Azure Storage の仮想ネットワークサービスエンドポイントポリシー

[アーティクル]
04/16/2024

仮想ネットワークサービスエンドポイントのポリシーを使用すると、サービスエンドポイントを経由する Azure Storage アカウントへの仮想ネットワークエグレストラフィックをフィルター処理し、特定の Azure Storage アカウントへのデータ流出のみを許可できます。エンドポイントポリシーでは、サービスエンドポイント経由で接続する際に、Azure Storage への仮想ネットワークトラフィックに対する詳細なアクセスが制御されます。

Diagram of Securing Virtual network outbound traffic to Azure Storage accounts.

この機能は、 すべてのグローバル Azure リージョン の Azure Storage で一般公開されています。

主な利点

仮想ネットワークサービスエンドポイントポリシーには、次の利点があります。

Azure Storage への仮想ネットワークトラフィックのセキュリティ強化

ネットワークセキュリティグループ用の Azure サービスタグを使用することで、特定の Azure Storage リージョンへの仮想ネットワーク送信トラフィックを制限できます。ただし、このプロセスにより、選択した Azure Storage リージョン内の任意のアカウントにトラフィックが送信されます。

エンドポイントポリシーを使用すると、仮想ネットワークの送信アクセスを許可される Azure Storage アカウントを指定し、他のすべてのストレージアカウントへのアクセスを制限することができます。このプロセスにより、仮想ネットワークから流出するデータを保護するためのセキュリティ制御をさらに詳細に行うことができます。
Azure サービストラフィックをフィルター処理するスケーラブルな高可用性ポリシー

エンドポイントポリシーでは、サービスエンドポイント経由の、仮想ネットワークからの Azure サービストラフィックをフィルター処理するためのスケーラブルな高可用性ソリューションが提供されます。仮想ネットワークでこのトラフィック用のセントラルネットワークアプライアンスを維持するために、追加のオーバーヘッドは必要ありません。

サービスエンドポイントポリシーの JSON オブジェクト

サービスエンドポイントポリシーオブジェクトを簡単に見てみましょう。

"serviceEndpointPolicyDefinitions": [
    {
            "description": null,
            "name": "MySEP-Definition",
            "resourceGroup": "MySEPDeployment",
            "service": "Microsoft.Storage",
            "serviceResources": [ 
                    "/subscriptions/subscriptionID/resourceGroups/MySEPDeployment/providers/Microsoft.Storage/storageAccounts/mystgacc"
            ],
            "type": "Microsoft.Network/serviceEndpointPolicies/serviceEndpointPolicyDefinitions"
    }
]

構成

特定の Azure Storage アカウントへの仮想ネットワークのトラフィックを制限するエンドポイントポリシーを構成することができます。
エンドポイントポリシーは仮想ネットワーク内のサブネット上で構成されます。 Azure Storage に対してポリシーを適用するには、サブネット上でサービスエンドポイントを有効にする必要があります。
エンドポイントポリシーでは、resourceID 形式を使用して、特定の Azure Storage アカウントを許可リストに追加できます。次へのアクセスを制限できます。
- サブスクリプションのすべてのストレージアカウント
  E.g. /subscriptions/subscriptionId
- リソースグループのすべてのストレージアカウント
  E.g. subscriptions/subscriptionId/resourceGroups/resourceGroupName
- 対応する Azure Resource Manager resourceId を記載した個別のストレージアカウント。これには、BLOB、テーブル、キュー、ファイルおよび Azure Data Lake Storage Gen2 へのトラフィックが含まれます。
  E.g. /subscriptions/subscriptionId/resourceGroups/resourceGroupName/providers/Microsoft.Storage/storageAccounts/storageAccountName
既定では、サブネットにサービスエンドポイントポリシーが指定されていない場合、サービス内のすべてのストレージアカウントにアクセスできます。ポリシーがそのサブネット上に構成された後、そのサブネットのコンピューティングインスタンスからはポリシーに指定されているリソースのみにアクセスできます。他のすべてのストレージアカウントへのアクセスは拒否されます。
サービスエンドポイントポリシーがサブネットに適用されると、Azure Storage の "サービスエンドポイントのスコープ" がリージョンからグローバル にアップグレードされます。このプロセスは、それ以降の Azure Storage へのすべてのトラフィックが、サービスエンドポイントを介してセキュリティで保護されることを意味します。サービスエンドポイントポリシーは、グローバルにも適用できます。明示的に許可されていないストレージアカウントは、アクセスが拒否されます。
サブネットには複数のポリシーを適用できます。サブネットに複数のポリシーが関連付けられている場合、これらのポリシーのいずれかで指定されているリソースへの仮想ネットワークトラフィックは許可されます。どのポリシーにも指定されていない、他のすべてのサービスリソースへのアクセスは拒否されます。

Note

サービスエンドポイントポリシーは 許可ポリシーのため、指定されたリソースを除いて、他のすべてのリソースが制限されます。ご利用のアプリケーションが持つすべてのサービスリソースの依存関係を明らかにして、ポリシーに列挙済みであることをご確認ください。

エンドポイントポリシーで指定できるのは、Azure Resource Model を使用するストレージアカウントのみです。従来の Azure Storage アカウントでは、Azure サービスエンドポイントポリシーがサポートされません。
プライマリアカウントがリストされている場合、RA-GRS のセカンダリアクセスが自動的に許可されます。
ストレージアカウントは、仮想ネットワークと同じサブスクリプションまたは別のサブスクリプションまたは Microsoft Entra テナントに存在できます。

シナリオ

ピアリングされているか、接続されているか、あるいは複数の仮想ネットワーク:ピアリングされた仮想ネットワーク内のトラフィックをフィルター処理するには、これらの仮想ネットワークに個別にエンドポイントポリシーを適用する必要があります。
ネットワークアプライアンスまたは Azure Firewall でのインターネットトラフィックのフィルター処理:ポリシーを使用してサービスエンドポイント経由の Azure サービストラフィックをフィルター処理し、残りのインターネットまたは Azure トラフィックはアプライアンスまたは Azure Firewall 経由でフィルター処理します。
仮想ネットワークにデプロイされている Azure サービスでのトラフィックのフィルター処理: 現時点では、ご利用の仮想ネットワークにデプロイされている Azure マネージドサービスのいずれに対しても、Azure サービスエンドポイントポリシーがサポートされていません。
オンプレミスから Azure サービスへのトラフィックのフィルター処理:サービスエンドポイントポリシーのみが、そのポリシーに関連付けられているサブネットからのトラフィックに適用されます。オンプレミスから特定の Azure サービスリソースへのアクセスを許可するには、ネットワーク仮想アプライアンスまたはファイアウォールを使用してトラフィックをフィルター処理する必要があります。

ロギングおよびトラブルシューティング

サービスエンドポイントポリシーでは、集中ログ記録を使用することはできません。サービスのリソースログについては、サービスエンドポイントのログ記録に関するページを参照してください。

トラブルシューティングのシナリオ

プレビューで動作していたストレージアカウントへのアクセスが拒否されました (geo ペアリージョンでは使用できません)
- グローバルサービスタグを使用できるように Azure Storage アップグレードすると、サービスエンドポイントのスコープとサービスエンドポイントのポリシーがグローバルになります。そのため、Azure Storage へのトラフィックはサービスエンドポイント経由で暗号化され、ポリシーに明示的に列挙されているストレージアカウントのみがアクセスを許可されます。
- アクセスの復元に必要なすべてのストレージアカウントを明示的に許可リストに追加します。
- Azure サポートに問い合わせます。
エンドポイントポリシーにリストされているアカウントに対するアクセスが拒否される
- ネットワークセキュリティグループまたはファイアウォールのフィルター処理でアクセスがブロックされている可能性があります
- ポリシーの削除または再適用によって接続が失われる場合:
  - エンドポイント経由の仮想ネットワークからのアクセスを許可するように Azure サービスが構成されているかどうか、またはリソースの既定のポリシーが [すべて許可] に設定されていることを確認します。
  - サービス診断でエンドポイント経由のトラフィックが表示されることを確認します。
  - ネットワークセキュリティグループのフローログにアクセスが表示されているかどうかと、ストレージログにサービスエンドポイント経由のアクセスが期待どおりに表示されることを確認します。
  - Azure サポートに問い合わせます。
サービスエンドポイントポリシーにリストされていないアカウントに対するアクセスが拒否される
- エンドポイント経由の仮想ネットワークからのアクセスを許可するように Azure Storage が構成されているかどうか、またはリソースの既定のポリシーが [すべて許可] に設定されているかどうかを確認します。
- アカウントが従来のストレージアカウントではなく、サブネット上にサービスエンドポイントポリシーがあることを確認します。
マネージド Azure サービスが、サブネット上でサービスエンドポイントポリシーを適用した後に動作を停止した場合
- 現在、サービスエンドポイントでは、Azure SQL Managed Instance 以外のマネージドサービスがサポートされていません。
サブネットでサービスエンドポイントポリシーを適用した後に動作が停止したマネージドストレージアカウントにアクセスする
- マネージドストレージアカウントは、サービスエンドポイントポリシーでサポートされていません。構成されている場合、ポリシーは既定ですべてのマネージドストレージアカウントへのアクセスを拒否します。アプリケーションからマネージドストレージアカウントにアクセスする必要がある場合は、エンドポイントポリシーをこのトラフィックに使用しないでください。

プロビジョニング

サービスエンドポイントポリシーは、仮想ネットワークへの書き込みアクセス権を持つユーザーがサブネット上で構成します。 Azure の組み込みロールと、特定のアクセス許可をカスタムロールに割り当てる方法の詳細をご覧ください。

仮想ネットワークと Azure Storage アカウントは、同じサブスクリプションでも異なるサブスクリプションでも、Microsoft Entra テナントでもかまいません。

制限事項

サービスエンドポイントポリシーをデプロイできるのは、Azure Resource Manager デプロイモデルを使ってデプロイされた仮想ネットワークのみとなります。
仮想ネットワークは、サービスエンドポイントポリシーと同じリージョンにある必要があります。
ポリシーにリストされている Azure サービスに対してサービスエンドポイントが構成されている場合、サービスエンドポイントポリシーはサブネット上でのみ適用できます。
オンプレミスネットワークから Azure サービスへのトラフィックに対して、サービスエンドポイントポリシーを使用することはできません。
現在、Azure SQL Managed Instance 以外の Azure マネージドサービスでは、エンドポイントポリシーがサポートされていません。この制限には、共有サブネット (例えば Azure Batch、Microsoft Entra Domain Services、Azure Application Gateway、Azure VPN Gateway、Azure Firewall など) または専用サブネット (例えば Azure App Service Environment、Azure Redis Cache、Azure API Management、クラシックマネージドサービスなど) にデプロイされるマネージドサービスが含まれます。

警告

Azure HDInsight など、仮想ネットワークにデプロイされている Azure サービスは、インフラストラクチャ要件のため、Azure Storage などのその他のサービスにアクセスします。特定のリソースにエンドポイントポリシーを制限すると、ご利用の仮想ネットワークにデプロイされている Azure サービス用のこれらのインフラストラクチャリソースへのアクセスが中断される可能性があります。

エンドポイントポリシーでは従来のストレージアカウントはサポートされていません。既定では、従来のすべてのストレージアカウントへのアクセスがポリシーで拒否されます。アプリケーションから Azure Resource Manager および従来のストレージアカウントにアクセスする必要がある場合は、このトラフィックに対してエンドポイントポリシーを使用しないでください。

料金と制限

サービスエンドポイントポリシーの使用に追加料金はかかりません。現時点では、Azure サービス (Azure Storage など) の現在の価格設定モデルは、サービスエンドポイントを介して適用されます。

サービスエンドポイントポリシーでは、次の制限が適用されます。

リソース	既定の制限
ServiceEndpointPoliciesPerSubscription	500
ServiceEndpointPoliciesPerSubnet	100
ServiceEndpointPoliciesPerVirtualNetwork	100
ServiceResourcesPerServiceEndpointPolicyDefinition	200

次の手順

仮想ネットワークサービスエンドポイントポリシーを構成する方法を学習する
仮想ネットワークサービスエンドポイントの詳細を確認する

Azure Storage の仮想ネットワーク サービス エンドポイント ポリシー