DISA CAP に接続されている DoD のお客様向けのApp Service Environmentリファレンス

この記事では、防御情報システムエージェンシー (DISA) クラウド アクセス ポイント (CAP) を使用して Azure Government に接続する顧客向けの、内部ロード バランサー (ILB) を使用したApp Service Environment (ASE) のベースライン構成について説明します。

環境の構成

前提条件

ILB を使用して ASE をデプロイし、DISA CAP への ExpressRoute 接続を実装しました。

ルートテーブル

Azure Government ポータルを使用して ASE を作成すると、既定のルートが 0.0.0.0/0 で次ホップ "インターネット" のルート テーブルが作成されます。 ただし、DISA は ExpressRoute 回線から既定のルートをアドバタイズするため、ユーザー定義ルート (UDR) を削除するか、インターネットへの既定のルートを削除する必要があります。

ASE を正常に保つために、管理アドレスの UDR に新しいルートを作成する必要があります。 Azure Government の範囲については、App Service Environment 管理アドレスを参照してください。

  • 23.97.29.209/32 -> インターネット
  • 13.72.53.37/32 -> インターネット
  • 13.72.180.105/32 -> インターネット
  • 52.181.183.11/32 -> インターネット
  • 52.227.80.100/32 -> インターネット
  • 52.182.93.40/32 -> インターネット
  • 52.244.79.34/32 -> インターネット
  • 52.238.74.16/32 -> インターネット

ASE がデプロイされているサブネットに UDR が適用されていることを確認します。

ネットワーク セキュリティ グループ (NSG)

ASE は、次の受信および送信セキュリティ規則で作成されます。 受信セキュリティ規則では、一時的なソース ポート範囲 (*) を持つポート 454 から 455 を許可する 必要があります 。 次の図では、ASE の作成時に生成される既定の NSG ルールについて説明します。 詳細については、App Service Environment のネットワークに関する考慮事項を参照してください。

ILB ASE の既定の受信 NSG セキュリティ規則。

ILB ASE の既定の送信 NSG セキュリティ規則。

サービス エンドポイント

使用するストレージに応じて、DISA CAP に戻らずにAzure SQL DatabaseとAzure Storageがアクセスできるようにサービス エンドポイントを有効にする必要があります。 また、ASE ログに対して Event Hubs サービス エンドポイントを有効にする必要もあります。 詳細については、「App Service Environment: サービス エンドポイント」に関するネットワーキングの考慮事項を参照してください。

よく寄せられる質問

構成の変更が有効になるにはどのくらいの時間がかかりますか?
一部の構成変更が有効になるまでに時間がかかる場合があります。 ルーティング、NSG、ASE Health などの変更が完全に伝搬して効果を発揮するまで、数時間かかることがあります。 それ以外の場合は、必要に応じて ASE を再起動できます。

Azure Resource Manager テンプレートのサンプル

注

ポータルで RFC 1918 以外の IP アドレスをデプロイするには、ASE の VNet とサブネットを事前にステージングする必要があります。 Azure Resource Manager テンプレートを使用して、RFC1918以外の IP を使用して ASE をデプロイすることもできます。


Azure Gov にデプロイするボタン

このテンプレートは、ILB ASEを Azure Government または DoD リージョンにデプロイします。

次のステップ

  • Last updated on