Azureネットワークサービスは、Azureリソース同士やオンプレミスネットワーク、インターネットを接続します。 彼らはそのトラフィックを負荷分散し、保護し、監視しています。 これらのサービスを組み合わせることで、物理的なネットワークハードウェアを展開・保守することなく、プライベートで高可用性かつ保護されたクラウドネットワークを構築することができます。
この記事はAzureネットワークのドキュメントへの入り口です。 サービスを6つのカテゴリーにまとめ、各サービスの役割をまとめ、各カテゴリハブへのリンクでその分野を深く探ることができます。
Azureネットワーキングサービスは6つのカテゴリーに分けられます。 サービスの詳細はカテゴリーを選択してください:
- Networking foundation: Azure のリソースのコア接続 - Virtual Network (VNet)、Private Link、Azure DNS、Azure Bastion、Route Server、NAT Gateway、Traffic Manager。
- ロードバランシングとコンテンツ配信:アプリケーションやワークロードを管理、配布、最適化 - Load Balancer、Application Gateway、Azure Front Door。
- ハイブリッド接続:Azure内のリソースとの安全な通信 - VPN Gateway、ExpressRoute、Virtual WAN、ピアリングサービス。
- ネットワークセキュリティ:Firewall Manager、Firewall Firewall、Web Application Firewall、DDoS Protectionなど、Web アプリケーションやIaaSサービスをDDoS攻撃や悪意あるアクターから守ります。
- ネットワーク管理と監視:ネットワークリソースを管理・監視します。Network Watcher、Azure Monitor、Azure Virtual Network Manager。
- コンテナネットワーキング:Azure Kubernetes Service (AKS)上のコンテナ化されたワークロードのセキュリティと監視性の強化 - コンテナネットワークセキュリティおよびコンテナネットワークの可観測性。
以下の表は、各ネットワークカテゴリ、その主要サービス、そして主なユースケースをまとめています。
| カテゴリ | 主要サービス | 主なユース ケース | 詳細情報 |
|---|---|---|---|
| ネットワーク基盤 | Virtual Network, Private Link, Azure DNS, Azure Bastion, Route Server, NAT Gateway, Traffic Manager | Azure 内のリソースのための中核となる接続性 | Azure ネットワーク基盤サービス |
| 負荷分散とコンテンツ配信 | Load Balancer, Application Gateway, Azure Front Door | アプリケーショントラフィックの分散と最適化 | Azure の負荷分散およびコンテンツ配信サービス |
| ハイブリッド接続 | VPN Gateway、ExpressRoute、Virtual WAN、ピアリングサービス | オンプレミス ネットワークを Azure に接続する | Azure ハイブリッド接続サービス |
| ネットワークのセキュリティ | ファイアウォールマネージャー、ファイアウォール、Web Application Firewall、DDoS対策 | アプリケーションやリソースを脅威から保護する | Azure network security services |
| ネットワーク管理と監視 | Network Watcher, Azure Monitor, Azure Virtual Network Manager | ネットワークリソースの管理と監視 | Azure ネットワーク管理および監視サービス |
| コンテナー ネットワーク | コンテナネットワークセキュリティ、コンテナネットワークの可観測性 | AKS コンテナー トラフィックを保護して監視する | 高度なコンテナネットワーキングサービス |
Azure ネットワーク基盤サービス
このセクションでは、Azure でネットワーク環境を設計および構築するための構成要素を提供するサービス (Virtual Network (VNet)、Private Link、Azure DNS、Azure Bastion、Route Server、NAT Gateway、Traffic Manager) について説明します。
仮想ネットワーク
Azure Virtual Network (VNet) は、Azureのプライベート ネットワークの基本的な構成要素です。 VNetを使って:
- Azureリソース間の通信:仮想マシンやその他のAzureリソースを仮想ネットワークに展開します。例えば、Azure App Service Environments、Azure Kubernetes Service (AKS)など、Azure Virtual Machine Scale Sets. 仮想ネットワークにデプロイできる Azure リソースの詳細な一覧については、仮想ネットワーク サービスの統合に関するページを参照してください。
- 相互通信:仮想ネットワーク同士を接続し、仮想ネットワーク内のリソース同士が通信できるようにします。これは仮想ネットワークのピアリングやAzure Virtual Network Managerを用いて行います。 接続する仮想ネットワークが属している Azure リージョンは、同じであっても異なっていてもかまいません。 詳細については、「仮想ネットワーク ピアリング」と「Azure Virtual Network Manager」を参照してください。
- インターネットとの通信: 仮想ネットワーク内のすべてのリソースにおいて、既定でインターネットへの送信方向の通信が可能です。 リソースへの受信通信は、リソースにパブリック IP アドレスまたはパブリック ロード バランサーを割り当てることによって可能になります。 また、パブリックIPアドレスやパブリックLoad Balancerを使ってアウトバウンド接続を管理することもできます。
- オンプレミスネットワークとの通信:VPN GatewayやExpressRouteを使ってオンプレミスのコンピュータやネットワークを仮想ネットワークに接続します。
- リソース間のトラフィックを暗号化する: 仮想ネットワーク 内のリソース間のトラフィックを暗号化するために仮想ネットワーク暗号化を用いましょう。
ネットワーク セキュリティ グループ
Azure仮想ネットワーク内のAzureリソースへのネットワークトラフィックを、ネットワークセキュリティグループを使ってフィルタリングします。 詳細については、「ネットワーク セキュリティ グループ」を参照してください。
サービス エンドポイント
仮想ネットワーク (VNet) サービス エンドポイントを使うと、仮想ネットワークのプライベート アドレス空間と ID を直接接続を介して Azure サービスに拡張することができます。 エンドポイントを使用することで、重要な Azure サービス リソースへのアクセスを仮想ネットワークのみに限定することができます。 仮想ネットワークから Azure サービスへのトラフィックは常に、Microsoft Azure のバックボーン ネットワーク上に残ります。
Azure Private Link
Azure Private Linkは、仮想ネットワーク内のプライベートエンドポイントを通じてAzure PaaSサービス(例:Azure StorageやSQL Database)やAzureホストの顧客所有またはパートナーサービスにアクセスできます。 仮想ネットワークとサービスの間のトラフィックは、Microsoft のバックボーン ネットワークを通ります。 サービスをパブリック インターネットに公開する必要がなくなりました。 お使いの仮想ネットワークに独自のプライベート リンク サービスを作成して顧客に提供することができます。
Azure DNS
Azure DNSはMicrosoft Azureインフラストラクチャを利用し、DNSホスティングと解決を提供します。 Azure DNS は、次の 3 つのサービスで構成されます:
- Azure Public DNS は DNS ドメインのホスティング サービスです。 Azure でドメインをホストすることで、その他の Azure サービスと同じ資格情報、API、ツール、課金情報を使用して DNS レコードを管理できます。
- Azure プライベート DNS は、仮想ネットワークのための DNS サービスとなります。 カスタムの DNS ソリューションを構成しなくても、Azure プライベート DNS によって、仮想ネットワークにおけるドメイン名の管理と解決が行われます。
- Azure DNS Private Resolverは、オンプレミス環境からAzure DNSのプライベートゾーンを照会し、その逆もVMベースのDNSサーバーを展開せずに行うサービスです。
Azure DNSを使うことで、パブリックドメインのホスティングと解決、仮想ネットワーク内のDNS解決管理、Azureとオンプレミスリソース間の名前解決が可能になります。
Azure Bastion
Azure Bastionは、ブラウザとAzureポータルを使って仮想ネットワークに展開し、仮想マシンに接続できるサービスです。 また、ローカルコンピュータにすでにインストールされているネイティブのSSHやRDPクライアントを使って接続することも可能です。 Azure Bastion サービスは、お使いの仮想ネットワーク内でデプロイする、フル プラットフォーム マネージド PaaS サービスです。 これにより、TLS 経由で Azure portal から直接、仮想マシンに安全かつシームレスに RDP/SSH 接続できます。 Azure Bastion経由で接続する場合、仮想マシンはパブリックIPアドレスやエージェント、特別なクライアントソフトウェアを必要としません。 Azure Bastion には、Developer、Basic、Standard、Premium の 4 つの SKU レベルが用意されています。 選択したティアは利用可能な機能に影響を与えます。 詳細については、「 Bastion 構成設定について」を参照してください。
Azure Route Server
Azure Route Server を使用すると、ネットワーク仮想アプライアンス (NVA) と仮想ネットワークの間の動的ルーティングが簡単になります。 ルーティング情報をBGPルーティングプロトコルを通じて、BGPルーティングプロトコルをサポートする任意のNVAとAzure Virtual NetworkのAzureソフトウェア定義ネットワーク(SDN、VNet)間で直接交換でき、ルートテーブルを手動で設定・維持する必要がありません。
NAT Gateway
NATゲートウェイは、仮想ネットワークのアウトバウンドのみのインターネット接続を簡素化します。 サブネット上で設定すると、すべての送信接続は指定された静的パブリックIPアドレスを使用します。 ロード バランサーや、仮想マシンに直接アタッチされたパブリック IP アドレスがなくても、アウトバウンド接続が可能となります。 詳細については、「Azure NAT gatewayとは何か」をご覧ください。
Traffic Manager
Azure Traffic ManagerはDNSベースのトラフィックロードバランサーで、グローバルなAzureリージョン間のサービスに最適にトラフィックを分配しつつ、高い可用性とレスポンス性を提供します。 トラフィックマネージャーは、優先度、重み付け、パフォーマンス、地理的、マルチバリュー、サブネットなど、トラフィックを分散するためのさまざまなトラフィックルーティング方法を提供します。
次の図は、Traffic Manager によるエンドポイントの優先順位に基づいたルーティングを示しています。
Traffic Manager の詳細については、「Azure Traffic Manager とは」を参照してください。
Azure のロード バランシングおよびコンテンツ配信サービス
このセクションでは、Azureにおけるアプリケーションやワークロードの提供を支援するネットワークサービス、Load Balancer、Application Gateway、Azure Front Doorについて説明します。
Load Balancer
Important
Basic Load Balancer は 2025 年 9 月 30 日に廃止されました。 詳細については、公式発表を参照してください。 現在 Basic Load Balancer を使用している場合は、できるだけ早くStandard Load Balancerにアップグレードしてください。 アップグレードのガイダンスについては、「Basic Load Balancer からのアップグレード - ガイダンス」をご覧ください。
Azure Load Balancer は、UDP と TCP のすべてプロトコルについて、ハイ パフォーマンスで低待ち時間のレイヤー 4 負荷分散を提供します。 受信接続と送信接続を管理します。 パブリックな負荷分散エンドポイントと内部的な負荷分散エンドポイントを構成することができます。 TCP を使用して受信接続をバックエンド プールの送信先にマッピングする規則や、サービスの可用性を管理するための HTTP の正常性プローブ オプションを定義することができます。
Azure Load BalancerはStandardおよびGateway SKUで利用可能です。
以下の図は、外部および内部のロードバランサーの両方を使用するインターネット向けマルチティアアプリケーションを示しています。
Application Gateway
Azure Application Gateway は、Web アプリケーションへのトラフィックを管理するために使用できる Web トラフィック ロード バランサーです。 これはアプリケーションデリバリーコントローラ(ADC)サービスであり、アプリケーション向けに様々なレイヤー7の負荷分散機能を提供します。
以下の図は、アプリケーションゲートウェイを用いたURLパスベースのルーティングを示しています。
Azure Front Door
Azure Front Doorは、ウェブトラフィックのグローバルルーティングを定義、管理、監視し、最適化し、最高のパフォーマンスと即時のグローバルフェイルオーバーを実現し、高可用性を実現します。 Front Doorを活用することで、グローバル(複数地域)の消費者およびエンタープライズアプリケーションを、堅牢で高性能なパーソナライズされたモダンなアプリケーション、API、コンテンツへと変革し、Azureでグローバルなオーディエンスに届けることができます。 Front Doorは、コンテンツ配信ネットワーク(CDN)キャッシュ、SSLオフロード、ウェブアプリケーションファイアウォール(WAF)をマルチリージョンバックエンドの前に組み合わせたグローバルなレイヤー7エントリーポイントが必要なときに活用してください。
Azure ハイブリッド接続サービス
このセクションでは、オンプレミスネットワークとAzureを安全に接続するネットワーク接続サービスについて説明します。VPN Gateway、ExpressRoute、Virtual WAN、ピアリングサービスです。
VPN Gateway
VPN Gateway では、オンプレミスの場所から仮想ネットワークへの暗号化されたクロスプレミス接続を作成したり、VNet 間に暗号化された接続を作成したりすることができます。 VPN Gateway接続にはさまざまな構成が用意されています。 主な機能の一部は次のとおりです。
- サイト間 VPN 接続
- ポイント対サイト VPN 接続
- VNET 間 VPN 接続
次の図は、同じ仮想ネットワークへの複数のサイト間 VPN 接続を示しています。 その他の接続図を確認するには、「VPN Gateway の設計」を参照してください。
ExpressRoute
ExpressRouteは、接続プロバイダーが支援するプライベート接続を通じて、オンプレミスネットワークをMicrosoftクラウドに拡張します。 この接続はプライベートです。 トラフィックはインターネットを経由しません。 ExpressRouteを使えば、Microsoft Azure、Microsoft 365、Dynamics 365などのMicrosoftクラウドサービスに接続できます。
Virtual WAN
Azure Virtual WAN は、ネットワーク、セキュリティ、ルーティングのさまざまな機能をまとめて、1 つの運用インターフェイスを提供するネットワーク サービスです Azure VNetには仮想ネットワーク接続を使って接続します。 主な機能の一部は次のとおりです。
- ブランチ接続 (SD-WAN、VPN CPE などの Azure Virtual WAN パートナー デバイスからの接続性自動化による)
- サイト間 VPN 接続
- リモート ユーザーの VPN 接続性 (ポイント対サイト)
- プライベート接続性 (ExpressRoute)
- クラウド内接続 (仮想ネットワークの推移的な接続)
- VPN ExpressRoute の相互接続
- プライベート接続性のルーティング、Azure Firewall、暗号化
Peering Service
Azureピアリングサービスは、Microsoft 365、Dynamics 365、SaaS、Azure、または公共インターネット経由でアクセス可能なあらゆるMicrosoft サービスなどのクラウドサービスMicrosoftへの顧客の接続性を向上させます。 ピアリングサービスのパートナーは、Microsoftのネットワークエッジへの最適化された信頼性の高いルーティングを提供し、Microsoftクラウドサービスにバウンドされるトラフィックに比べて通常のインターネットトランジットに比べて遅延やパケットロスを削減します。
Azure ネットワーク セキュリティ サービス
このセクションでは、Azureにおけるネットワークリソースを保護・監視するネットワークサービスについて説明します。Firewall Manager、Firewall、Web Application Firewall、DDoS Protectionです。
Firewall Manager
Azure Firewall Managerは、クラウドベースのセキュリティ境界に対して中央のセキュリティポリシーとルーティング管理を提供するセキュリティ管理サービスです。 ファイアウォールマネージャーは、セキュアな仮想ハブとハブ仮想ネットワークという2種類のネットワークアーキテクチャに対してセキュリティ管理を提供します。 Azure Firewall Managerを使って、複数のAzure FirewallインスタンスをAzureリージョンやサブスクリプションに展開し、DDoS対策プランを実装し、ウェブアプリケーションファイアウォールポリシーを管理し、パートナーのセキュリティ・アズ・ア・サービスと統合してセキュリティを強化しましょう。
Azure Firewall
Azure Firewall は、Azure 仮想ネットワーク リソースを保護する、クラウドベースのマネージド ネットワーク セキュリティ サービスです。 Azure Firewallを使えば、サブスクリプションや仮想ネットワーク間でアプリケーションおよびネットワーク接続ポリシーを一元で作成・強制・記録できます。 Azure Firewallは仮想ネットワークリソースに静的パブリックIPアドレスを使用しているため、外部のファイアウォールが仮想ネットワークからのトラフィックを識別できます。
Web Application Firewall
Azure Web Application Firewall(WAF)は、SQLインジェクションやクロスサイトスクリプトなどの一般的なウェブエクスプロイトや脆弱性からウェブアプリケーションを保護します。 Azure WAFは、管理されたルールを通じてOWASPトップ10の脆弱性から即座に保護を提供します。 さらに、ソースIP範囲やリクエスト属性(ヘッダー、クッキー、フォームデータフィールド、クエリ文字列パラメータなど)に基づいたカスタムルールを設定して、追加の保護を提供できます。
Azure WAFはApplication Gatewayで展開でき、パブリックアドレス空間およびプライベートアドレス空間のエンティティに地域保護を提供します。 また、Front DoorでAzure WAFを展開することもでき、これはネットワークエッジでパブリックエンドポイントへの保護を提供します。
DDoS Protection
Azure DDoS Protection は、きわめて巧妙な DDoS 攻撃への対抗策となります。 このサービスでは、仮想ネットワークにデプロイされたアプリケーションとリソースに対する DDoS 軽減機能が強化されています。 さらに、Azure DDoS保護を利用すれば、攻撃中のDDoS専門家と連携するためのDDoS迅速対応サポートも利用できます。
Azure DDoS Protection は、次の 2 つの層で構成されます:
- DDoS ネットワーク保護では、アプリケーションの設計に関するベスト プラクティスと組み合わせることにより、DDoS 攻撃から保護するための強化された DDoS 軽減機能が提供されます。 仮想ネットワーク内の特定の Azure リソースの保護に役立つよう、自動的に調整されます。
- DDoS IP 保護は、保護された IP モデル単位の課金です。 DDoS IP 保護には、DDoS ネットワーク保護と同じコア エンジニアリング機能が含まれていますが、DDoS Rapid Response サポート、コスト保護、WAF の割引など、付加価値サービスが異なります。
Azure ネットワーク管理および監視サービス
このセクションでは、Azure のネットワークの管理と監視サービス (Network Watcher、Azure Monitor、Azure Virtual Network Manager) について説明します。
Azure Network Watcher
Azure Network Watcher は、Azure 仮想ネットワーク内のリソースの監視、診断、メトリックの表示、ログの有効化または無効化を行うツールを提供します。
Azure Monitor
Azure Monitor は、クラウドおよびオンプレミス環境の利用統計情報を収集、分析し、それに対応する包括的なソリューションを提供することにより、アプリケーションの可用性とパフォーマンスを最大化します。 このツールは、ご利用のアプリケーションがどのように実行されているかを把握するのに役立ちます。さらに、このツールにより、そのアプリケーションに影響している問題点およびアプリケーションが依存しているリソースを事前に明らかにしておくことができます。
Azure Virtual Network Manager
Azure Virtual Network Managerは、サブスクリプション全体で仮想ネットワークをグループ化、設定、展開、管理するための管理サービスです。 仮想ネットワーク マネージャーを使うことで、ネットワークグループを定義し、仮想ネットワークを論理的に区分することができます。 次に、必要な接続とセキュリティの構成を決定し、ネットワーク グループ内の選択したすべての仮想ネットワークで一度に適用します。
Azure コンテナー ネットワーク サービス
このセクションでは、Azure Kubernetes Service (AKS)上で動作するコンテナ化されたワークロードのネットワークトラフィックを保護・監視するサービスについて説明します。コンテナネットワークのセキュリティおよびコンテナネットワークの可観測性についてです。 両サービスともAdvanced Container Networking Servicesの一部です。
コンテナー ネットワークのセキュリティ
コンテナネットワークセキュリティはAKSネットワークセキュリティの制御を強化します。 完全限定ドメイン名(FQDN)フィルタリングなどの機能を活用することで、Azure CNI Powered by Ciliumを使用するクラスターはFQDNベースのネットワークポリシーを実装し、AKSにおけるゼロ トラストセキュリティアーキテクチャを実現できます。
コンテナー ネットワークの監視
コンテナネットワークの観測性は、ハッブルの制御プレーンを用いてAKSのネットワークと性能を包括的に可視化します。 ノード レベル、ポッド レベル、TCP、DNS の各メトリックにわたってリアルタイムに詳しい分析情報を提供し、ネットワーク インフラストラクチャの徹底的な監視が保証されます。
