この記事では、Azure Virtual Network Managerを使って仮想ネットワークを管理する際の現在の制限について概説します。 これらの制限事項を理解することは、環境内に Azure Virtual Network Manager インスタンス (ネットワーク マネージャー) を適切にデプロイするのに役立ちます。 この記事では、ネットワーク マネージャーが接続できる仮想ネットワークの最大数、アドレス空間が重複する接続された仮想ネットワークをネットワーク マネージャーが処理する方法、ポリシー コンプライアンスの評価サイクルなどのトピックについて説明します。
一般的な制限事項
現在、クロス テナン トの仮想ネットワークをネットワークグループに追加するのは手動でしかできません。 詳細は 「静的会員」を参照してください。
Azureサブスクリプションが15,000を超える場合、Azure Virtual Network Managerポリシーはサブスクリプションとリソースグループのスコープでのみ適用できます。 15,000のサブスクリプション制限を超える管理グループにはポリシーを適用できません。 このシナリオでは、それぞれが 15,000 未満のサブスクリプションを持つ下位レベルの管理グループ スコープで、割り当てを作成する必要があります。
Azure Virtual Network Manager カスタム ポリシーの
enforcementMode要素がDisabledに設定されている場合、仮想ネットワークをネットワーク グループに追加することはできません。Azure Virtual Network Manager ポリシーでは、ポリシー コンプライアンスの標準評価サイクルがサポートされていません。 詳しくは、「評価のトリガー」をご覧ください。
Azure Virtual Network Managerインスタンスが存在するサブスクリプションを別のテナントに移動することはサポートされていません。
Azure China リージョンでは、現在、ネットワーク グループ メンバーシップ用の Azure Policy 定義で、リソース グループとサブスクリプションにタグを使用できません。
Azure Virtual Network Managerのインスタンスを既存のサブスクリプションから別のサブスクリプションに移動することはできません。
接続されたグループの制限事項
Azure Virtual Network Managerのハブ・アンド・スポーク接続構成を使えば、最大1,000の仮想ネットワークを持つ仮想ネットワークとピアリングできます。 この制限により、最大1,000のスポーク仮想ネットワークをハブ仮想ネットワークにピア接続できます。
デフォルトでは、接続された各グループは最大2,000のプライベートエンドポイントをサポートします。 この制限を20,000に増やすには、 接続されたグループ内で大規模なプライベートエンドポイントを有効にすることができます。
デフォルトでは、 接続された各グループ は最大250の仮想ネットワークをサポートします。 対応地域では、
AllowHighScaleConnectedGroupプレビュー機能を登録し、最大3,000の仮想ネットワークを含む大規模接続グループを有効にするために、高スケール接続グループイネーブルメントフォームを提出してください。 接続されたグループを最大5,000の仮想ネットワークに拡大する、または接続されたピアリングされた仮想ネットワークのプライベートIPアドレス空間を128,000以上のアドレス以上に拡大するには、 スケーリングリクエストフォームを提出してください。
Note
接続グループは現在、次のリージョンでサポートされています: アジア東部、アジア南東部、オーストラリア中部、オーストラリア中部 2、オーストラリア東部、オーストラリア南東部、ブラジル南部、カナダ中部、カナダ東部、北ヨーロッパ、西ヨーロッパ、フランス中部、ドイツ中西部、インド中部、インド南部、インド西部、日本東部、日本西部、韓国中部、韓国南部、メキシコ中部、ノルウェー東部、カタール中部、南アフリカ北部、スウェーデン中部、スイス北部、スイス西部、UAE 北部、英国南部、英国西部、米国中部、米国東部、米国東部 2、米国北部、米国南部、米国西部、米国西部 2、米国西部 3、米国中西部、米国東部 2 EUAP、米国中部 EUAP。
既定では、仮想ネットワークは最大 2 つの 接続されたグループに含めることができます。 たとえば、仮想ネットワークは次のようになります。
- 2 つのメッシュ接続構成の一部にすることができます。
- ハブアンドスポーク接続構成で直接接続が有効になっているメッシュ接続構成とスポーク ネットワーク グループの一部にすることができます。
- 同じまたは異なるハブアンドスポーク接続構成で直接接続が有効になっている 2 つのスポーク ネットワーク グループの一部にすることができます。
- このデフォルトはソフトリミットであり、 接続されたグループリミット申請フォームを提出することで調整できます。
以下のベアメタルインフラストラクチャは接続されたグループではサポートされていません:
同じ接続グループ内に、IP 空間が重複する仮想ネットワークを持つことができます。 ただし、重複する IP アドレスへの通信は破棄されます。
接続されたグループの仮想ネットワークが、接続されているグループのメンバーと重複する IP アドレス空間を持つ外部仮想ネットワークとピアリングされると、これらの重複するアドレス空間は、接続されたグループ内でアクセスできなくなります。 接続されたグループ内のピアリングされた仮想ネットワークから重複するアドレス空間へのトラフィックは外部仮想ネットワークにルーティングされますが、接続されたグループ内の他の仮想ネットワークから重複するアドレス空間へのトラフィックは破棄されます。
セキュリティ管理者ルールの制限事項
すべての セキュリティ管理者ルール の組み合わせの IP プレフィックスの最大数は 20,000 です。
1 レベルの Azure Virtual Network Manager のセキュリティ管理者ルールの最大数は 100 です。
サービス タグ AzurePlatformDNS、AzurePlatformIMDS、および AzurePlatformLKM は、現在、セキュリティ管理者ルールではサポートされていません。
IP アドレス管理 (IPAM) の制限事項
- 現在、IPAMで管理されるアドレス空間を仮想ネットワークやサブネットから削除することはできません。 この制限はIPAM管理のアドレス空間にのみ適用され、他のアドレス空間には適用されません。 例えば、IPv4がIPAMで管理されていてIPv6がそうでない場合、IPv6アドレス空間は削除できます。 また、IPAMプールからIPアドレス空間を削除することもできません。