Azure Virtual Network Manager は、複数のサブスクリプションにまたがる仮想ネットワークを大規模にグループ化、構成、デプロイ、管理します。 各仮想ネットワークを個別に構成する代わりに、管理意図を一元的に定義し、Azure Virtual Network Manager環境全体で一貫して適用します。 Azure Virtual Network Manager インスタンスのスコープを管理グループまたはサブスクリプションに設定し、そのスコープ内のすべての仮想ネットワークを 1 つのコントロール プレーンで管理します。
この記事では、ネットワーク グループ、接続構成、セキュリティ管理者ルール、IP アドレス管理 (IPAM) という 4 つのAzure Virtual Network Managerの主要な機能について説明します。 また、それらを組み合わせて使用してネットワーク トポロジを管理し、セキュリティ ベースラインを適用し、組織全体の IP アドレスの競合を防ぐ方法についても説明します。
この記事の内容
この記事では、Azure Virtual Network Managerを使用した一元化されたネットワーク ガバナンスについて説明します。 以下について学習します。
- 仮想ネットワークを静的メンバーシップまたは動的メンバーシップ別に整理するネットワーク グループ。
- ハブ スポークトポロジとメッシュ トポロジを自動化する接続構成。
- 組織全体のセキュリティ ポリシーを適用し、NSG 規則よりも優先されるセキュリティ管理者ルール。
- サブスクリプション間で重複しない IP アドレス範囲を割り当てる IPAM。
- 構成を有効にするタイミングを制御するコミットおよびデプロイ モデル。
- Azure Virtual Network Managerが環境に適した管理アプローチであるタイミングを決定する方法。
この記事が必要なユーザー
組織に次の要件が 1 つ以上ある場合は、Azure Virtual Network Managerを使用します。
- 手動管理を超えたスケーリング: 10 を超える仮想ネットワークを管理し、各仮想ネットワークを個別に構成するのではなく、ピアリング、トポロジの変更、セキュリティ ベースラインを自動化する必要があります。
- 一貫性のあるセキュリティ ポリシー: 危険度の高いポートのブロックやファイアウォール経由のトラフィック フローの管理など、ローカル チームがオーバーライドできない組織全体のセキュリティ規則を適用する必要があります。
- サブスクリプション間のガバナンス: 仮想ネットワークは複数のサブスクリプションまたは管理グループにまたがるので、ネットワーク トポロジと IP アドレスの使用状況を一元的に把握する必要があります。
- IP アドレスの競合防止: Teams は個別に仮想ネットワークを作成し、重複しないアドレス空間を保証する中央の割り当てメカニズムが必要です。
- トポロジの自動メンテナンス: 新しい仮想ネットワークは頻繁にデプロイし、手動ピアリングなしで正しいトポロジ (ハブスポークまたはメッシュ) に自動的に参加させる必要があります。
1 つのサブスクリプションに仮想ネットワークが 10 個未満の組織では、通常、ピアリング、NSG ルール、および IP アドレスを手動で管理できます。 これらの環境では、通常、集中管理ツールの複雑さが増す必要はありません。
リフトアンドシフトフォーカス: 小規模なリホスト プロジェクトでは、ピアリングと NSG を手動で管理できます。 移行された資産が約 10 の仮想ネットワークを超えて成長したら、AVNM を採用します。
フォーカスを最新化する: アクティブ/アクティブ PaaS ワークロードをスケーリングするときに、AVNM を使用して、多くのスポークとサブスクリプションに一貫した接続とセキュリティ構成を適用します。
クラウド間のフォーカス:AVNM を使用して、他のクラウドとブランチに接続するAzureフットプリント全体に一貫したネットワーク グループとセキュリティ管理者ルールを適用します。
Azure Virtual Network Manager機能
Azure Virtual Network Managerには、一元化されたネットワーク ガバナンスを実現するために連携する 4 つの機能が用意されています。
ネットワーク グループ
ネットワーク グループは、ポリシー アプリケーション用の仮想ネットワークを整理する論理コンテナーです。 グループに属する仮想ネットワークを定義します。 その後、構成 (接続またはセキュリティ) をグループ全体に一度に適用します。
ネットワーク グループでは、次の 2 つのメンバーシップ方法がサポートされています。
| Method | どのように機能するのか | 最適な用途 |
|---|---|---|
| 静的メンバーシップ | 個々の仮想ネットワーク リソース ID を手動で追加します。 変更はすぐに有効になります。 | 小規模な環境、例外、またはパイロット展開 |
| 動的メンバーシップ | Azure Policyは条件 (名前パターン、タグ、サブスクリプション、またはリソース グループ) を評価し、仮想ネットワークを自動的に追加または削除します。
Microsoft.Network.Dataポリシー モードをaddToNetworkGroup効果で使用します。 |
仮想ネットワークが頻繁に作成および削除される大規模な環境 |
両方のメソッドを 1 つのネットワーク グループに結合します。 Azure Policyは継続的に条件を評価し、メンバーシップを更新するため、仮想ネットワークがグループに参加または脱退するときに動的メンバーシップを再デプロイする必要はありません。
Note
動的メンバーシップ ポリシーは、Azure Virtual Network Manager インスタンスを削除した場合でも、Azure Policyに保持されます。 孤立したポリシー割り当てを防ぐため、これらのポリシーを手動で削除してください。
接続の構成
接続構成では、仮想ネットワークのグループのネットワーク トポロジを定義します。 Azure Virtual Network Managerでは、次の 2 つのトポロジがサポートされています。
- ハブアンドスポーク トポロジ: 中央ハブ仮想ネットワークは、グループ内のすべてのスポーク仮想ネットワークに接続します。 スポーク間のトラフィックは、既定でハブを経由します。 必要に応じてスポーク間の直接接続を有効にすることができます。これにより、スポーク グループ内にメッシュが作成され、スポーク間トラフィックのハブ ホップが削除されます。 ハブは、VPN および ExpressRoute 転送のゲートウェイとして機能できます。
- メッシュ トポロジ: グループ内のすべての仮想ネットワークは、中央ハブなしで双方向に接続します。 Azure Virtual Network Managerは、(従来のピアリングではなく) 接続されたグループを使用してメッシュ接続を確立します。 リージョン メッシュは、リージョン内の仮想ネットワークを接続します。 グローバル メッシュは、リージョン間で接続を拡張します。
リージョンに複数の接続構成を同時にデプロイします。 これらは加法です。 移行中に現在の接続を中断することなく、既存の手動ピアリングを再利用することもできます。
セキュリティ管理規則
セキュリティ管理者ルールは、ネットワーク セキュリティ グループ (NSG) 規則よりも優先される組織全体のセキュリティ適用を提供します。 これらのルールは一元的に定義します。 Azure Virtual Network Managerターゲット ネットワーク グループ内のすべての仮想ネットワークに適用されます。
Azure Virtual Network Managerは、NSG ルールの前にセキュリティ管理者ルールを評価します。 動作は、アクションの種類によって異なります。
| アクション | 評価動作 | 利用シーン |
|---|---|---|
| Deny | トラフィックをすぐにブロックします。 NSG ルールは評価されません。 | 組織全体のブロックを適用する (たとえば、インターネットからの受信 SSH をブロックする) |
| 常に許可 | トラフィックをすぐに許可します。 NSG ルールは評価されません。 | ローカル NSG 構成に関係なく、重要な管理トラフィックへのアクセスを保証する |
| 許可 | トラフィックを NSG の評価に送ります。 NSG は引き続きトラフィックを拒否できます。 | チームが追加の制限を適用できるようにしながら、トラフィック カテゴリを許可する |
セキュリティ管理者ルールでは、優先度の範囲として 1 ~ 4,096 を使用します (数値が小さい方が優先度が高くなります)。 ネットワーク マネージャー インスタンスごとに、リージョンごとにアクティブにできるセキュリティ管理者構成は 1 つだけです。
Important
セキュリティ管理者ルールは、マネージド仮想ネットワーク内のプライベート エンドポイントには適用されません。 また、Azure Application Gateway、Azure Bastion、Azure Firewall、Azure Route Server、VPN Gateway、Virtual WAN、ExpressRoute ゲートウェイのサブネットなど、特定のサブネットも除外されます.
セキュリティ管理者ルールでは、最終的な整合性モデルが使用されます。スコープ内で新しく作成されたリソースにルールが適用される前に、短い遅延が発生します。
IP アドレス管理 (IPAM)
IPAM は、一元化された IP アドレスの計画と割り当てを提供します。 アドレス プールを作成し、重複しない CIDR ブロックAzure Virtual Network Manager自動的に仮想ネットワークに割り当てます。 この方法により、チームが個別にアドレスを割り当てるときに発生するアドレス空間の競合を防ぐことができます。 ユーザーは、アドレス空間を直接割り当てる場合など、IPAM プール割り当ての外部で仮想ネットワークを作成または変更できます。 このような場合は、Azure Policyを使用して IPAM コンプライアンスを適用し、未承認のアドレス割り当てを防ぐことができます。
主な IPAM 機能:
- 階層プール: 組織構造用のルート プールと最大 7 層の子プールを作成します (リージョン、部署、環境など)。
- 重複しない自動割り当て: 仮想ネットワークがプールからアドレス範囲を要求する場合、IPAM では、同じプール階層内の他の割り当てとの重複が保証されません。
- IPv4 と IPv6 のサポート: 統合された割り当てモデルで両方のアドレス ファミリを管理します。
- リージョン間プール: 1 つのプールで、複数のリージョンの仮想ネットワークにアドレスを割り当てることができます。
- リリースされた CIDR リサイクル: リソースを削除すると、その割り当てられた CIDR が再利用のためにプールに戻ります。
- 委任可能なアクセス許可: プール定義を管理せずにアドレスを利用する必要があるチームに、IPAM プール ユーザー ロールを付与します。
IPAM は、接続機能またはセキュリティ機能を有効にしているかどうかに関係なく、Azure Virtual Network Manager インスタンスで常に使用できます。
管理アプローチを選択する方法
次の決定基準を使用して、Azure Virtual Network Managerが環境に適しているかどうかを判断します。
| 環境のスケール | 推奨される方法 |
|---|---|
| 1 つのサブスクリプションの VNet が 10 個未満 | 手動管理: ピアリング、NSG、および IP アドレスを個別に構成する |
| サブスクリプション全体で 10 ~ 50 個の VNet | トポロジの自動化のための接続構成とネットワーク グループを使用したAzure Virtual Network Manager |
| 管理グループ全体で 50 以上の VNet | 完全なAzure Virtual Network Manager: 4 つすべての機能 (ネットワーク グループ、接続、セキュリティ管理者ルール、および IPAM) |
| スケールに関係なく必要なセキュリティ ガバナンス | NSG だけではローカルオーバーライドに対する十分な保護が提供されない場合にセキュリティ管理者ルールを追加する |
Azure Virtual Network Manager を使用する場合と使用しない場合
| 管理領域 | AVNM なし | AVNM を使用する |
|---|---|---|
| ピアリング | VNet ペアごとに双方向ピアリングを手動で作成する | 接続構成により、グループ全体のピアリングが自動化されます |
| トポロジの変更 | トポロジが変更されたときに各ピアリングを個別に更新する | 構成を変更し、再デプロイします。 グループ内のすべての VNet が更新されます。 |
| セキュリティ ベースライン | サブネットごとに NSG ルールを適用する。ローカル管理者が変更または削除できる | セキュリティ管理者ルールを一元的に適用し、オーバーライドすることはできません (拒否/常に許可) |
| IP アドレスの計画 | スプレッドシートまたは手動追跡を使用する。重複のリスク | 重複しない CIDR の自動割り当てで IPAM プールを使用する |
| 新しい VNet の導入 | ピアリングを手動で作成し、NSG を適用し、IP を割り当てる | 動的メンバーシップは、VNet をグループに自動的に追加します。構成は次のデプロイに適用されます |
| サブスクリプション間の可視性 | サブスクリプションごとのビューに制限 | スコープ内のすべての VNet の統合ビュー (管理グループまたはサブスクリプション) |
設計上の考慮事項
AVNMのリフト＆シフト設計の重点
- (1 つのサブスクリプションで約 10 個の仮想ネットワークの下にある) 小規模な再ホスト資産の場合、通常は手動ピアリングと NSG 管理で十分です。
- 移行ウェーブがそのしきい値を超えると AVNM を採用するため、新しいスポークは手動ピアリングではなくハブ トポロジに自動的に参加します。
- AVNM IP アドレス管理を使用して、ランディング ゾーン CIDR からサブネットを切り開く際の割り当てを追跡します。
- AVNM セキュリティ管理者ルールを段階的に導入して、既存のサブネットごとの NSG と競合しないように補完します。
AVNM の設計フォーカスを最新化する
- AVNM ネットワーク グループと接続構成を使用して、最新化された多くのスポークにハブ アンド スポークまたはメッシュ トポロジを一貫して適用します。
- ハブ ファイアウォールを通過するトラフィックを保証するために、組織全体のセキュリティ管理者ルール (どのアプリ チームがオーバーライドできない) を適用します。
- 動的グループ メンバーシップをサブスクリプションと RBAC の分離と組み合わせて、新しいアプリ チーム スポークがプラットフォーム ポリシーを自動的に継承できるようにします。
- IPAM プールを使用して、プライマリ リージョンとバックアップ リージョン間で重複しないアドレス空間を保証します。
クロスクラウド AVNM の設計上の重点
- AVNM を使用して、クラウドとブランチを相互接続するAzure ネットワーク全体のトポロジと IP 使用状況の統一されたビューを維持します。
- セキュリティ管理者ルールを一元的に適用して、クロスクラウドとブランチのトラフィックが検査対象のハブを通じて一貫してルーティングされるようにします。
- IPAM を使用して、AZUREアドレス空間をすべてのリージョンにわたって AWS VPC および Google Cloud ネットワークと重複しないようにします。
- クラウド移行中に追加する新しいAzureリージョンが適切なVirtual WANまたはハブ設計に参加するように、トポロジ メンバーシップを自動化します。
前提条件
Azure Virtual Network Managerをデプロイする前に、次の手順を実行します。
- スコープの選択:管理グループまたはサブスクリプションをスコープとしたAzure Virtual Network Manager インスタンスを作成します。 スコープは、インスタンスが管理できるリソースの境界を定義します。 管理グループを選択すると、すべての子サブスクリプションが自動的に含まれます。
- アクセス 許可：適切なスコープ (管理グループまたはサブスクリプション) のネットワーク共同作成者ロールを、Azure Virtual Network Manager構成を管理するユーザーに割り当てます。
- リージョンのサポート:ターゲット仮想ネットワークが、Azure Virtual Network Managerをサポートするリージョンにあることを確認します。
- デプロイ ワークフロー: コミットおよびデプロイ モデルを理解する: 構成は、ターゲット リージョンに明示的にデプロイするまで有効になりません。 デプロイするときは、そのリージョンに必要なすべての構成を含めます。 デプロイでは、明示的に含まれる構成のみがアクティブなままの目標状態モデルが使用されます。
- 競合回避:同じ機能を管理するスコープが重複する複数のAzure Virtual Network Manager インスタンスを作成しないでください。 競合が発生した場合は、より高いスコープのネットワーク マネージャーが優先されます。
Note
コミットアンドデプロイ モデルは、安全メカニズムを提供します。 構成の変更を確認し、ネットワーク検証ツールを使用して検証し、準備ができたらデプロイします。 ネットワーク マネージャーのリージョンで障害が発生した場合、既にデプロイされている構成はターゲット仮想ネットワークで引き続き有効になります。
セキュリティに関する考慮事項
セキュリティ管理者ルールは、中央ネットワーク ガバナンスとローカル ワークロード チームの間で職務の分離を作成します。
- 既定で適用されるモデル: 拒否ルールを使用して、ワークロードの要件に関係なく、許可しないトラフィックをブロックします。 一般的な例としては、インターネットからの受信 RDP または SSH のブロックや、既知の悪意のある IP 範囲へのトラフィックのブロックなどがあります。
- 保証されたアクセス パス:Always Allow ルールを使用して、ローカル NSG の構成ミスによってブロックされた場合でも、重要な管理トラフィック (Azure プラットフォーム正常性プローブや監視エージェントなど) がリソースに到達することを確認します。
- 多層防御: トラフィック クラスを許可するが、ワークロード チームが特定の要件に基づいて追加の NSG 制限を適用できるようにするトラフィック カテゴリの許可ルールを使用します。
- 監査証跡: Azureは、すべてのセキュリティ管理者ルールのデプロイをリソース操作としてログに記録します。 Azureアクティビティ ログを使用して、デプロイ履歴と構成の変更を確認します。
- デプロイの検証:ネットワーク検証ツールを使用して、運用環境に構成変更をデプロイする前に、Azure Virtual Network Manager スコープ内のリソース間の接続を検証します。
関連資料
- ハブスポーク ネットワーク トポロジ: Azure Virtual Network Managerはハブスポーク ピアリングを自動化し、トランジット接続のゲートウェイとしてハブをサポートします。
- Virtual WAN ネットワーク トポロジ: Azure Virtual Network Managerは、Azure Virtual WANよりもカスタム ハブスポークを好む組織に代わる手段を提供します。
- IP アドレス計画: IPAM は、サブスクリプション間で重複しない自動割り当てにより、一元化された IP 計画を拡張します。
- ネットワーク セキュリティ グループと ASG: セキュリティ管理者ルールは、ネットワーク セキュリティ グループ規則よりも優先される組織全体のセキュリティ ベースラインを適用します。
- ネットワークの監視と監視: 一元管理と、仮想ネットワーク資産全体の一元的な監視を組み合わせてください。
詳細情報
次のステップ
Tip
あなた自身で探検? 概要ナビゲーターに戻り、機能別に次の記事を見つけます。
リフト アンド シフト ネットワーク パスを完了しました。 Azure ネットワークは完全に設計され、セキュリティで保護され、管理されています。
概要に戻る: 他の機能を調べる、別のシナリオを確認する、または特定のサービスの詳細を確認します。
モダナイゼーション ネットワーキング パスを完了しました。 Azure ネットワークは完全に設計され、セキュリティで保護され、管理されています。
概要に戻る: 他の機能を調べる、別のシナリオを確認する、または特定のサービスの詳細を確認します。
クロスクラウド ネットワーク パスを完了しました。 Azure ネットワークは完全に設計され、セキュリティで保護され、管理されています。
概要に戻る: 他の機能を調べる、別のシナリオを確認する、または特定のサービスの詳細を確認します。