Azure App Configuration Azureのネットワーク セキュリティ オファリングと統合され、構成データを保護するネットワーク セキュリティ ポリシーを適用できます。 App Configuration ストアがパブリック インターネットと通信する機能を制限または無効にしたり、プライベート エンドポイントを介して仮想ネットワークからプライベート アクセスを有効にしたりできます。
パブリック ネットワーク アクセスを制限または無効にする
既定では、App Configuration ストアには、有効な資格情報を持つ任意のクライアントがパブリック インターネット経由でアクセスできます。 パブリック ネットワーク アクセスを制限または完全に無効にするには、次の 2 つの方法があります。
- ストアのパブリック ネットワーク アクセス設定。 パブリック ネットワーク アクセス設定は、ストアがパブリック インターネットと通信する方法を制御します。 パブリック インターネットからのアクセスが許可されていない場合、クライアントはプライベート エンドポイントを使用して接続する必要があります。 詳細については、「 Azure App Configuration のプライベート エンドポイントを使用する」を参照してください。
- ネットワーク セキュリティ境界との関連付け。 ネットワーク セキュリティ境界は、特定のクライアントからのトラフィック (IP アドレス、Azure サブスクリプション、または境界メンバーシップ) を許可しながら、他のすべてのパブリック トラフィックをブロックできるセキュリティ境界です。 また、ストアからの送信トラフィックを制御し、データ流出を防ぎます。 詳細については、Azure App Configuration のネットワーク セキュリティ境界を参照してください。
Important
App Configuration ストアが 強制 アクセス モードでネットワーク セキュリティ境界に関連付けられている場合、パブリック ネットワーク アクセスはネットワーク セキュリティ境界によって完全に管理され、ストアのパブリック ネットワーク アクセス設定は無視されます。 詳細については、「 ネットワーク セキュリティ境界への新しいリソースの移動」を参照してください。
プライベート エンドポイント経由のプライベート アクセス
クライアントは、プライベート エンドポイントを使用して、仮想ネットワークからプライベートに App Configuration ストアにアクセスできます。 プライベート エンドポイントは、パブリック インターネットにトラフィックを公開することなく、仮想ネットワーク内のクライアントを Microsoft バックボーン ネットワーク経由で App Configuration ストアに接続する、Azure Private Linkを利用したネットワーク インターフェイスです。
プライベート エンドポイントは、パブリック ネットワーク アクセスまたはネットワーク セキュリティ境界を構成する方法とは別に機能するため、パブリック ネットワーク アクセス設定またはネットワーク セキュリティ境界と組み合わせて多層防御を行うことができます。
詳細については、「
パブリック ネットワークのアクセス設定
App Configuration ストアのパブリック ネットワーク アクセス設定は、ストアがパブリック インターネット経由で通信する方法を制御します。 次のいずれかの値を取ることができます。
- 自動: 受信パブリック ネットワーク アクセスは、ストアのプライベート エンドポイントを作成するまで有効になります。 プライベート エンドポイントが存在すると、受信パブリック ネットワーク アクセスは自動的に無効になります。 アウトバウンド パブリック ネットワーク アクセスは許可されています。 このオプションは、ストアの作成時にのみ選択できます。
- 有効: すべてのネットワークがパブリック インターネット経由でストアにアクセスできます。 アウトバウンド パブリック ネットワーク アクセスは許可されています。
- 無効: 受信パブリック ネットワーク アクセスは無効です。 ストアには、プライベート エンドポイント経由でのみアクセスできます。 アウトバウンド パブリック ネットワーク アクセスは許可されています。
- 境界で保護: パブリック ネットワークからの受信アクセスは無効になっています。 プライベート エンドポイントからのトラフィック、または関連付けられているネットワーク セキュリティ境界によって許可されるトラフィックのみがストアにアクセスできます。 送信パブリック ネットワーク アクセスは、関連付けられたネットワーク セキュリティ境界によって管理されるか、境界が関連付けられていない場合は拒否されます。
前述のように、ストアが強制アクセス モードのネットワーク セキュリティ境界に関連付けられている場合、この設定は無視されます。
この設定を変更する手順については、Azure App Configuration でパブリック アクセスを無効にするを参照してください。