Azure App Configuration でプライベート アクセスを設定する

この記事では、Azure Private Link を使用してプライベート エンドポイントを作成して、Azure App Configuration ストアのプライベート アクセスを設定する方法について説明 します 。 プライベート エンドポイントを使用すると、仮想ネットワークからのプライベート IP アドレスを使用して App Configuration ストアにアクセスできます。

前提条件

• アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成できます。
• 既に App Configuration ストアがあることを前提としています。 作成する場合は、 App Configuration ストアの作成に移動します。

Azure にサインインする

App Configuration サービスにアクセスするには、まず Azure にサインインする必要があります。

ポータル

Azure アカウントで Azure Portal (https://portal.azure.com/) にサインインします。

Azure CLI

Azure CLI の az login コマンドを使用して Azure にサインイン します。

az login

このコマンドを実行すると、Web ブラウザーが起動して、Azure サインイン ページが読み込まれます。 ブラウザーを開けない場合は、az login --use-device-code でデバイス コード フローを使用します。 その他のサインイン オプションについては、「Azure CLI を使用してサインインする」を参照してください。

プライベート エンドポイントを作成する

ポータル

1. App Configuration ストアの [設定] で [ ネットワーク] を選択します。

2. [ プライベート アクセス ] タブを選択し、[ 作成 ] を選択して新しいプライベート エンドポイントの設定を開始します。

   

3. フォームに次の情報を入力します。

   パラメーター	説明	例
   サブスクリプション	Azure サブスクリプションを選択します。 プライベート エンドポイントは、仮想ネットワークと同じサブスクリプションに存在する必要があります。 この攻略ガイドの後の方で、仮想ネットワークを選びます。	MyAzureSubscription
   リソースグループ	リソース グループを選択するか、新しく作成します。	MyResourceGroup
   名前	App Configuration ストアの新しいプライベート エンドポイントの一意の名前を入力します。 Azure portal を使用する場合、プライベート エンドポイント接続名はプライベート エンドポイント名と同じになります。 App Configuration ストアには、一意のプライベート エンドポイント接続名が必要です。	MyPrivateEndpoint
   ネットワーク インターフェイス名	このフィールドは自動的に補完されます。 必要に応じて、ネットワーク インターフェイスの名前を編集します。	MyPrivateEndpoint-nic
   リージョン	リージョンを選択します。 プライベート エンドポイントは、仮想ネットワークと同じリージョンに存在する必要があります。	米国中部

   

4. [次へ: リソース]> を選びます。 Private Link には、SQL サーバー、Azure ストレージ アカウント、App Configuration ストアなど、さまざまな種類の Azure リソースのプライベート エンドポイントを作成するオプションが用意されています。 現在の App Configuration ストアは、プライベート エンドポイントが接続するリソースであるため、リソース フィールドに自動的に入力されます。

   1. リソースの種類 Microsoft.AppConfiguration/configurationStores とターゲット サブリソース configurationStores は、App Configuration ストアのエンドポイントを作成していることを示します。

   2. 構成ストアの名前が [リソース] の下に表示されます。

   

5. [次へ: 仮想ネットワーク]> を選びます。

   1. プライベート エンドポイントのデプロイ先として、既存の [仮想ネットワーク] を選びます。 仮想ネットワークがない場合、仮想ネットワークを作成します。

   2. 一覧から [サブネット] を選びます。

   3. [ このサブネット内のすべてのプライベート エンドポイントのネットワーク ポリシーを有効にする ] チェック ボックスはオンのままにします。

   4. [プライベート IP 構成] で、IP アドレスを動的に割り当てるオプションを選びます。 詳細については、「プライベート IP アドレス」を参照してください。

   5. 必要に応じて、[アプリケーション セキュリティ グループ] を選択または作成します。 アプリケーション セキュリティ グループを使うと、仮想マシンをグループ化し、それらのグループに基づいてネットワーク セキュリティ ポリシーを定義できます。

   

6. [次へ: DNS]> を選び、DNS レコードを構成します。 既定の設定を変更しない場合は、次のタブに進みます。

   1. [プライベート DNS ゾーンとの統合] では [はい] を選んで、プライベート エンドポイントをプライベート DNS ゾーンと統合します。 独自の DNS サーバーを使用することも、仮想マシン上のホスト ファイルを使用して DNS レコードを作成することもできます。

   2. プライベート DNS ゾーンのサブスクリプションとリソース グループは事前に選ばれています。 これらは必要に応じて変更できます。

   

   DNS の構成の詳細については、Azure 仮想ネットワークでのリソースの名前解決とプライベート エンドポイントの DNS 構成に関するページを参照してください。

7. [次へ: タグ]> を選び、必要に応じてタグを作成します。 タグは名前と値のペアで、同じタグを複数のリソースやリソース グループに適用することでリソースを分類したり、統合した請求を表示したりできるようにします。

   

8. [次へ: 確認と作成] >を選択して、App Configuration ストア、プライベート エンドポイント、仮想ネットワーク、DNS に関する情報を確認します。 [Automation のテンプレートをダウンロードする] を選び、このフォームからの JSON データを後で再利用することもできます。

   

9. を選択してを作成します。

デプロイが完了すると、エンドポイントが作成されたことを示す通知が表示されます。 自動承認されている場合は、アプリ構成ストアへのプライベートアクセスを開始できます。それ以外の場合は、承認を待つ必要があります。

Azure CLI

1. プライベート エンドポイントを設定するには、仮想ネットワークが必要です。 まだない場合は、az network vnet create を使って仮想ネットワークを作成します。 <vnet-name>、<rg-name>、<subnet-name>のプレースホルダー テキストを、新しい仮想ネットワークの名前、リソース グループ名、サブネット名に置き換えます。

   az network vnet create --name <vnet-name> --resource-group <rg-name> --subnet-name <subnet-name> --location <vnet-location>
   

   プレースホルダー	説明	例
   <vnet-name>	新しい仮想ネットワークの名前を入力します。 仮想ネットワークによって、Azure リソースが互いにプライベートな通信や、インターネットとの通信ができるようになります。	MyVNet
   <rg-name>	仮想ネットワーク用の既存のリソース グループの名前を入力します。	MyResourceGroup
   <subnet-name>	新しいサブネットの名前を入力します。 サブネットは、ネットワーク内のネットワークです。 ここにプライベート IP アドレスが割り当てられます。	MySubnet
   <vnet-location>	Azure リージョンを入力します。 仮想ネットワークは、プライベート エンドポイントと同じリージョンに存在する必要があります。	centralus

2. az appconfig show コマンドを実行して、プライベート アクセスを設定する App Configuration ストアのプロパティを取得します。 プレースホルダー name を名前または App Configuration ストアに置き換えます。

   az appconfig show --name <name>
   

   このコマンドは、App Configuration ストアに関する情報を含む出力を生成します。 ID 値をメモします。 例: /subscriptions/123/resourceGroups/MyResourceGroup/providers/Microsoft.AppConfiguration/configurationStores/MyAppConfigStore。

3. コマンド az network private-endpoint create を実行して、App Configuration ストアのプライベート エンドポイントを作成します。 プレースホルダーのテキスト <resource-group>、<private-endpoint-name>、<vnet-name>、<private-connection-resource-id>、<connection-name>、<location> を実際の情報に置き換えます。

   az network private-endpoint create --resource-group <resource-group> --name <private-endpoint-name> --vnet-name <vnet-name> --subnet Default --private-connection-resource-id <private-connection-resource-id> --connection-name <connection-name> --location <location> --group-id configurationStores
   

   プレースホルダー	説明	例
   <resource-group>	プライベート エンドポイントの既存のリソース グループの名前を入力します。	MyResourceGroup
   <private-endpoint-name>	新しいプライベート エンドポイントの名前を入力します。	MyPrivateEndpoint
   <vnet-name>	既存の vnet の名前を入力します。	Myvnet
   <private-connection-resource-id>	App Configuration ストアのプライベート接続リソース ID を入力します。 これは、前の手順の出力から保存した ID です。	/subscriptions/123/resourceGroups/MyResourceGroup/providers/Microsoft.AppConfiguration/configurationStores/MyAppConfigStore
   <connection-name>	接続名を入力します。 App Configuration ストアには、一意のプライベート エンドポイント接続名が必要です。	MyConnection
   <location>	Azure リージョンを入力します。 プライベート エンドポイントは、仮想ネットワークと同じリージョンに存在する必要があります。	centralus

プライベート リンク接続を管理する

ポータル

App Configuration ストアの ネットワーク>Private Access に移動して、App Configuration ストアにリンクされているプライベート エンドポイントにアクセスします。

1. プライベート リンク接続の接続状態を確認します。 プライベート エンドポイントを作成する際は、接続を承認する必要があります。 プライベート エンドポイントを作成する対象のリソースが自分のディレクトリにあり、十分なアクセス許可がある場合、接続要求は自動承認されます。 そうでない場合は、そのリソース所有者が接続要求を承認するのを待つ必要があります。 接続承認モデルの詳細については、「Azure プライベート エンドポイントの管理」を参照してください。

2. 接続を手動で承認、拒否、または削除するには、編集するエンドポイントの横にあるチェック ボックスをオンにし、上部メニューからアクション項目を選びます。

   

3. プライベート エンドポイントの名前を選び、プライベート エンドポイント リソースを開いて詳細情報にアクセスするか、プライベート エンドポイントを編集します。

Azure CLI

プライベート エンドポイント接続の詳細を確認する

az network private-endpoint-connection list コマンドを実行して、App Configuration ストアにリンクされているすべてのプライベート エンドポイント接続を確認し、その接続状態を確認します。 resource-groupおよび<app-config-store-name>のプレースホルダー テキストを、リソース グループの名前とストアの名前に置き換えます。

az network private-endpoint-connection list --resource-group <resource-group> --name <app-config-store-name> --type Microsoft.AppConfiguration/configurationStores

必要に応じて、特定のプライベート エンドポイントの詳細を取得するには、az network private-endpoint-connection show コマンドを使います。 resource-groupおよびapp-config-store-nameのプレースホルダー テキストを、リソース グループの名前とストアの名前に置き換えます。

az network private-endpoint-connection show --resource-group <resource-group> --name <app-config-store-name> --type Microsoft.AppConfiguration/configurationStores

接続の承認を得る

プライベート エンドポイントを作成する際は、接続を承認する必要があります。 プライベート エンドポイントを作成する対象のリソースが自分のディレクトリにあり、十分なアクセス許可がある場合、接続要求は自動承認されます。 そうでない場合は、そのリソース所有者が接続要求を承認するのを待つ必要があります。

プライベート エンドポイント接続を承認するには、az network private-endpoint-connection approve コマンドを使います。 resource-group、private-endpoint、<app-config-store-name>のプレースホルダー テキストを、リソース グループの名前、プライベート エンドポイントの名前、ストアの名前に置き換えます。

az network private-endpoint-connection approve --resource-group <resource-group> --name <private-endpoint> --type Microsoft.AppConfiguration/configurationStores --resource-name <app-config-store-name>

接続承認モデルの詳細については、「Azure プライベート エンドポイントの管理」を参照してください。

プライベート エンドポイント接続を削除する

プライベート エンドポイント接続を削除するには、az network private-endpoint-connection delete コマンドを使います。 プレースホルダーのテキスト resource-group、private-endpoint を、リソース グループの名前、プライベート エンドポイントの名前に置き換えます。

az network private-endpoint-connection delete --resource-group <resource-group> --name <private-endpoint>

CLI コマンドの詳細については、「az network private-endpoint-connection」を参照してください

プライベート エンドポイントで問題が発生した場合は、次のガイド「Azure プライベート エンドポイント接続に関する問題のトラブルシューティング」を確認します。

次のステップ

Azure App Configuration にプライベート エンドポイントを使用する

Azure App Configuration でパブリック アクセスを無効にする