このガイドでは、サービスとしてのプラットフォーム (PaaS) サービス、コンテナー、およびマネージド データベースを採用しているお客様向けに、Azure ネットワーク設計ガイドを通じてシーケンスされた読み取りパスを提供します。 番号付きの手順に従って、最新のアプリケーション アーキテクチャをサポートする複数リージョンのセキュリティ層ネットワークを構築します。
Overview
プロジェクトの移行と最新化は、仮想マシンを超えて Azure ネイティブ サービスに移行します。コンテナーのAzure Kubernetes Service (AKS)、Web アプリケーションのAzure App Service、Azure SQL Database、Azure Cosmos DBマネージド データの場合は、グローバル トラフィック分散のAzure Front Door。 ネットワークでは、これらの PaaS サービスへのプライベート接続、マルチリージョンのアクティブ/アクティブデプロイ、およびアプリケーション層間の厳密なセキュリティ セグメント化をサポートする必要があります。
ターゲット アーキテクチャでは、2 つのAzure リージョンにまたがるデュアルハブ トポロジを使用します。 IT マネージド ハブ VNet は、Azure FirewallやVPN Gatewayなどの共有サービスをホストします。 アプリケーション チームは、スポーク VNet を所有し、PaaS 接続用に独自のPrivate Link サブネットを制御します。 トラフィックは、Azure Front DoorまたはAzure Traffic Manager経由で入り、ハブ ファイアウォール検査を通過し、分離されたスポークで実行されているアプリケーション サービスに到達します。
この読み取りパスでは、5 つのフェーズで 14 個の重要な記事を取り上げていきます。 最新のアーキテクチャでは、IaaS 専用設計で延期できるイングレス パターン、プライベート PaaS 接続、Web アプリケーション ファイアウォール、DDoS 保護に関する決定が必要であるため、パスはリフトアンドシフトよりも長くなります。 2 つのマイルストーン チェックポイントは、ワークロードですべてのコンポーネントが必要ない場合にスキップできるタイミングを特定するのに役立ちます。
前提条件
- 使用可能なサービスの向きについては、Azureネットワーク計画と設計の概要を参照してください。
- アプリケーションのターゲットとなる PaaS サービス (AKS、App Service、Azure SQL、Azure Cosmos DBなど) を把握します。
- デプロイが複数のAzure リージョン (アクティブ/アクティブまたはアクティブ/パッシブ) にまたがっているかを判断します。
- イングレス パターンを特定する: アプリケーションはパブリック Web トラフィック、モバイル API トラフィック、または内部専用トラフィックを処理しますか?
あなたの閲覧経路
フェーズ 1: 基礎
AKS ノード プール、App Service Environment (ASE) の委任されたサブネット、およびPrivate Linkサブネットのサブネットのサイズを設定します。 AKS Container Networking Interface (CNI) オーバーレイを使用する場合、ポッドの IP アドレスは別のオーバーレイ CIDR から取得され、VNet サブネット空間は使用されません。 サブネット アドレスが必要なのは、ノード IP だけです。 ポッドのスケールに合わせてオーバーレイ CIDR 範囲を計画し、サービスの種類ごとに専用サブネットを割り当てます。
2. IP アドレスの計画
アクティブ/アクティブデプロイ用に 2 つのリージョン間の IP 割り当てを計画します。 プライマリ リージョンとバックアップ リージョンには、VNet ピアリングとリージョン間レプリケーションをサポートする重複しないアドレス空間が必要です。 今後のスポークの追加に対応するために十分な範囲を割り当てます。
3. ネットワーク セキュリティ グループとアプリケーション セキュリティ グループ
ロード バランサーのトラフィックのみがアプリケーション サブネットに到達するように、厳密なセグメント化を設計します。 アプリケーション層への直接インターネット アクセスをブロックします。 アプリケーション セキュリティ グループ (ASG) を使用して、個々の IP アドレスではなくワークロード ロールに基づいてルールを適用します。
フェーズ 2: トポロジ
マルチリージョン用のデュアルハブ トポロジをデプロイします。 IT サブスクリプションはハブ VNet の両方を所有し、Azure Firewall、VPN Gateway、DNS フォワーダーなどの共有サービスを管理します。 アプリケーション チームは、スポーク VNet を所有し、割り当てられたアドレス空間内Private Linkサブネット、AKS クラスター、アプリケーション リソースを管理します。
プライマリ リージョンとバックアップ リージョン間でアクティブ/アクティブデプロイを設計します。 ハブ間のリージョン間の VNet ピアリングを構成し、フェールオーバー ルーティングを設定し、単一リージョンの障害を計画します。 両方のリージョンが同時にトラフィックを処理し、Azure Front Door が待機時間と正常性プローブに基づいてリクエストを振り分けます。
Note
マイルストーン: トポロジが完了しました。 デュアル ハブのマルチリージョン トポロジが整います。 インターネットに接続するエンドポイントがないアプリケーションが内部専用の場合は、手順 9 (送信インターネット アクセス) に進み、そこから続行できます。
スキップするもの: 手順 6 から 8 では、インターネットのイングレス、アプリケーションの配信とパフォーマンス、PaaS プライベート アクセスについて説明します。 ワークロードに公開エンドポイントがなく、Private Link要件がない場合、スキップは安全です。
大事な：内部専用アプリケーションであっても、プライベート エンドポイント経由で Azure SQL、Azure Storage、Azure Key Vault、またはその他の PaaS サービスに接続する場合、多くの場合、Private Link (手順 8) が必要になります。 アプリケーションでこれらのサービスのいずれかを使用する場合は、手順 9 に進む前に手順 8 を完了してください。
残りの記事: スキップ後の 6 つの記事 (手順 9 ~ 14) とスキップなしの 9 つの記事 (手順 6 ~ 14)。
フェーズ 3: 接続
6. インターネットからの受信
顧客向けのトラフィック パターンによって、アーキテクチャの外部形状が決まります。 グローバル負荷分散、キャッシュ、Web Application Firewall (WAF) を必要とする Web アプリケーションには、Azure Front Doorを使用します。 正常性プローブを使用した DNS ベースのルーティングで十分なモバイルまたは API アプリケーションには、Azure Traffic Managerを使用します。
アプリケーションの種類に基づいてAzure Front DoorとAzure Traffic Managerを選択します。 Web アプリケーションは、Front Door のレイヤー 7 機能 (TLS オフロード、キャッシュ、URL ベースのルーティング、統合 WAF) の恩恵を受けます。 モバイルおよび API バックエンドでは、オーバーヘッドが少ない DNS レベルのフェールオーバーに Traffic Manager が使用されます。
PaaS サービス接続用の各スポーク VNet にPrivate Linkサブネットを作成します。 アプリケーション チームは独自のプライベート エンドポイントを管理します。AKS は、Private Link経由でコンテナー イメージをプルし、Web アプリはプライベート エンドポイント経由でAzure SQLに接続し、PaaS トラフィックはパブリック インターネットを通過しません。 Private Link リソースのスポークごとにサブネットを専用にします。
Note
マイルストーン: 接続が完了しました。 イングレスとプライベート PaaS 接続が構成されている。
残りの手順: アウトバウンド エグレス (手順 9)、Azure Firewall (手順 10)、Web Application Firewall (手順 11)、DDoS 保護 (手順 12)、DNS セキュリティ (手順 13)、ネットワーク監視 (手順 14) の合計 6 本の記事です。
すべてのデプロイに不可欠:手順 9 から 10 (送信エグレスとAzure Firewall) は、最新化されたすべてのデプロイに適用されます。 ハブ ファイアウォールは、すべての送信トラフィックを制御し、ワークロードが公開されているか内部専用であるかに関係なく、一元的な検査を提供します。
パブリック エンドポイントのみ:手順 11 から 12 (WAF および DDoS 保護) は、アプリケーションがAzure Front Door、Application Gateway、またはパブリック Load Balancerを介して公開エンドポイントを公開する場合にのみ適用されます。 内部のみのワークロードでは、これら 2 つの記事をスキップし、手順 13 (DNS セキュリティ) に進むことができます。
ユーザー定義ルート (UDR) を使用して、スポークからのすべての送信トラフィックをハブ ファイアウォールにルーティングします。 ハブ ファイアウォールは、すべてのエグレスの送信元ネットワーク アドレス変換 (SNAT) ポイントとして機能します。 IT 部門はファイアウォール規則を一元的に管理するため、アプリケーション チームは送信制御をバイパスできません。
フェーズ 4: セキュリティ
10. Azure Firewall
ハブ VNet の両方のAzure Firewallを SNAT および宛先ネットワーク アドレス変換 (DNAT) ポイントとして構成します。 すべてのイングレス トラフィックは、アプリケーション層に到達する前にファイアウォールを通過します。 ファイアウォール ポリシーを使用して、スポークとインターネットへの南北トラフィックの間の東西トラフィックを制御します。
Web アプリケーションのAzure Front DoorまたはAzure Application Gatewayに WAF をデプロイします。 WAF は、Open Web Application Security Project (OWASP) の上位 10 件の脅威、SQL インジェクション、クロスサイト スクリプティング、およびその他の HTTP 層攻撃から保護します。 マネージド ルール セットを使用し、アプリケーションの特定のパターンのカスタム ルールを追加します。
12. DDoS 保護
すべてのパブリック IP リソースAzure DDoS Protection を有効にします。 DDoS Protection は、常時オンのトラフィック監視、自動攻撃の軽減、コスト保護の保証を提供します。 DDoS Protection と WAF を組み合わせて、帯域幅消費型攻撃やアプリケーション層攻撃に対する多層防御を行います。
Azure Front Doorまたは Traffic Manager エンドポイントを指す CNAME レコードを使用して、顧客向けドメインのパブリック DNS ゾーンを構成します。 承認されたチームのみがレコードを変更できるように、Role-Based ACCESS CONTROL (RBAC) を DNS ゾーンに適用します。 暗号化の検証を必要とするゾーンに対して DNS セキュリティ拡張機能 (DNSSEC) を有効にします。
フェーズ 5: 操作
14. ネットワーク監視と可観測性
運用環境の準備には、1 日目からの監視が必要です。 接続診断のAzure Network Watcher、待機時間の追跡用のネットワーク パフォーマンス モニター、トラフィック分析のフロー ログを有効にします。 アプリケーション チームは、独自の AKS および ASE ワークロードを監視します。 プラットフォーム チームは、ハブ インフラストラクチャとリージョン間接続を監視します。
条件付き記事
特定の要件に基づいて、次の記事を含めます。
| 状態 | 記事 | 含めるタイミング |
|---|---|---|
| ハイブリッド共存 | ハイブリッド接続 | 最新化されたアプリケーションは、移行期間中にオンプレミス システムと共存する必要があります |
| 必要な VM 管理者アクセス | 開発者と管理者のアクセス | 資産には、PaaS ワークロードと共に安全な RDP/SSH アクセスを必要とする VM が含まれています |
| 大規模な管理資産 | 一元化されたネットワーク管理 | 一元化されたポリシーの適用を必要とするマルチサブスクリプションのマルチチーム VNet 資産を管理する |
| クロス クラウド | リージョン間接続とマルチクラウド接続 | アーキテクチャでは、マルチリージョン ネットワークが提供する以上の明示的なリージョン間プライベート接続が必要です |
| 非常に小さいワークロード | フラット ネットワーク トポロジ | ハブアンドスポーク トポロジの複雑さを正当化しない単一のワークロードがある |
まとめ
この読み取りパスに従うことで、PaaS ワークロード用のマルチリージョンのセキュリティ層ネットワーク アーキテクチャを設計しました。 設計には、IT マネージド共有サービスを使用したデュアルハブ トポロジ、Azure Front DoorまたはAzure Traffic Managerを使用したアクティブ/アクティブマルチリージョン、PaaS サービスのPrivate Link接続、すべてのトラフィック フローの一元化されたファイアウォール検査、パブリック エンドポイントの WAF と DDoS 保護、RBAC と DNSSEC を使用した DNS が含まれます。 このアーキテクチャは、一元化されたセキュリティ ガバナンスを維持しながら、最新のアプリケーション パターンをサポートします。
検証チェックリスト
このチェックリストを使用して、最新化のネットワーク設計が完了することを確認します。
- プライマリ リージョンとバックアップ リージョンにデプロイされたデュアルハブ トポロジ。
- リージョンと将来のスポークの両方に割り当てられた重複しないアドレス空間。
- ワークロードが公開されている場合は、グローバルイングレス用に構成されたAzure Front DoorまたはAzure Traffic Manager。
- PaaS の依存関係をホストする各スポーク VNet で、Private Link 用にプロビジョニングされたサブネット。
- ユーザー定義ルートは、ハブ ファイアウォールを介してスポークエグレス トラフィックを送信します。
- Azure Firewall は、イングレス、東西、およびアウトバウンドのトラフィック検査のために、2 つのハブ VNet の両方にデプロイされています。
- パブリック Web エンドポイントに適用される WAF ポリシー (該当する場合)。
- パブリック IP リソースで有効になっている DDoS Protection (該当する場合)。
- プライベート エンドポイント用に構成された DNS ゾーンとプライベート DNS 解決。
- Network Watcher、フロー ログ、リージョン間接続の監視が有効になっています。
次のステップ
- リフト アンド シフト ネットワーク パス: より簡単な移行パスを必要とする IaaS ワークロードがある場合
- クロスクラウド ネットワーク パス: 環境がアマゾン ウェブ サービス (AWS) または Google Cloud に接続している場合
- 設計フェーズの概要: Azureネットワーク設計の一般的なフェーズ ベースの概要
- Azure ネットワーク計画と設計の概要: 使用可能なすべてのサービスの機能ベースの探索用