チュートリアル: 仮想ネットワーク統合を使用して Azure App Service のバックエンド通信を分離する

[アーティクル]
08/03/2023

この記事では、ネットワーク分離によってバックエンドサービスと安全に通信を行う App Service アプリを構成します。「チュートリアル: Key Vault を使用して App Service からの Cognitive Services 接続を保護する」のシナリオを例として使用しています。完了すると、Azure 仮想ネットワークを介して Key Vault と Azure AI サービスの両方にアクセスする App Service アプリが完成します。これらのバックエンドリソースに他のトラフィックがアクセスすることはできません。仮想ネットワーク内では、仮想ネットワーク統合とプライベートエンドポイントを使用して、すべてのトラフィックが分離されます。

App Service アプリから他の Azure サービスに向かうアウトバウンドネットワークトラフィックは、マルチテナントのサービスとして、他のアプリや他のサブスクリプションと同じ環境を共有します。トラフィック自体を暗号化することもできますが、一部のシナリオでは、バックエンド通信を他のネットワークトラフィックから分離することでいっそう高いセキュリティが求められることがあります。一般に、そのようなシナリオに対応できるのは高度なノウハウを持つ大企業に限られますが、App Service では、仮想ネットワーク統合によってそれが身近なものになります。

scenario architecture

このアーキテクチャでは、次のことが行われます。

バックエンドサービスへのパブリックトラフィックがブロックされます。
App Service からのアウトバウンドトラフィックが仮想ネットワークにルーティングされてバックエンドサービスに到達できます。
App Service はプライベート DNS ゾーンを通じて、バックエンドサービスへの DNS 解決を実行できます。

学習内容

App Service 仮想ネットワーク統合用の仮想ネットワークとサブネットを作成する
プライベート DNS ゾーンを作成する
プライベートエンドポイントを作成する
App Service で仮想ネットワーク統合を構成する

前提条件

このチュートリアルは、読者が「チュートリアル: Key Vault を使用して App Service からの Cognitive Services 接続を保護する」に従って言語検出アプリを作成済みであることを想定しています。

前のチュートリアルでも使用していた次の環境変数を引き続き使用します。適切に設定されていることを確認してください。

    groupName=myKVResourceGroup
    region=westeurope
    csResourceName=<cs-resource-name>
    appName=<app-name>
    vaultName=<vault-name>

仮想ネットワークとサブネットの作成

仮想ネットワークを作成します。 <virtual-network-name> を一意の名前に置き換えます。

# Save vnet name as variable for convenience
vnetName=<virtual-network-name>

az network vnet create --resource-group $groupName --location $region --name $vnetName --address-prefixes 10.0.0.0/16

App Service 仮想ネットワーク統合用のサブネットを作成します。
```
az network vnet subnet create --resource-group $groupName --vnet-name $vnetName --name vnet-integration-subnet --address-prefixes 10.0.0.0/24 --delegations Microsoft.Web/serverfarms --disable-private-endpoint-network-policies false
```
App Service の仮想ネットワーク統合サブネットには、少なくとも /26 の CIDR ブロックを割り当てることをお勧めします (仮想ネットワーク統合のサブネット要件を参照)。 /24 では、必要以上のサイズになってしまいます。 --delegations Microsoft.Web/serverfarms では、サブネットを App Service の仮想ネットワーク統合に委任することを指定します。
プライベートエンドポイント用に別のサブネットを作成します。
```
az network vnet subnet create --resource-group $groupName --vnet-name $vnetName --name private-endpoint-subnet --address-prefixes 10.0.1.0/24 --disable-private-endpoint-network-policies true
```
プライベートエンドポイントのサブネットでは、プライベートエンドポイントのネットワークポリシーを無効にする必要があります。

プライベート DNS ゾーンを作成する

Key Vault と Azure AI サービスのリソースは、プライベートエンドポイントの背後に置かれるため、それらのためのプライベート DNS ゾーンを定義する必要があります。これらのゾーンはプライベートエンドポイントの DNS レコードのホストとして使用され、クライアントは、このゾーンがあることで、バックエンドサービスを名前で見つけることができます。

Azure AI サービスリソース用と Key Vault 用に 2 つのプライベート DNS ゾーンを作成します。
```
az network private-dns zone create --resource-group $groupName --name privatelink.cognitiveservices.azure.com
az network private-dns zone create --resource-group $groupName --name privatelink.vaultcore.azure.net
```
これらの設定の詳細については、「Azure プライベートエンドポイントの DNS 構成」を参照してください。

仮想ネットワークにプライベート DNS ゾーンをリンクします。

az network private-dns link vnet create --resource-group $groupName --name cognitiveservices-zonelink --zone-name privatelink.cognitiveservices.azure.com --virtual-network $vnetName --registration-enabled False
az network private-dns link vnet create --resource-group $groupName --name vaultcore-zonelink --zone-name privatelink.vaultcore.azure.net --virtual-network $vnetName --registration-enabled False

プライベートエンドポイントを作成する

仮想ネットワークのプライベートエンドポイントサブネットに、Cognitive Service 用のプライベートエンドポイントを作成します。

# Get Cognitive Services resource ID
csResourceId=$(az cognitiveservices account show --resource-group $groupName --name $csResourceName --query id --output tsv)

az network private-endpoint create --resource-group $groupName --name securecstext-pe --location $region --connection-name securecstext-pc --private-connection-resource-id $csResourceId --group-id account --vnet-name $vnetName --subnet private-endpoint-subnet

Azure AI サービスプライベートエンドポイントの DNS ゾーングループを作成します。 DNS ゾーングループは、プライベート DNS ゾーンとプライベートエンドポイント間のリンクです。このリンクを使用すると、プライベートエンドポイントに更新がある場合に、プライベート DNS ゾーンを自動更新できます。
```
az network private-endpoint dns-zone-group create --resource-group $groupName --endpoint-name securecstext-pe --name securecstext-zg --private-dns-zone privatelink.cognitiveservices.azure.com --zone-name privatelink.cognitiveservices.azure.com
```
Azure AI サービスリソースに対するパブリックトラフィックをブロックします。
```
az rest --uri $csResourceId?api-version=2021-04-30 --method PATCH --body '{"properties":{"publicNetworkAccess":"Disabled"}}' --headers 'Content-Type=application/json'

# Repeat following command until output is "Succeeded"
az cognitiveservices account show --resource-group $groupName --name $csResourceName --query properties.provisioningState
```
Note

変更のプロビジョニングの状態が "Succeeded" になっていることを確認します。その後、サンプルアプリで動作変更を観察してください。以前と同様、アプリを読み込むことはできますが、 [Detect](検出) ボタンをクリックすると HTTP 500 エラーが返されます。共有ネットワーク経由での Azure AI サービスリソースへの接続は失われています。

Key Vault に対して上記の手順を繰り返します。

# Create private endpoint for key vault
vaultResourceId=$(az keyvault show --name $vaultName --query id --output tsv)
az network private-endpoint create --resource-group $groupName --name securekeyvault-pe --location $region --connection-name securekeyvault-pc --private-connection-resource-id $vaultResourceId --group-id vault --vnet-name $vnetName --subnet private-endpoint-subnet
# Create DNS zone group for the endpoint
az network private-endpoint dns-zone-group create --resource-group $groupName --endpoint-name securekeyvault-pe --name securekeyvault-zg --private-dns-zone privatelink.vaultcore.azure.net --zone-name privatelink.vaultcore.azure.net
# Block public traffic to key vault
az keyvault update --name $vaultName --default-action Deny

アプリ設定をリセットして、その Key Vault 参照の再フェッチを強制的に即時実行します (詳細については、ローテーションに関するセクションを参照してください)。
```
az webapp config appsettings set --resource-group $groupName --name $appName --settings CS_ACCOUNT_NAME="@Microsoft.KeyVault(SecretUri=$csResourceKVUri)" CS_ACCOUNT_KEY="@Microsoft.KeyVault(SecretUri=$csKeyKVUri)"
```
Note

もう一度、サンプルアプリで動作変更を観察してください。アプリを読み込むことができません。Key Vault の参照にアクセスできなくなったためです。共有ネットワーク経由での Key Vault への接続は失われています。

2 つのプライベートエンドポイントにアクセスできるのは、作成した仮想ネットワーク内のクライアントのみです。 Azure portal の [シークレット] ページから Key Vault 内のシークレットにアクセスすることもできません。ポータルからのアクセスにはパブリックインターネットが使用されるためです (「ロックダウンされたリソースを管理する」を参照)。

アプリで仮想ネットワーク統合を構成する

サポートされている価格レベルにアプリをスケールアップします (「アプリを Azure 仮想ネットワークと統合する」を参照)。
```
az appservice plan update --name $appName --resource-group $groupName --sku S1
```
今回のシナリオには関係ありませんが、インバウンド要求には HTTPS を適用することが重要です。
```
az webapp update --resource-group $groupName --name $appName --https-only
```
アプリで仮想ネットワーク統合を有効にします。
```
az webapp vnet-integration add --resource-group $groupName --name $appName --vnet $vnetName --subnet vnet-integration-subnet
```
仮想ネットワーク統合により、アウトバウンドトラフィックを仮想ネットワークに直接流すことができます。既定では、RFC-1918 で定義されているローカル IP トラフィックのみが仮想ネットワークにルーティングされます。これはプライベートエンドポイントに必要な動作です。すべてのトラフィックを仮想ネットワークにルーティングする場合は、仮想ネットワーク統合のルーティングの管理に関するページを参照してください。すべてのトラフィックのルーティングは、Azure Virtual Network NAT や Azure Firewall など、仮想ネットワーク経由でインターネットトラフィックをルーティングする場合にも使用できます。
ブラウザーで再び <app-name>.azurewebsites.net に移動し、統合が有効になるまで待ちます。 HTTP 500 エラーが発生する場合は、数分待ってからやり直してください。ページを読み込んで検出結果を取得できた場合は、キーコンテナー参照を使用して Azure AI サービスエンドポイントに接続しています。
Note

しばらく待っても HTTP 500 エラーが返される場合は、再度、Key Vault 参照の再フェッチを強制的に実行してみてください。
```
az webapp config appsettings set --resource-group $groupName --name $appName --settings CS_ACCOUNT_NAME="@Microsoft.KeyVault(SecretUri=$csResourceKVUri)" CS_ACCOUNT_KEY="@Microsoft.KeyVault(SecretUri=$csKeyKVUri)"
```

ロックダウンされたリソースを管理する

シナリオによっては、プライベートエンドポイントによって保護されたリソースを Azure portal、Azure CLI、Azure PowerShell から管理できない場合があります (Key Vault など)。これらのツールは、いずれも REST API 呼び出しを実行してパブリックインターネット経由でリソースにアクセスするため、ここで行った構成によってブロックされます。ロックダウンされたリソースには、以下に示したいくつかの方法でアクセスできます。

Key Vault のプライベートエンドポイントによって保護されたシークレットを表示したり更新したりするには、ローカルコンピューターのパブリック IP を追加します。
オンプレミスネットワークが VPN ゲートウェイまたは ExpressRoute を介して Azure 仮想ネットワークに拡張されている場合、プライベートエンドポイントによって保護されたリソースをオンプレミスネットワークから直接管理できます。
プライベートエンドポイントによって保護されたリソースを、仮想ネットワーク内のジャンプサーバーから管理します。
仮想ネットワークに Cloud Shell をデプロイします。

リソースをクリーンアップする

前の手順では、リソースグループ内に Azure リソースを作成しました。これらのリソースが将来必要になると想定していない場合、Cloud Shell で次のコマンドを実行して、リソースグループを削除します。

az group delete --name $groupName

このコマンドの実行には、少し時間がかかる場合があります。

次の方法で共有

チュートリアル: 仮想ネットワーク統合を使用して Azure App Service のバックエンド通信を分離する

前提条件

仮想ネットワークとサブネットの作成

プライベート DNS ゾーンを作成する

プライベートエンドポイントを作成する

アプリで仮想ネットワーク統合を構成する

ロックダウンされたリソースを管理する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

チュートリアル: 仮想ネットワーク統合を使用して Azure App Service のバックエンド通信を分離する

前提条件

仮想ネットワークとサブネットの作成

プライベート DNS ゾーンを作成する

プライベート エンドポイントを作成する

アプリで仮想ネットワーク統合を構成する

ロック ダウンされたリソースを管理する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

プライベートエンドポイントを作成する

ロックダウンされたリソースを管理する