Azureネットワークの基盤サービスは、Azureでリソースに必要なコアな接続性を提供します。 これらのサービスはAzure Virtual Network、Azure Private Link、Azure DNSです。 これらは互いに積み重ね合い、Azureネットワークの基盤を形成します。 ワークロードをクラウドに移す際には、リソース同士やオンプレミスネットワークを接続し、Azureプラットフォームサービスにトラフィックを公開せずにアクセスし、それらのサービスを名前で解決するプライベートで隔離されたネットワークが必要です。 これら3つのサービスが合わせて、そのニーズを満たしています。
この記事では、各基盤サービスが何をするのか、そしてAzure Virtual Network、Azure Private Link、Azure DNSがどのように連携して安全なプライベートネットワークをAzureで形成するかを説明します。
次の表は、各基盤サービスとその使用方法をまとめたものです。
| Service | Purpose | いつ使用するか |
|---|---|---|
| Azure 仮想ネットワーク | Azureでのプライベート ネットワークとセグメント化 | Azureリソースの分離、ワークロードのセグメント化、オンプレミス ネットワークへの接続 |
| Azure Private Link | Azure プラットフォーム サービスへのプライベート接続 | パブリック インターネットに公開することなく、Azure PaaS サービス (Azure Storage や Azure SQL など) にアクセスする |
| Azure DNS | パブリックおよびプライベート ドメイン名のホスティングと解決 | ドメインの DNS ゾーンをホストし、仮想ネットワーク内からプライベート エンドポイントを解決する |
以下の図は、これらのサービスが基本的なAzureネットワークでどのように連携して動作するかの例を示しています。
Azureネットワーク基盤サービスは特定の順序で互いに構築されます。 Azure Virtual Networkは、Azureリソースをホストし、オンプレミスネットワークに接続するプライベートで孤立したネットワーク境界を設定します。 その境界内で、Azure Private Linkはプライベートエンドポイントを通じてAzureプラットフォームサービス(Azure StorageやAzure SQL Databaseなど)を仮想ネットワークに投影し、それらのサービスへのトラフィックをパブリックインターネットから遠ざけています。 Azure DNSは、これらのプライベートエンドポイントやその他のリソースの名前をそれぞれのプライベートIPアドレスに解決し、仮想ネットワーク内のクライアントが完全限定ドメイン名(FQDN)で各サービスにアクセスできるようにします。
安全なプライベートネットワークがどのように形成されるかを知りたい方は、次のセクションを順に読んでください:Azure Virtual Network、次にAzure Private Link、そしてAzure DNS。 各セクションには、そのサービスに関するより詳細なガイダンスへのリンクがあります。
Azure 仮想ネットワーク
Azure Virtual Networkを使えば、クラウド上でプライベートネットワークを作成し、Azureリソース、インターネット、オンプレミスネットワークを安全に接続できます。
以下の例では、2つの仮想ネットワークが提供されています。
- ハブ仮想ネットワークを使ってAzureサービスを展開し、データリソースへのアクセスを提供します。 オプションとして、ハブをオンプレミスネットワークに接続することも可能です。
- ハブをスポーク仮想ネットワークと連携させましょう。そこにはユーザーのやり取りを処理する仮想マシンを備えたビジネス層サブネットと、データストレージやトランザクションを処理するアプリケーションサブネットが含まれています。
仮想ネットワークの設計の詳細については、「仮想ネットワークの 計画」を参照してください。 仮想ネットワークを作成するには、「 Azure portal を使用して仮想ネットワークを作成する」を参照してください。
Azure Private Link
Azure Private Linkは、仮想ネットワークから公共インターネットを経由しないサービスへの安全でプライベートな接続を提供します。 Azure Private LinkはAzure Virtual Networkを基盤としており、Azureプラットフォームサービス(Azure StorageやAzure SQL Databaseなど)をプライベートエンドポイントを通じて仮想ネットワークに投影し、それらのサービスへのトラフィックをネットワーク内に留めます境界線。
以下の図は、スポーク仮想ネットワークのアプリケーションサブネットにある プライベートエンドポイント を示しています。 プライベートエンドポイントとは、仮想ネットワーク内のプライベートIPアドレス(この例では10.1.1.135)で、Azure Private Linkによって運営されているサービスに関連付けられています。
プライベートエンドポイントはAzureプラットフォームサービスを仮想ネットワークに安全に接続します。 その後、Azure DNSはプライベートエンドポイントのFQDNをこのプライベートIPアドレスに解決します(Azure DNSのセクションで説明されています)。
Note
プライベート エンドポイントでは、作成時に DNS 統合オプションが提供されます。 プライベートDNSゾーンと統合することも可能です。 この構成は柔軟に保たれているため、展開後に追加、削除、変更が可能です。 この例は、プライベートDNSゾーン統合を選択する方法を示しており、Azure DNSプライベートリゾルバを使わずに仮想ネットワークのワークロードに最適なシンプルなDNS設定を提供します。 詳細については、「Azure プライベート エンドポイントの DNS 統合」を参照してください。
プライベート リンクとプライベート エンドポイントの概要については、「 Azure Private Link サービスとは」 と 「プライベート エンドポイントとは」を参照してください。 プライベート エンドポイントを作成するには、「 プライベート エンドポイントの作成」を参照してください。
Azure DNS
Azure DNS では、クラウドベースのパブリックおよびプライベート ドメイン名のホスティングと解決が提供されます。 これには、3 つの DNS ホスティングおよび解決サービスと、DNS ベースのロード バランサーが含まれます。
- Azure パブリック DNS は、パブリック DNS ドメインの高可用性ホスティングを提供します。
- Azure プライベート DNS は、仮想ネットワーク用の DNS 名前付けおよび解決サービスであり、それらのネットワーク内でホストされているプライベート サービスです。
- Azure DNS Private Resolverは、VMベースのDNSサーバーを展開せずにオンプレミス環境からプライベートDNSゾーンを照会したり、その逆もできる、完全管理型の高可用性DNSサービスです。
- Azure Traffic ManagerはDNSベースのトラフィックロードバランサーで、Azureリージョン全体で公開アプリケーションにトラフィックを分散できます。
Azure DNS では、仮想ネットワーク内からプライベート (インターネット) リソースとパブリック (インターネット) リソースの両方に対して内部 DNS 解決も提供されます。 デフォルトでは、仮想ネットワークはAzure提供のDNSアドレス(168.63.129.16)を使ってDNSレコードを解決します。
Azure DNSは、Azure Virtual NetworkおよびAzure Private Linkによって確立されたネットワーク基盤を完成させます。Private Linkが仮想ネットワークに投影するプライベートエンドポイントをそれぞれのプライベートIPアドレスに解析し、クライアントが各サービスにFQDN経由でアクセスできるようにします。 Azure Blob Storageアカウント用のプライベートエンドポイントをスポーク仮想ネットワークに展開し、プライベートIP10.1.1.135を割り当てることを考えてみましょう。 このプライベート エンドポイントは、プライベート DNS ゾーン privatelink.blob.core.windows.netに関連付けられています。 リソースの種類がゾーン名(この場合はブロブストレージ)を決定します。 プライベート DNS ゾーンとプライベート エンドポイントの詳細については、「 Azure プライベート エンドポイントのプライベート DNS ゾーンの値」を参照してください。
仮想ネットワークリンクは privatelink.blob.core.windows.net ゾーンをハブ仮想ネットワークに接続します。 このリンクにより、ハブ仮想ネットワーク内のすべてのリソースがAzure提供のDNS(168.63.129.16)を使ってゾーンを解決し、FQDNを通じてプライベートエンドポイントにアクセスできます。
デフォルトでは、プライベートエンドポイントはAzure内からのみ解決できます。 オンプレミスからプライベートエンドポイントを通じて露出したストレージアカウントを解決したり、Azure内でオンプレミスのリソースを解決したりするには、ハブ仮想ネットワーク(表示されていません)でAzure DNSプライベートリゾルバを設定できます。
Azure DNS プライベート リゾルバーを使用したプライベート エンドポイント シナリオの詳細については、 プライベート エンドポイントの DNS 構成シナリオを参照してください。
Azure DNS プライベートリゾルバの設定に関する詳細は、Resolve Azure およびオンプレミスドメインを参照してください。
Azure portal での操作
Azure portal では、 ネットワーク基盤サービスを開始するための一元的なエクスペリエンスが提供されます。 情報とリンクは、隔離されたネットワークの作成、ネットワークサービスの管理、リソースへのアクセスの確保、ハイブリッドな名前解決の管理、ネットワーク問題のトラブルシューティングに役立ちます。
左側のサービスツリーにあるリソースリンクも、ネットワーク財団サービスの支援コンポーネントの理解、作成、閲覧に役立ちます。