Event Hubs へのIPアドレスによるアクセス制限について

Question

【質問】

・Event Hubs に「Network Security Perimeters」を使用した受信制限設定を行ったところAzureサービスからEvent Hubs へのログ転送が停止しました。
　対処方法をご教示ください。
・「Network Security Perimeters」以外に、Event Hubs で IPアドレスによるアクセス制限設定を行うソリューションがありましたらご教示ください。

【質問の背景】
Event Hubs 経由で Azure サービスのログを外部の SIEM サービスに転送しています。
転送経路は以下の通りです。

Azureサービスログ(※1) → EventHubs (※2) ← SIEMサービス(※3)

※1 診断設定＞イベントハブストリームで転送設定
※2 パブリックアクセスを許可したもの
※3 SIEM サービスが Event Hubs にログを取りに来る

Event Hubs がパブリック公開さている状態のため、外部からのアクセスを制限したいと考えています。
「Network Security Perimeters」を使用し SIEM サービスが使用するIPアドレスのみ許可するよう行ったところ、Azure サービスから Event Hubs へのログ転送が止まりました。
「Network Security Perimeters」設定により、Azure サービス → Event Hubs のログ転送が制限されてしまったように見受けられます。

●Event Hubs へのログ転送が止まった Azure サービス
　・Azure モニター のアクティビティログ
　・Virtual network gateway のログ

●Network Security Perimeters の設定状況
　・「受信アクセス規制」を行う以下ルールを作成
　　① SIEMサービスが使用するIPアドレスを許可
　　② 使用中のサブスクリプションを許可

Answer 1

PRC 様

この動作は 想定された挙動 です。

Azure Event Hubs で Network Security Perimeters（NSP） を有効にすると、受信トラフィックは明示的に許可されたもののみが通過するよう制限されます。 ただし、Azure Monitor、アクティビティ ログ、VNet Gateway ログ などの Azure プラットフォーム サービスは、固定または公開された IP アドレスからログを送信しません。

そのため、以下の状況が発生します。

IP ベースのルールを設定して NSP を有効にすると

Azure サービス → Event Hubs へのログ転送がブロックされます

Event Hub が同じサブスクリプション内にあっても転送されません

これが、Azure サービスのログが Event Hubs に届かなくなった理由です。

重要な制限事項

現時点では、診断設定（Diagnostic Settings）の送信先として使用される Event Hubs に対して Network Security Perimeters はサポートされていません。 この構成では、Azure サービスは NSP を通過したり認証したりすることができません