ネットワーク監視と可観測性

この記事では、Network Watcher ツール、フローログ、Traffic Analytics、Azure Monitor Network Insights を使用して、Azureネットワークリソースを監視、診断、トラブルシューティングする方法について説明します。このガイダンスを使用して、トラフィックパターン、接続の正常性、セキュリティイベントを可視化するネットワーク監視戦略を計画します。

この記事の内容

Azureでのネットワーク監視は、診断、フローの可視性、接続テスト、運用ダッシュボードにまたがっています。 Azureには、監視スタックのさまざまなレイヤーで専用のツールが用意されています。

診断とトラブルシューティング: 特定のパケットが許可または拒否される理由を特定し、パケットが受け取るルートをトレースし、詳細な分析のためにトラフィックをキャプチャします。
フローの可視性: セキュリティ調査、コンプライアンス、容量計画のために、仮想ネットワーク全体のすべてのネットワークフローに関するメタデータを記録します。
接続の監視:エンドポイント (Azure、オンプレミス、および外部) 間の到達可能性を継続的にテストし、接続が低下したときにアラートを生成します。
運用ダッシュボード: エージェントをデプロイせずに、サブスクリプション全体のネットワークトポロジ、正常性、メトリックを視覚化します。

この記事では、各レイヤーに対応し、環境に適した組み合わせを選択するのに役立つツールについて説明します。

この記事が必要なユーザー

これらの条件の 1 つ以上が該当する場合は、この記事をお読みください。

Azureでは、ネットワークトラフィック、接続の正常性、ルーティングの決定、またはセキュリティイベントを可視化する必要があります。
パケットフィルタリング、次ホップ、トンネルの正常性、または予期しない接続エラーのトラブルシューティングを行うツールが必要です。
セキュリティ調査、容量計画、または運用のために、フローログ、トラフィック分析、またはダッシュボードが必要です。
Azure、オンプレミス、またはクラウド間のネットワークパスを継続的に監視する必要があります。

Tip

シナリオパスに従っていますか? カスタマイズされたガイダンスについては、ページの上部にあるシナリオを選択してください。以下の主要なガイダンスは、すべての読者に適用されます。

リフトアンドシフトフォーカス: 移行ベースラインを確立した後に監視を設定します。接続が期待どおりに動作し、パフォーマンスが要件を満たし、トラフィックパターンが移行前のドキュメントと一致することを検証するには、ネットワークの可観測性が必要です。 Network Watcherでは、移行されたワークロードが依存関係に到達できるかどうかをすぐに把握できます。

モダナイゼーションの焦点: 監視は後付けではなく、目標とする設計の一部です。運用環境の準備には、1 日目からのネットワークの可観測性が必要です。 AKS および App Service Environment (ASE) ワークロードでは、複数のスポーク、リージョン、プライベートエンドポイント間で複雑なトラフィックパターンが生成され、事前に監視する必要があります。

クラウド間のフォーカス: クラウド間資産のトラブルシューティングは運用上困難であるため、監視は不可欠です。トラフィックがAzureと AWS または Google Cloud の間で暗号化された VPN トンネルを通過すると、トンネル境界での可視性が失われます。クラウド境界を越えて待機時間の増加、パケット損失、接続エラーを検出するには、Azure側の監視ツールが必要です。

Azureサービスと機能

次の表では、Azure ネットワークで使用できる主要な監視ツールと診断ツールについて説明します。

ツール	提供される内容	いつ使用するか
ネットワークウォッチャー	Azure仮想ネットワークの診断、監視、およびログ記録機能を提供するプラットフォームサービス。仮想ネットワークを作成するときに、リージョンごとに自動的に有効になります。	ネットワークのトラブルシューティングの開始点。リアルタイム診断には、IP フロー検証、次ホップ、パケットキャプチャを使用します。
VNet フローログ	仮想ネットワークを通過するすべてのトラフィックのメタデータ (送信元、宛先、ポート、プロトコル、アクション) を記録します。 NSG 規則とAzure Virtual Network Managerセキュリティ管理者ルールの両方を評価します。	セキュリティ調査、コンプライアンス監査、容量計画のために、すべての運用仮想ネットワークで有効にします。 NSG フローログに代わるものです。
NSG フローログ (廃止)	サブネットまたは NIC レベルでネットワークセキュリティグループによって行われたトラフィックの決定を記録します。	レガシーデプロイの場合のみ。 2027 年 9 月 30 日より前に VNet フローログに移行します。 2025 年 6 月 30 日以降、新しい NSG フローログは作成できません。
Traffic Analytics	Log Analytics ワークスペース内のフローログデータを集計して視覚化します。トラフィックパターン、トップトーカー、オープンポート、地理的フロー分布を示します。	カスタムクエリを記述することなく、フローログデータから運用上の可視性を得ることができます。ネットワーク全体の異常とセキュリティリスクを特定します。
接続モニター	TCP、ICMP、または HTTP プローブを使用して、ソースエンドポイントと宛先エンドポイント間の接続を継続的にテストします。 AZURE VM、オンプレミスホスト (Azure Arc 経由)、および外部 URL をサポートします。	ハイブリッド接続の SLA コンプライアンスを監視し、接続の回帰を検出し、ファイアウォール規則で予想されるトラフィックが許可されていることを検証します。
パケットキャプチャ	VM へのアクセスを必要とせずに、仮想マシンとの間でパケットをキャプチャします。キャプチャをストレージアカウントまたは VM 上のローカルに格納します。	セキュリティ調査中、またはアプリケーション層の接続の問題を診断するときのディープパケット分析。
IP フロー検証	5 タプル (送信元 IP、宛先 IP、送信元ポート、宛先ポート、プロトコル) の NSG 規則と AVNM セキュリティ管理者ルールを評価して、特定のパケットが許可または拒否されるかどうかをテストします。	VM が宛先に到達できない理由、またはトラフィックが予期せずブロックされる理由をトラブルシューティングします。パケットキャプチャなしですぐに結果を取得します。
ネクストホップ	特定のネットワークインターフェイスから出るトラフィックの次ホップの種類と IP アドレスを示します。ユーザー定義ルート、BGP ルート、システムルートなど、有効なルートを評価します。	非対称ルーティングを診断し、トラフィックが予想されるネットワーク仮想アプライアンスを通過することを確認するか、トラフィックがドロップされる理由を特定します。
Azure Monitor Network Insights	エージェントのインストールや追加の構成を必要とせずに、デプロイされたすべてのネットワークリソースの完全なトポロジビューと正常性メトリックを提供します。	サブスクリプション、リソースグループ、リージョン間のリソースの正常性、メトリック、依存関係を示す運用ダッシュボード。

選択する方法

トラブルシューティングのNetwork Watcherから始める

Network Watcher は、接続の問題を診断する際にまず確認すべき場所です。仮想ネットワークがあるすべてのリージョンで自動的に有効になります。追加のセットアップは必要ありません。

トラブルシューティングを行う場合は、次の方法を使用します。

IP フロー検証: トラフィックが許可または拒否されているかどうかを確認し、その決定を担当するルールを見つけます。このツールは、NSG 規則と Azure Virtual Network Manager (AVNM) セキュリティ管理者ルールに対してテストします。
次ホップ: ルーティングパスを確認し、トラフィックが目的の次ホップ (インターネット、仮想ネットワークゲートウェイ、NVA、またはなし) に到達するかどうかを特定します。
パケットキャプチャ: IP フロー検証と次ホップで問題が明らかでない場合は、プロトコルレベルの分析のためにパケットをキャプチャします。

フローログを使用して可視性を構築する

診断機能を確立したら、フローログを有効にして、継続的な可視性を実現します。

すべての運用仮想ネットワークで VNet フローログを有効にします。 VNet フローログは仮想ネットワーク全体のトラフィックを記録するため、複数の NSG レベルでログ記録を構成する必要はありません。この方法では、レコードの重複も回避されます。
Traffic Analytics を有効に して、フローデータをダッシュボードに集約できます。 Traffic Analytics には、Log Analytics ワークスペースが必要です。追加のデータ転送料金を発生させることなく、サポートされている任意のリージョンでワークスペースを使用します。
コンプライアンス要件に基づいてアイテム保持ポリシーを設定します。 Azure Storageに格納されているフローログレコードは、ストレージアカウントのライフサイクル管理ポリシーに従います。

SLA クリティカルパスの継続的な監視を追加する

ダウンタイムがビジネスに影響を与える接続の場合:

Azure VM、オンプレミスエンドポイント、および外部 URL の間に接続モニターテストをデプロイします。
待機時間、パケット損失、または到達可能性のしきい値を超えたときにトリガーするようにアラートを構成します。
Network Insights は、 追加のエージェントをデプロイすることなく、ネットワーク全体の正常性メトリックを関連付けるトポロジビューに使用します。

決定の要約

監視の必要性	主要ツール	ハイブリッドをサポート	エージェントが必要
"このパケットがブロックされているのはなぜですか?	IP フロー検証	No	No
"このトラフィックはどこに移動しますか?	ネクストホップ	No	No
"過去 1 時間に何が起こりましたか?	パケットキャプチャ	No	No
"VNet 全体のトラフィックパターンは何ですか?	VNet フローログ + Traffic Analytics	No	No
"ハイブリッド接続は正常ですか?	接続モニター	はい (Azure Arc)	はい (ソースのみ)
ネットワーク全体の健全性はどうなっていますか?	ネットワークの分析情報	Partial	No

設計上の考慮事項

監視の優先順位は、移行後のベースライン検証です。移行されたワークロードが依存関係に到達できることと、パフォーマンスが期待を満たしていることを確認することに重点を置きます。

接続検証のNetwork Watcher: IP フロー検証と次ホップを使用して、移行されたアプリケーションに必要なトラフィックが NSG ルールとルートテーブルで許可されていることを確認します。移行されたワークロードごとに、これらのチェックを体系的に実行します。
ベースライントラフィックパターンの VNet フローログ: 運用環境の仮想ネットワークで VNet フローログを有効にして、移行されたワークロードの実際のトラフィックパターンをキャプチャします。フローデータを移行前のドキュメントと比較して、予想されるすべての通信パスが動作していることを確認します。
ハイブリッドパスの接続モニター: Azure VM とオンプレミスエンドポイントの間に接続モニターテストをデプロイして、VPN または ExpressRoute 接続が許容可能な待機時間と可用性を維持していることを継続的に検証します。
段階的な高度な監視: 初期移行が安定した後、Traffic Analytics と高度なアラートを構成します。長期的な運用ダッシュボードに投資する前に、診断ツールを使用して接続を検証します。

監視戦略では、最初のデプロイからの運用ワークロードがサポートされます。 AKS クラスター、App Service Environment、およびマルチリージョンのアクティブ/アクティブアーキテクチャには、完全な可観測性が必要です。

すべてのスポークにわたる VNet フローログ: すべてのスポーク仮想ネットワークで VNet フローログを有効にします。コンテナー化されたワークロードは、各スポーク内の複数のサブネットとプライベートエンドポイントにまたがるトラフィックパターンを生成します。
運用上の可視性のための Traffic Analytics:Log Analytics ワークスペースを使用して Traffic Analytics をデプロイし、すべてのスポークのフローデータを集計します。ネットワークオペレーターは、Traffic Analytics ダッシュボードを使用して、資産全体のトップトーカー、異常なフロー、容量の傾向を識別します。
アプリチームの監視責任: アプリケーションチームは、独自のワークロード (AKS メトリック、ASE 診断) を監視します。中央ネットワーク操作は、共有インフラストラクチャ (ハブファイアウォール、VPN ゲートウェイ、ピアリングリンク、リージョン間接続) を監視します。
マルチリージョンの接続モニター: リージョン間接続モニターテストをデプロイして、ハブ間接続がアクティブ/アクティブ SLA 要件を満たしていることを継続的に検証します。バックボーンの輻輳またはルーティングの変更を示す可能性のある待機時間の増加に対するアラートを構成します。
エンドツーエンドのパフォーマンスのための接続モニター: 接続モニターを使用して、各リージョンハブでAzure Firewallを通過するトラフィックなど、ハブスポークトポロジ全体のエンドツーエンドのパフォーマンスを追跡します。接続モニターは、非推奨のネットワークパフォーマンスモニターを置き換え、Azure、オンプレミス、およびインターネットホップ全体で統合トポロジビューを提供します。

クロスクラウド環境では、VPN トンネル境界での可視性が失われるため、独自の監視の課題が発生します。 AWS または Google Cloud への IPsec トンネルに入ったトラフィックは、応答が返されるまでAzure側の監視から消えます。

クラウド間トラフィックの監視:VPN GatewayまたはVirtual WAN ハブをホストする仮想ネットワークで VNet フローログを有効にします。これらのログは、クラウド間トンネルに出入りするトラフィックをキャプチャし、クラウド間通信用の容積測定データとプロトコル分散を提供します。
待機時間の測定:接続モニターテストをAZURE VM から AWS または Google Cloud のエンドポイントにデプロイします。 ICMP または TCP プローブを使用して、暗号化されたトンネル間のラウンドトリップ待機時間を測定します。アプリケーションの要件に基づいてアラートのしきい値を設定します。
暗号化されたトンネルのトラブルシューティング:クラウド間接続が失敗した場合は、Network Watcherの次ホップと IP フロー検証を使用して、Azure側のルーティングと NSG ルールによってトラフィックがVPN Gatewayに向かって引き続き送信されることを確認します。 VPN Gateway の診断ログは、IKE ネゴシエーションの状態とトンネルの正常性を表示します。
両側の監視: Azure監視は、クラウド間接続のAzure側を対象としています。 AWS CloudWatch または Google Cloud Monitoring の構成と連携して、エンドツーエンドの可視性を実現します。両方のプロバイダーからのトンネル状態の変化に関するアラート。
開始点としてNetwork Watcher: Network Watcher診断を使用して、接続エラーがAzure側 (NSG ルール、ルートテーブル、ゲートウェイ構成) またはリモート側 (AWS または Google Cloud のファイアウォール規則、VPN 構成) で発生しているかどうかを特定します。

ネットワークコストの監視

ネットワーク関連のコストは継続的に発生するものであり、監視によって可視化されるべきです。 Microsoft Cost Managementを使用して、ネットワークの支出を促進するリソースを特定します。 Azure Firewall で処理されるデータ、ゲートウェイスケールユニット、パブリック IP アドレス、リージョン間およびグローバルピアリングのデータ転送、ならびにログ分析へのデータインジェストは、一般的なコスト要因です。 Microsoft.Network リソースプロバイダーによるコスト分析をフィルター処理し、リソース別にグループ化し、予算アラートを設定して、予期しない増加 (リージョン間レプリケーショントラフィックの急増など) が早期に発生するようにします。コストの急増をフローログと Traffic Analytics と関連付けて、その背後にあるトラフィックパターンを見つけます。

前提条件

ネットワーク監視を実装する前に、次の要件を満たしていることを確認します。

Network Watcher有効: 仮想ネットワークを作成または更新すると、リージョンごとにNetwork Watcherが自動的に有効になります。組織が自動有効化を無効にした場合は、必要なリージョンごとにNetwork Watcherを手動で有効にします。オプトアウトを取り消すには、Azure サポートリクエストが必要です。
Log Analytics ワークスペース: Traffic Analytics と接続モニターに必要です。ワークスペースは、サポートされている任意のリージョンに存在できます。リージョンをまたがるデータ転送の追加料金は適用されません。
ストレージアカウント: フローログのストレージとパケットキャプチャの出力に必要です。ライフサイクル管理ルールを使用して、保持とコストを制御します。
Azure Arc エージェント (ハイブリッドのみ):接続モニターソース エンドポイントとして機能するオンプレミスのマシンで必要です。宛先エンドポイントにはエージェントは必要ありません。任意の URL、FQDN、または IP アドレスを監視します。
NSG フローログを置き換える VNet フローログ: 現在 NSG フローログを使用している場合は、提供終了日より前に VNet フローログへの移行を計画してください。

NSG フローログから VNet フローログへの移行

Important

NSG フローログは、2027 年 9 月 30 日に廃止されます。 2025 年 6 月 30 日以降、新しい NSG フローログを作成することはできません。トラフィックの可視性を維持するために、VNet フローログに移行します。

VNet フローログには、NSG フローログと同じ機能と、次の機能が用意されています。

NSG で処理されないトラフィックを含む、仮想ネットワーク内のすべてのトラフィックを対象
Azure Virtual Network Managerセキュリティ管理者ルールの評価
VNet 暗号化の状態の評価
簡素化されたスコープ: サブネットとネットワークインターフェイスカード (NIC) レベルの両方でログ記録を構成する必要がない
重複するログレコードがない

移行手順:

アクティブな NSG フローログを持つすべての仮想ネットワークを特定します。
同じ宛先ストレージアカウントと Traffic Analytics 構成を使用して、各仮想ネットワークで VNet フローログを有効にします。
VNet フローログデータが Traffic Analytics に表示されることを確認します。
重複した記録と不要なストレージコストを回避するために、NSG フローログをオフにします。

Tip

VNet フローログが正しく記録されていることを確認 した後 、NSG フローログをオフにします。両方を同時に実行すると、重複するレコードが作成され、ストレージコストが 2 倍になります。

Azureでは、大規模な自動移行のための移行スクリプトとAzure Policy パスの両方が提供されます。

セキュリティに関する考慮事項

監視データを保護し、診断ツールへのアクセスを制御します。次のサブセクションでは、データの機密性、保持、プローブのセキュリティ、ロールベースのアクセスについて説明します。

フローログデータの機密性

フローログレコードには、送信元と宛先の IP アドレス、ポート、プロトコル、アクションなど、すべてのネットワークトラフィックに関するメタデータが含まれます。フローログデータを機密として扱います。

適切なアクセス制御と暗号化を使用して、フローログをストレージアカウントに格納します。
Azure RBAC を使用して Traffic Analytics データを受信するLog Analytics ワークスペースへのアクセスを制限します。
最小限の特権の原則を適用します。ネットワークオペレーターは Traffic Analytics ダッシュボードを必要とする可能性がありますが、生フローログアクセスは必要ありません。

診断データのリテンション期間

PCI DSS、HIPAA、SOC 2 など、組織のコンプライアンス要件に基づいてアイテム保持ポリシーを定義します。
Azure Storageライフサイクル管理を使用して、必要なリテンション期間後にフローログデータを自動的にアーカイブまたは削除します。
ストレージアカウントのコストを監視します。スループットの高いネットワークでは、大量のフローログデータが生成されます。

接続モニターセキュリティ

接続モニターのプローブトラフィックは Azure インフラストラクチャから発生します。 NSG ルールでプローブソース範囲が許可されていることを確認します (わかりやすくするために AzureMonitor サービスタグを使用します)。
オンプレミスのソースの場合、Azure Arc エージェントはAzureへのセキュリティで保護された接続を維持します。組織のエージェントセキュリティポリシーに従います。

Network Watcherアクセス制御

Network Watcher操作には、特定のAzure RBAC ロールが必要です。最小特権の原則に従います。

役割	能力
ネットワーク共同作成者	パケットキャプチャとフローログの構成を含む、完全なNetwork Watcher アクセス
Reader	Network Watcher リソースとトポロジを表示する
カスタムロール	完全な共同作成者アクセス権がなくても、特定の操作 (IP Flow Verify、Next Hop) に限定

ネットワークセキュリティグループとアプリケーションセキュリティグループ: フローログが評価される NSG ルール。
Azure Firewallとネットワークのセグメント化: ファイアウォール診断ログとメトリック。
ハブスポークネットワークトポロジ: ハブレベルの可視性と一元的な監視。
Azure Virtual Network Managerと一元管理: VNet フローログによって評価される AVNM セキュリティ管理者ルール。

詳細情報

次のステップ

Tip

調査は終了しましたか? メインのAzure ネットワーク設計ガイドの最後に到達しました。概要ナビゲーターに戻り、機能領域を見直すか、多くの仮想ネットワーク全体で一元化されたネットワーク管理のAzure Virtual Network Managerを続けます。

リフトアンドシフトネットワークパスを完了しました。 これで、VPN/ExpressRoute ハイブリッド接続、東西トラフィックと送信トラフィックの一元化されたAzure Firewall、管理者アクセスをセキュリティで保護するための Bastion、移行ベースラインの監視Network Watcherを備えたハブアンドスポークトポロジが作成されました。

要件が拡大した場合は、インターネットイングレス、WAF、DDoS、マルチリージョンのオプションに関するシナリオガイドの条件付き記事を見直してください。

一元化されたネットワーク管理。 オプション：移行によって複数の VNet 資産が作成された場合は、Azure Virtual Network Managerを使用して一元的なガバナンスを行います。

概要に戻る: 他の機能を調べるか、アーキテクチャを確認します。

モダン化のネットワークパスを完了しました。 グローバルイングレス用の Front Door または Traffic Manager、セキュリティで保護された PaaS 接続用のPrivate Link、Azure Firewallと WAF を介した階層化されたセキュリティ、アプリケーション層全体のエンドツーエンドの監視を備えたデュアルハブのマルチリージョンアーキテクチャが作成されました。

要件が重要なスタックを超えて拡張されている場合は、クロスリージョンフェールオーバーや追加のセキュリティ層などの高度なネットワーク機能に関するシナリオガイドの補足記事を見直してください。

一元化されたネットワーク管理。 オプション：資産が複数のサブスクリプションとチームにまたがる場合は、Azure Virtual Network Managerを使用して一元化されたポリシー管理を行います。

概要に戻る: 他の機能を調べるか、アーキテクチャを確認します。

クロスクラウドネットワークパスを完了しました。 これで、Azure Virtual WAN経由のトランジットゲートウェイの等価性、AWS VPC と Google Cloud VPN をAzureに接続する VPN トンネル、クロスクラウドの名前解決のためのプライベート DNS リゾルバーによる DNS カットオーバー、およびすべてのクラウド間トラフィックに対するセキュリティで保護された仮想ハブの検査が可能になりました。

一元化されたネットワーク管理。 オプション：Azure側が管理されたマルチサブスクリプション資産に成長する場合は、Azure Virtual Network Managerを使用して一元管理します。

概要に戻る: 他の機能を調べるか、アーキテクチャを確認します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-01