IoT Central のプライベートエンドポイントを作成して構成する

[アーティクル]
05/24/2023

Azure Virtual Network のプライベートエンドポイントを使用して、デバイスを IoT Central アプリケーションに接続することができます。

プライベートエンドポイントでは、仮想ネットワークアドレス空間のプライベート IP アドレスを使用して、デバイスを IoT Central アプリケーションにプライベートに接続します。仮想ネットワーク上のデバイスと IoT プラットフォーム間のネットワークトラフィックでは、仮想ネットワークおよび Microsoft バックボーンネットワーク上のプライベートリンクを経由することで、パブリックインターネットでさらされないようにします。この記事では、IoT Central アプリケーションのプライベートエンドポイントを作成する方法を示します。

前提条件

有効な Azure サブスクリプション Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
IoT Central アプリケーション詳細については、「IoT Central アプリケーションを作成する」を参照してください。
ご利用の Azure サブスクリプションの仮想ネットワーク。詳細については、「仮想ネットワークを作成する」を参照してください。このガイドの手順を完了するために、Bastion ホストまたは仮想マシンは必要ありません。

プライベートエンドポイントの作成

IoT Central アプリケーションのプライベートエンドポイントを作成するためのいくつかの方法があります。

Azure portal を使用して、プライベートエンドポイントリソースを直接作成する。プライベートエンドポイントを必要とする IoT Central アプリケーションにアクセスできない場合は、このオプションを使用します。
既存の IoT Central アプリケーションでプライベートエンドポイントを作成する

既存の IoT Central アプリケーションでプライベートエンドポイントを作成するには:

Azure portal で、アプリケーションに移動してから [ネットワーク] を選択します。
[プライベートエンドポイント接続] タブを選択してから、[+ プライベートエンドポイント] を選択します。
[基本] タブで、名前を入力してプライベートエンドポイントのリージョンを選択します。その後、[次へ: リソース] を選択します。
[ リソース ] タブが自動的に設定されます。 [次へ: 仮想ネットワーク] を選択します。
[仮想ネットワーク] タブで、プライベートエンドポイントをデプロイする [仮想ネットワーク] と [サブネット] を選択します。
同じタブの [プライベート IP 構成] セクションで、[IP アドレスを動的に割り当てる] を選択します。
[次: DNS] を選びます。
[DNS] タブで、[プライベート DNS ゾーンと統合する] で [はい] を選択します。プライベート DNS は、必要なすべてのエンドポイントを仮想ネットワーク内のプライベート IP アドレスに解決します。

注意

IoT Central には自動スケーリング機能があるため、可能な限り [プライベート DNS 統合] オプションを使用する必要があります。何らかの理由でこのオプションを使用できない場合は、「カスタム DNS サーバーを使用する」を参照してください。
タグを選択します。
[タグ] タブで、必要なタグを構成し、[次へ: 確認と作成] を選択します。
構成の詳細を確認し、[作成] を選択してプライベートエンドポイントリソースを作成します。

プライベートエンドポイントの作成の要約を示す Azure portal のスクリーンショット。

プライベートエンドポイントの作成を確認する

プライベートエンドポイントの作成が完了したら、Azure portal でアクセスできます。

アプリケーション用に作成されたプライベートエンドポイントをすべて表示するには:

Azure portal で、IoT Central アプリケーションに移動してから、[ネットワーク] を選択します。
[プライベートエンドポイント接続] タブを選択します。次の表にはアプリケーション用に作成されたすべてのプライベートエンドポイントが示されています。

カスタム DNS サーバーを使用する

状況によっては、仮想ネットワークのプライベート DNS ゾーンと統合できない場合があります。たとえば、独自の DNS サーバーを使用したり、仮想マシン上のホストファイルを使って DNS レコードを作成したりする場合があります。このセクションでは、DNS ゾーンにアクセスする方法について説明します。

chocolatey をインストールします。
ARMClient をインストールします。
```
choco install armclient
```
ARMClient でサインインします。
```
armclient login 
```
次のコマンドを使用して、IoT Central アプリケーションのプライベート DNS ゾーンを取得します。プレースホルダーは、IoT Central アプリケーションの詳細に置き換えてください。
```
armclient GET /subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.IoTCentral/IoTApps/<AppName>/privateLinkResources?api-version=2021-11-01-preview
```

応答を確認します。必要な DNS ゾーンは、応答ペイロードの requiredZoneNames 配列内にあります。

{  
  "value": [  
    {  
      "id": "/subscriptions/<subscriptionId>/resourceGroups/<resourceGroupName>/providers/Microsoft.IoTCentral/IoTApps/<AppName>/privateLinkResources/iotApp",  
      "name": "ioTApp",  
      "type": "Microsoft.IoTCentral/IoTApps/privateLinkResources",  
      "location": "<the region of your application>",  
      "properties": {  
      "groupId": "iotApp",  
      "requiredMembers":[  
        "<IoTCentral Name>",  
        "<DPS Name>",  
        "<IoTHub1 Name>",  
        "<IoTHub2 Name>",  
        "<EH1 Name>",  
        "<EH2 Name>"],  
      "requiredZoneNames": [  
        "privatelink.azureiotcentral.com",  
        "privatelink.azure-devices.net",  
        "privatelink.servicebus.windows.net",  
        "privatelink.azure-devices-provisioning.net"],  
      "provisioningState": "Succeeded"}  
    }  
  ]  
}

Azure portal で、プライベートエンドポイントに移動し、[DNS の構成] を選択します。このページでは、DNS 名への IP アドレスマッピングに必要な情報を確認できます。

プライベート DNS 構成を示す Azure portal のスクリーンショット。

警告

この情報を使用して、カスタム DNS サーバーに必要なレコードを設定することができます。可能な限り、仮想ネットワークのプライベート DNS ゾーンと統合し、独自のカスタム DNS サーバーを構成しないようにしてください。 IoT Central アプリケーションのプライベートエンドポイントは、他の Azure PaaS サービスとは異なります。 IoT Central の自動スケールなど、場合によっては、IoT Central により、プライベートエンドポイントを介してアクセスできる IoT Hub の数がスケールアウトされます。独自のカスタム DNS サーバーを設定することにした場合は、IoT Central によって自動スケールされるたびに DNS レコードを更新し、後で IoT ハブの数がスケールインされたときにレコードを削除する必要があります。

パブリックアクセスを制限する

IoT Central へのデバイスのパブリックアクセスを制限するには、パブリックエンドポイントからのアクセスをオフにします。パブリックアクセスをオフにした後、デバイスではパブリックネットワークから IoT Central に接続できず、プライベートエンドポイントを使用する必要があります。

Azure portal で、IoT Central アプリケーションに移動してから [ネットワーク] を選択します。
[ パブリックアクセス ] タブで、パブリックネットワークアクセスに 対して [無効 ] を選択します。
必要に応じて、IoT Central アプリケーションのパブリックエンドポイントに接続できる IP アドレスと範囲のリストを定義できます。
[保存] を選択します。

プライベートエンドポイントへの接続

IoT Central アプリケーションのパブリックネットワークアクセスを無効にすると、デバイスは Device Provisioning Service (DPS) グローバルエンドポイントに接続できません。これは、DPS の唯一の FQDN に仮想ネットワークのダイレクト IP アドレスが含まれるためです。現在、グローバルエンドポイントに到達できません。

IoT Central アプリケーションのプライベートエンドポイントを構成すると、IoT Central サービスエンドポイントがダイレクト DPS エンドポイントを反映するように更新されます。

ダイレクト DPS エンドポイントを使用するためにデバイスコードを更新します。

ベストプラクティス

プライベートリンクサブドメイン URL を使用して、IoT Central にデバイスを接続しないでください。プライベートエンドポイントを作成した後は、IoT Central アプリケーションに表示される DPS URL を常に使用してください。
DNS 管理には Azure によって提供されるプライベート DNS ゾーンを使用します。独自の DNS サーバーは使用しないようにしてください。IoT Central によってリソースが自動スケールされるので、DNS 構成を維持するために常に更新する必要があるためです。
同じ IoT Central リソースに対して複数のプライベートエンドポイントを作成する場合、FQDN は DNS ゾーンで上書きされる可能性があるため、再度追加する必要があります。

制限事項

現在、プライベート接続は、IoT Central アプリケーション内の基になる IoT ハブと DPS へのデバイス接続でのみ有効になっています。 IoT Central Web UI および API は引き続きパブリックエンドポイントを介して動作します。
プライベートエンドポイントは、仮想ネットワークと同じリージョンに存在する必要があります。
パブリックネットワークアクセスを無効にする場合:
- IoT Central のシミュレートされたデバイスは、仮想ネットワークへの接続がないため、機能しません。
- グローバル DPS エンドポイント (global.device-provisioning.net) にはアクセスできません。デバイスファームウェアを更新して、ダイレクト DPS インスタンスに接続します。ダイレクト DPS URL は、IoT Central アプリケーションの [デバイス接続グループ] ページで確認できます。
プライベートエンドポイントを構成した後で、IoT Central アプリケーションの名前を変更することはできません。
プライベートエンドポイントや IoT Central アプリケーションを別のリソースグループやサブスクリプションに移動することはできません。
サポートは IPv4 に制限されています。 IPv6 はサポートされていません。

トラブルシューティング

プライベートエンドポイントへの接続で問題が発生した場合は、次のトラブルシューティングガイダンスを使用してください。

接続状態を確認する

プライベートエンドポイントの接続状態が [承認済み] に設定されていることを確認します。

Azure portal で、アプリケーションに移動してから [ネットワーク] を選択します。
[プライベートエンドポイント接続] タブを選択します。接続状態がプライベートエンドポイントに対して [承認済み] であることを確認します。

仮想ネットワーク内でチェックを行う

次のチェックを使用して、同じ仮想ネットワーク内からの接続の問題を調べます。プライベートエンドポイントを作成したのと同じ仮想ネットワークに仮想マシンをデプロイします。仮想マシンにサインインして、次のテストを実行します。

名前解決が正しく機能していることを確認するには、プライベートエンドポイント DNS 構成内のすべての FQDN を反復処理し、nslookup、Test-NetConnection、または他の同様のツールを使用してテストを実行し、各 DNS が対応する IP アドレスと一致することを確認します。

さらに、次のコマンドを実行して、各 FQDN の DNS 名が対応する IP アドレスと一致することを確認します。

#replace the <...> placeholders with the correct values 
nslookup iotc-….azure-devices.net

結果は次の出力のようになります。

#Results in the following output: 
Server:127.0.0.53 
Address:127.0.0.53#53 

Non-authoritative answer: xyz.azure-devices.net
canonical name = xyz.privatelink.azure-devices.net
Name:xyz.privatelink.azure-devices.net
Address: 10.1.1.12

対応する IP アドレスと一致しない FQDN を見つけた場合は、カスタム DNS サーバーを修正します。カスタム DNS サーバーを使用していない場合は、サポートチケットを作成します。

複数のプライベートエンドポイントがあるかどうかを確認する

1 つの IoT Central アプリケーションに対する複数のプライベートエンドポイントを作成または削除すると、DNS 構成が上書きされる可能性があります。

Azure portal で、プライベートエンドポイントリソースに移動します。
[DNS] セクションで、必要なすべてのリソース (IoT Hub、Event Hubs、DPS、IoT Central FQDN) のエントリがあることを確認します。
DNS の A レコードに、IP (およびこの DNS ゾーンを使用する他のプライベートエンドポイントの IP) が反映されていることを確認します。
既に削除されている古いプライベートエンドポイントから IP の A レコードを削除します。

その他のトラブルシューティングのヒント

これらのチェックをすべて試した後も問題が発生する場合は、プライベートエンドポイントのトラブルシューティングガイドを確認してみてください。

すべてのチェックが成功してもまだデバイスで IoT Central への接続を確立できない場合は、ファイアウォールとネットワーク全般を担当する企業セキュリティチームに連絡してください。エラーの潜在的理由は次のとおりです。

Azure 仮想ネットワークの構成ミス
ファイアウォールアプライアンスの構成ミス
Azure 仮想ネットワークでのユーザー定義ルートの構成ミス
デバイスと IoT Central リソース間のプロキシが正しく構成されていない

次のステップ

これで、アプリケーションのプライベートエンドポイントを作成する方法を学習しました。推奨される次の手順を以下に示します。

アプリケーションを管理する

Share via

IoT Central のプライベートエンドポイントを作成して構成する

前提条件

プライベートエンドポイントの作成

プライベートエンドポイントの作成を確認する

カスタム DNS サーバーを使用する

パブリックアクセスを制限する

プライベートエンドポイントへの接続

ベストプラクティス

制限事項

トラブルシューティング

接続状態を確認する

仮想ネットワーク内でチェックを行う

複数のプライベートエンドポイントがあるかどうかを確認する

その他のトラブルシューティングのヒント

次のステップ

その他のリソース

Share via

IoT Central のプライベート エンドポイントを作成して構成する

前提条件

プライベート エンドポイントの作成

プライベート エンドポイントの作成を確認する

カスタム DNS サーバーを使用する

パブリック アクセスを制限する

プライベート エンドポイントへの接続

ベスト プラクティス

制限事項

トラブルシューティング

接続状態を確認する

仮想ネットワーク内でチェックを行う

複数のプライベート エンドポイントがあるかどうかを確認する

その他のトラブルシューティングのヒント

次のステップ

その他のリソース

IoT Central のプライベートエンドポイントを作成して構成する

プライベートエンドポイントの作成

プライベートエンドポイントの作成を確認する

パブリックアクセスを制限する

プライベートエンドポイントへの接続

ベストプラクティス

複数のプライベートエンドポイントがあるかどうかを確認する