を一時的に7名に増やした。大半のサービスは約12時間後に回復し、一部のストレージやSQL Databaseなどの完全な復旧は9月3日までかかった。
2023年9月16日（協定世界時）、米国東部リージョンの1つのデータセンターで無停電電源装置の故障に伴う短時間の停電が起き、再起動時にBIOSの既知の不具合で一部のホストが起動途中で停止したため、仮想マシンやSQL Database、Service Bus、Event Hubsなどが約11時間半にわたり影響を受けた。The Registerは、米国東部のAzure SQL Databaseへの接続障害が同日7時33分から12時間以上続いたと報じた。
2024年1月21日（協定世界時）、Azure Resource Managerの障害により米国中部・米国東部・西欧州など複数のリージョンでAzureポータルやコマンドラインツールからのリソース管理操作が失敗し、Storage・Key Vault・App Serviceなどのサービスにも波及して、復旧まで約7時間半を要した。マイクロソフトは原因を、プレビュー機能として組み込まれていたMicrosoft Entraの継続的アクセス評価との連携に潜在していたコードの欠陥が、内部のメンテナンスでの設定変更を契機に発現したことと説明した。
2024年7月18日（協定世界時、日本時間では19日）、米国中部リージョンでストレージの障害が発生し、仮想マシンやSQL Database、Azure Cosmos DBなど30を超えるサービスに影響が出たほか、Azureに依存するMicrosoft 365、Dynamics 365、Microsoft Entraの各サービスにも波及した。日本のユーザーにもOneDriveのファイルが同期できない、Teamsのステータスを変更できないといったMicrosoft 365の問題が生じた。マイクロソフトは当初、クラスタ管理ワークフローによる設定変更で一部のストレージクラスタとコンピュートリソースとの間のアクセスが遮断されたと説明した。事後報告では、仮想マシンホストからのディスク要求だけを受け付けるためのストレージ側の許可リストを生成する際に一部の入力ファイルが読めなくなっていたことを検知できず、不完全な許可リストをリージョン内の全ストレージへ配布したためストレージが仮想マシンからの要求を拒否したことを原因とした。ストレージは約5時間で復旧したが、依存するサービスの完全な回復は翌19日までかかった。翌19日にはCrowdStrike社のFalcon更新に起因してAzure上のWindows仮想マシンにも起動失敗が生じたが、マイクロソフトの広報担当者は前日のストレージ障害とは無関係の別の事象であると説明した。
2024年7月30日（協定世界時）、Azure Front Doorの障害により複数のリージョンでAzureポータルやAzure Front Door・Azure CDNを利用するサービスに加え、Microsoft 365とMicrosoft Purviewの一部にも約8時間にわたり影響が出た。マイクロソフトは、DDoS攻撃を契機としてDDoS防御機構が作動したものの、防御の実装に誤りがあったため攻撃の影響を緩和せず、むしろ増幅させたと説明し、事後報告では攻撃は引き金であり、原因は防御系が通常経路へ戻る際に欧州の1拠点で局所的な停電により経路の更新ができず、さらに別の潜在的なネットワーク設定の不備により欧州外のトラフィックが欧州のDDoS防御系へ流れて輻輳したことにあるとした。
2025年1月8日（協定世界時）、米国東部2リージョンの1つの可用性ゾーンでネットワーク障害が発生し、仮想マシンやSQL Database、Azure OpenAI Serviceなど多数のサービスで接続障害やリソース割り当ての失敗が1月11日まで約50時間続いた。マイクロソフトは原因を、ネットワーク設定を配信する内部サービスで機能を有効化する作業の際に、本来は直列に行うべきレプリカの再起動を並列に実行したためパーティションが定足数を失い、設定データの索引が失われたことと説明した。
2025年9月6日、紅海で海底ケーブルが切断されたことを受け、マイクロソフトはAzureのステータスページで、中東を経由するAzureのトラフィックは遅延が増加する可能性があると告知した。マイクロソフトは、トラフィックを代替経路へ再ルーティングしているため通信の中断は生じておらず、中東を経由しないトラフィックは影響を受けないと説明したが、ケーブル切断の原因については説明しなかった。その後マイクロソフトはステータスページで問題は解決したとし、9月9日時点で全サービスが稼働していると表示した。
2025年10月9日（協定世界時）、Azure Front Doorの障害により欧州やアフリカを中心にAzureポータルなどの管理ポータルやMicrosoft 365の一部サービスに接続できない状態が約8時間続き、同日夜には管理ポータルで再び約4時間にわたり読み込みの失敗が生じた。マイクロソフトは、2度目の障害の原因を、最初の障害の復旧作業に用いたスクリプトが設定値を誤って削除したことと説明した。
2025年10月29日（協定世界時、日本時間では30日未明）、Azure Front Doorで世界規模の障害が発生し、Azureポータルなどに加えて、Microsoft 365、Xbox、Minecraftといったマイクロソフトのサービスやアラスカ航空などの航空会社に影響が出たほか、Copilotやスターバックスなどのサービスについても障害の報告があった。英国ではヒースロー空港やNatWestのWebサイトも影響を受けた。マイクロソフトは日本を含むサービス提供地域の全てで障害が発生していると公表した。当初は「不注意な設定変更」（inadvertent configuration change）が引き金と説明していたが、事後報告では、2つの異なる版の制御プレーンにまたがって行われた顧客の設定変更の特定の並びが互換性のない設定メタデータを生成し、エッジサーバーのデータプレーンに潜在していた欠陥を露呈させてクラッシュを引き起こしたことを原因とした。クラッシュが遅れて現れたため、設定保護システムの検査を通過して大半のエッジ拠点へ伝播したとしている。障害は15時41分から翌30日0時5分まで約8時間続いた。
2026年2月2日（協定世界時、日本時間では3日）、複数のリージョンで仮想マシンの作成や拡張機能のインストールが失敗する障害が発生した。マイクロソフトは、自社が管理するストレージアカウントの匿名アクセスを無効化するポリシーが、対象を判定する処理のデータ同期の問題により、仮想マシンの拡張機能パッケージを配布するため意図的に匿名読み取りを許可していたアカウントにも誤って適用されたことが原因であると説明した。Azure DevOpsとGitHub Actionsにも波及したほか、復旧の過程で滞留していた処理が一斉に再開したことで米国東部・西部リージョンのマネージドIDのバックエンドが飽和し、影響は翌3日6時5分までの10時間超に及んだ。
2026年7月23日（協定世界時）、米国西部リージョンでデータセンターと広域ネットワークとの接続が断たれた。マイクロソフトは、光伝送装置1台の修理を自動処理する際、影響範囲を解析するシステムの不具合により対象が特定のデータセンターから出る全ての光伝送装置に拡大され、経路が同時に撤回されたことが原因であると説明した。同リージョンに出入りするトラフィックが影響を受け、App ServiceやAzure Kubernetes Service、ExpressRouteなど20を超えるサービスのほか、TeamsやSharePoint Onlineなど主に北米のMicrosoft 365にも波及し、14時44分から19時41分まで約5時間続いた。
2021年8月、セキュリティ企業のWizは、Azure Cosmos DBに統合されたJupyter Notebook機能の複数の欠陥を連鎖させることで他の顧客のCosmos DBアカウントのプライマリキーを取得でき、データの閲覧・改変・削除が可能だったとする脆弱性「ChaosDB」を公表した。Wizは、Fortune 500企業を含む数千のAzure顧客のアカウントとデータベースに無制限にアクセスできたと主張し、2021年2月以降に作成されたアカウントではNotebook機能が既定で有効化されていたため、この機能を使っていない顧客も影響を受け得たと指摘した。マイクロソフトは、8月12日に研究者から報告を受けて直ちに脆弱性を緩和し、調査の結果、第三者や研究者によって顧客データがアクセスされた形跡はないと説明した上で、影響を受けた可能性のある顧客に通知してプライマリキーの再生成を推奨した。
2021年9月14日、Wizは、Azure上のLinux仮想マシンに自動的に配備される管理エージェントOpen Management Infrastructure（OMI）に、認証なしでroot権限のリモートコード実行が可能となるCVE-2021-38647を含む4件の脆弱性「OMIGOD」があると公表した。Wizは、OMIはAzureで最も広く配備されているエージェントの一つであるにもかかわらず顧客にほとんど知られておらず、標本調査したAzure顧客の65%超が知らないうちに露出していたと主張した。マイクロソフトは同日に修正版のOMIを公開し、リモートコード実行の影響はリモートのOMI管理を有効にした構成の利用者に限られるとした上で、PaaSとして提供する拡張機能はマイクロソフト側で更新する一方、顧客が自らOMIや拡張機能を導入した仮想マシンは顧客側の対応が必要であると説明した。
同月、パロアルトネットワークスのUnit 42は、Azure Container Instancesを支えるマルチテナントのKubernetesクラスタで、利用者が自分のコンテナから脱出してクラスタ全体を掌握し、他の利用者のコンテナでコードを実行したり機密情報を窃取したりできた脆弱性「Azurescape」を公表し、パブリッククラウドで初めて知られたクロスアカウントのコンテナ乗っ取りであると位置づけた。マイクロソフトは、調査の結果、顧客データへの不正アクセスは確認されなかったとし、研究者と同じクラスタでコンテナを実行していた顧客に通知して、2021年8月31日より前に配備した特権資格情報の失効を助言した。
2021年12月、Wizは、Azure App ServiceのLinux環境で「Local Git」を使ってデプロイしたアプリケーションの.gitディレクトリが公開されたWebルートに置かれ、ソースコードが取得可能になっていた問題「NotLegit」を公表した。Wizによればこの問題は2017年9月から存在しており、マイクロソフトは2021年11月に修正して影響を受けた顧客に通知し、Windowsベースの環境は影響を受けなかった。
2022年3月7日、Orca Securityは、Azure Automationのサンドボックスを管理する内部サーバーから他のAzure顧客のマネージドIDの認証トークンを取得できた脆弱性「AutoWarp」を公表した。マイクロソフトは2021年12月に修正して影響を受けた顧客に通知し、Hybrid WorkerやRun-Asアカウントを使用するオートメーションアカウントは影響を受けなかったと説明した。
同年4月には、Wizが、Azure Database for PostgreSQL Flexible Serverで同一サブネットの他の顧客のインスタンスに到達し、認証を迂回してデータベースを複製し読み取れたとする脆弱性「ExtraReplica」を公表し、マイクロソフトは完全に緩和済みで顧客側の対応は不要であり、悪用の試みは把握していないと同社に回答した。
同年6月14日には、Orca Securityが、Azure Synapse Analyticsでワークスペース名を知っているだけでテナント分離を迂回して他の顧客の資格情報を取得できた脆弱性「SynLapse」の技術詳細を公表し、最初の修正は不十分で複数回の修正を要したと述べた。Orca Securityによれば、マイクロソフトは包括的なテナント分離に向けた複数の改善を実装した。
2023年3月29日、Wizは、Azure Active Directoryのマルチテナントアプリケーションで任意のテナントのユーザーがログインできる設定のままアプリケーション側でテナントを検証していない設定不備が広く見られるとし、この不備を持つマイクロソフト内部のアプリケーションを通じてBing.comの検索結果を改変できたことを実証したと公表した（「BingBang」）。Wizによれば、マイクロソフトは該当するアプリケーションを修正して顧客向けの指針を更新し、Azure Active Directoryの機能の一部を変更して同種の設定不備が生じにくくした。
2025年9月、研究者のDirk-jan Mollemaは、Microsoft Entra ID（旧Azure Active Directory）において、レガシーのAccess Control Serviceが発行する署名のない内部用「Actorトークン」と、旧Azure AD Graph APIがトークンの発行元テナントを検証しない脆弱性（CVE-2025-55241）を組み合わせることで、任意のテナントの任意のユーザーになりすまし、世界中の企業のEntra IDテナントに完全にアクセスできたと公表した。Actorトークンは署名されず、有効期間である24時間の間は無効化できないとMollemaは指摘し、このトークンの設計自体が存在すべきではなかったものだと述べた。マイクロソフトは7月14日の報告から9日後に問題を解消したと確認し、9月4日にCVE-2025-55241を重大な権限昇格の脆弱性として修正した。
2026年、Wizは、Azure Cosmos DBのGremlinクエリエンジンのサンドボックスの不備を突き、自分のデータベースへのクエリだけでマルチテナントのバックエンドで任意のコードを実行して、サービス上の任意のCosmos DBアカウントのプライマリキーを導出できるプラットフォーム全体の署名キーを取得できたとする脆弱性連鎖「CosmosEscape」を公開した。マイクロソフトとWizによれば、脆弱性は2025年11月に報告され、Gremlinの入口は同月22日に修正、アーキテクチャの改修は2026年7月に全リージョンへ展開され、マイクロソフトは研究者によるテスト以外で顧客データへのアクセスは確認されていないとした。
2023年7月11日、マイクロソフトは、中国を拠点とするとされる攻撃者Storm-0558がMicrosoftアカウント（MSA）の消費者向け署名鍵を取得して認証トークンを偽造し、同年5月15日以降、米国務省・商務省を含む約25の組織のOutlookメールアカウントと関係者個人の消費者アカウントにアクセスしていたと公表した。マイクロソフトは、消費者向けの鍵で署名されたトークンが法人向けのシステムでも受理される認証の不備が悪用されたと説明した。Wizは、このためSharePointやTeams、「Microsoftでログイン」に対応した顧客のアプリケーションにも影響が及び得たと主張したが、マイクロソフトは影響をExchange OnlineとOutlook.comに限定した。マイクロソフトは9月6日、2021年4月に消費者署名システムがクラッシュした際に競合状態によってクラッシュダンプに署名鍵が混入し、それが検出されずに本番環境からインターネットに接続された社内のデバッグ環境へ移送され、後に侵害された技術者の企業アカウントを通じてアクセスされたと推定されるとの調査結果を公表し、競合状態の修正やクラッシュダンプ内の鍵の検出強化などの改善策を示した。
この事案について、ロン・ワイデン米上院議員は司法省・連邦取引委員会・CISAに宛てた書簡で、単一の「マスターキー」（skeleton key）への依存や署名鍵を5年間更新しなかったこと、期限切れの鍵で署名されたトークンを許容していたことを挙げて、マイクロソフトの「怠慢なサイバーセキュリティ慣行」を批判した。2024年4月2日、米国土安全保障省のサイバー安全審査委員会（CSRB）は、この侵入につながった運用上・戦略上の決定を詳述してマイクロソフトの責任を指摘する報告書を公表し、クラウドサービス事業者に対してID・認証情報システムへの最新の制御機構の実装、追加料金なしでの監査ログの提供、インシデントと脆弱性の開示慣行の採用などを勧告した。同月25日、サティア・ナデラCEOは決算説明会で、CSRBがマイクロソフトのセキュリティ文化を「不十分」と評した報告書を受け、前年秋に開始したSecure Future Initiativeについて、セキュリティを他のあらゆる機能や投資より優先すると表明した。
2023年9月18日、Wizは、マイクロソフトのAI研究部門がGitHubで公開した学習データのAzure Storage URLに、特定のファイルではなくストレージアカウント全体へのアクセスを許すSAS（Shared Access Signature）トークンが設定されていたため、従業員2名のワークステーションのバックアップや3万件超の社内Teamsメッセージ、秘密鍵やパスワードを含む38TBの内部データが取得可能な状態にあったと公表した。マイクロソフトは、より多くのエンジニアが大量の学習データを扱うようになったことで生じた新しいリスクの例であると説明した。
2024年1月19日、マイクロソフトは、ロシア政府の支援を受けるとされる攻撃者Midnight Blizzardが2023年11月下旬からパスワードスプレー攻撃でレガシーの非本番テスト用テナントのアカウントを侵害し、それを足がかりに経営幹部やサイバーセキュリティ・法務部門の従業員の企業メールアカウントの一部からメールと添付ファイルを取得したと公表した。同年3月、マイクロソフトは、流出したメールに含まれていた顧客との間の機密情報を使った不正アクセスの試みと、ソースコードリポジトリへのアクセスを確認したと続報し、顧客向けのホスト環境が侵害された証拠はないと説明した。米国のCISAは4月2日、連邦機関に対して流出したメールの内容の分析や侵害された認証情報のリセット、トークンなどの是正措置を義務付ける緊急指令ED 24-02を発出した。
2025年10月にAmazon Web Servicesの障害とAzure Front Doorの障害が続けて発生したことを受け、米国では監視団体が連邦規制当局にクラウド大手の役割の精査を求める動きが報じられた。Public CitizenやTech Oversight Projectなどの市民団体は連邦取引委員会（FTC）委員長への書簡で、10月19日のAWSの障害は少数のクラウド事業者への「危うい過度の依存」を示したと主張し、FTCの対応の説明を求めた。FTCはCyberScoopの取材に回答しなかった。
日本では2022年6月28日、公正取引委員会がクラウドサービス分野の取引実態に関する報告書を公表し、Amazon Web Services・マイクロソフト・Googleの3社で国内シェアの60〜70%を占める市場について、顧客が他社へ移る際に高額なデータ転送料を設定するなどの行為は独占禁止法上の問題があると指摘した。
欧州のクラウド事業者団体CISPEは2022年にマイクロソフトのクラウド製品のライセンスが欧州のクラウド市場を害しているとして欧州委員会に苦情を申し立て、2024年7月、マイクロソフトが2,000万ユーロを支払い、CISPEが苦情を撤回して同種の苦情を世界的に支援しないことに同意する和解が成立した。
英国の競争・市場庁（CMA）は2025年7月31日、クラウド市場調査の最終決定を公表し、「競争は十分に機能していない」と結論した。CMAは競争を阻害する要因として、Amazon Web Servicesとマイクロソフトがそれぞれ30〜40%のシェアを持つ市場集中、データ転送料や高い資本要件、クラウド間の非互換といった技術的・商業的障壁に加え、マイクロソフトのソフトウェアライセンス慣行がGoogleとAWSの競争力に影響していることを挙げ、両社が「戦略的市場地位」を持つかを判定する調査を進める方針を示した。マイクロソフトの広報担当者は、この結論はクラウド市場がかつてなく活発で競争的であることを無視しており「またも的を外している」と述べ、急成長するGoogleが勧告の対象に含まれていないと反論した。
2025年4月4日、マイクロソフトの創立50周年記念イベントで、同社のイスラエル軍向けのAI技術の提供に抗議する従業員がAI部門CEOの講演を中断させ、別の従業員も式典の後半で抗議した。「No Azure for Apartheid」と名付けたキャンペーンを展開する従業員の支援団体によれば、この2名はその後解雇された。同年8月6日、ガーディアンは+972 MagazineおよびLocal Callとの共同調査として、イスラエル軍の情報部隊である8200部隊が欧州（オランダとアイルランド）にあるマイクロソフトのデータセンターのAzure上にパレスチナ人の通話記録を大規模に保存していたと報じ、2021年に同部隊の司令官がサティア・ナデラCEOの支持を得てAzure内に専用の隔離された領域を設ける計画を進めた経緯を伝えた。マイクロソフトは、ナデラは同部隊がどのようなデータを保存する計画かを知らなかったと主張し、広報担当者はナデラが個人的に支持したとするのは正確でなく、会議には終盤の10分間だけ出席してデータの内容についての議論は無かったと述べた。マイクロソフトはこの報道を受けて独自の調査を開始し、9月25日、ブラッド・スミス社長は、顧客のコンテンツにはアクセスしなかったものの、オランダでのストレージ容量の消費やAIサービスの利用など報道の要素を裏付ける証拠が見つかったとして、イスラエル国防省の一部門に対する特定のクラウドストレージとAIサービスの提供を停止したと発表し、民間人の大量監視への利用は同社の標準利用規約に違反すると述べた。スミスは、この決定は同社がイスラエルと行う他の業務には影響しないとも述べた。
 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 人物 |
| ||||||||
| ソフトウェア |
| ||||||||
| 開発言語 | |||||||||
| 技術 | |||||||||
| オンラインサービス |
| ||||||||
| ゲーム | |||||||||
| ハードウェア | |||||||||
教育と認識 | |||||||||
| ライセンス | |||||||||
| 会議 | |||||||||
| 批判 | |||||||||
| 訴訟 | |||||||||
| 買収企業 | |||||||||
| キャラクター | |||||||||
| 関連人物 | |||||||||
| 部門 | |||||||||
| SaaS | |
|---|---|
| PaaS | |
| IaaS | |
| 複数対応 |
|
| 技術 | |
