Azure SignalR Service のカスタムドメインを構成する

2025-04-22

Azure SignalR Service で提供される既定のドメインに加えて、カスタムドメインネームシステム (DNS) ドメインをサービスに追加することもできます。この記事では、Azure SignalR Service リソースにカスタムドメインを追加する方法について説明します。

前提条件

Azure App Service または Microsoft 以外のレジストラーを介して登録されたカスタムドメイン。
アクティブなサブスクリプションが含まれる Azure アカウント。持っていない場合は、無料で作成できます。
Azure リソースグループ。
Azure SignalR Service リソース。
Azure Key Vault インスタンス。
Key Vault インスタンスに格納されているカスタムドメイン TLS/SSL 証明書。詳細については、「 Key Vault 証明書の概要」を参照してください。
Azure DNS ゾーン (省略可能)。

カスタム証明書を追加する

カスタムドメインを追加する前に、カスタム TLS/SSL 証明書を追加する必要があります。 Azure SignalR Service リソースは、マネージド ID を介してキーコンテナーに格納されている証明書にアクセスします。

注

カスタムドメイン機能は Premium レベルの機能です。ダウンタイムなしで Standard レベルのリソースを Premium レベルにアップグレードできます。

Azure SignalR Service でマネージド ID を有効にする

システム割り当てまたはユーザー割り当てマネージド ID のどちらかを使用できます。この記事では、システム割り当てマネージド ID を使用する方法について説明します。

Azure portal で、Azure SignalR Service リソースに移動します。
左側のウィンドウにある ID を選択します。
[システム割り当て済み] 表で、[状態] を [オン] に設定します。
保存を選択します。システム割り当てマネージド ID を有効にするように求められたら、[ はい] を選択します。

ID が作成されると、オブジェクト (プリンシパル) ID が表示されます。 Azure SignalR Service では、システム割り当てマネージド ID のオブジェクト ID を使用してキーコンテナーにアクセスします。マネージド ID の名前は、Azure SignalR Service インスタンスの名前と同じです。次のセクションでは、名前またはオブジェクト ID を使用してプリンシパル (マネージド ID) を検索します。

マネージド ID に、キーコンテナーへのアクセス権を付与する

Azure SignalR Service では、マネージド ID を使用してキーコンテナーにアクセスします。マネージド ID に、キーコンテナーにアクセスするためのアクセス許可を付与する必要があります。

アクセス許可を付与する手順は、 キーコンテナーのアクセス許可モデルとして Vault アクセスポリシー と Azure ロールベースのアクセス制御 のどちらを選択したかによって異なります。

コンテナーアクセスポリシー
Azure ロールベースのアクセス制御

キーコンテナーのアクセス許可モデルとしてコンテナーのアクセスポリシーを使用する場合は、次の手順に従って新しいアクセスポリシーを追加します。

キーコンテナーリソースに移動します。
左側のウィンドウで、[ アクセスポリシー] を選択します。
［作成］ を選択します
[ アクセス許可 ] タブで、次の手順を実行します。
1. [ シークレットのアクセス許可] で、[取得] を選択。
2. [ 証明書のアクセス許可] で、[取得] を選択 します。
[次へ] を選択して、[プリンシパル] タブに進みます。
検索ボックスにマネージド ID のオブジェクト ID を入力します。
検索結果からマネージド ID を選択します。
[確認および作成] タブを選択します。
[確認および作成] タブで、 [作成] を選択します。

Azure SignalR Service インスタンスのマネージド ID は、アクセスポリシーの表に一覧表示されます。

Azure SignalR Service リソースにカスタム証明書を追加する

カスタム証明書を Azure SignalR Service リソースに追加するには、次の手順に従います。

Azure portal で、Azure SignalR Service リソースに移動します。
左側のウィンドウで、[ カスタムドメイン] を選択します。
[カスタム証明書] で [追加] を選択します。
カスタム証明書の名前を入力します。
Key Vault 証明書を選択するには、 Key Vault から [選択] を選択します。選択すると、 Key Vault のベース URI と Key Vault シークレット名 が自動的に入力されます。または、フィールドを手動で入力します。
必要に応じて、証明書を特定のバージョンにピン留めする場合は、 Key Vault シークレットバージョン の値を指定できます。
[追加] を選択します。

Azure SignalR Service は証明書をフェッチし、その内容を検証します。成功すると、 プロビジョニング状態 に証明書の 成功が表示されます 。

カスタムドメインの CNAME レコードを作成する

Azure DNS ゾーンまたは Microsoft 以外のレジストラーサービスを使用して、カスタムドメインの CNAME レコードを作成する必要があります。 CNAME レコードは、カスタムドメインから Azure SignalR Service の既定のドメインへのエイリアスを作成します。 Azure SignalR Service では、レコードを使用してカスタムドメインの所有権を検証します。

たとえば、既定のドメインがcontoso.service.signalr.netで、カスタムドメインがcontoso.example.com場合は、example.comにCNAME レコードを作成する必要があります。

CNAME レコードを作成したら、DNS 参照を実行してCNAME情報を表示できます。この例では、 linux dig (DNS 参照) コマンドからの出力は次の出力のようになります。

 contoso.example.com. 0 IN CNAME contoso.service.signalr.net.

Azure DNS ゾーンを使用している場合は、「 DNS レコードの管理」を参照して、 CNAME レコードを追加する方法を確認してください。

Azure DNS ゾーンに CNAME レコードを追加する方法を示すスクリーンショット。

他の DNS プロバイダーを使用している場合は、プロバイダーのガイドに従って CNAME レコードを作成します。

カスタムドメインの追加

次に、カスタムドメインを Azure SignalR Service リソースに追加します。

Azure portal で、Azure SignalR Service リソースに移動します。
左側のウィンドウで、[ カスタムドメイン] を選択します。
[カスタムドメイン] で [追加] を選択します。
カスタムドメインの名前を入力します。
カスタムドメインの完全なドメイン名を入力します。たとえば、contoso.com を使用 します。
このカスタムドメインに適用されるカスタム証明書を選択します。
[追加] を選択します。

カスタムドメインの検証

カスタムドメインを検証するには、正常性 API を使用できます。正常性 API は、Azure SignalR Service インスタンスの正常性状態を返すパブリックエンドポイントです。ヘルス API は https://<your custom domain>/api/health で利用可能です。

cURL を使用する例を次に示します。

PowerShell
Bash

PS C:\> curl.exe -v https://contoso.example.com/api/health
...
> GET /api/health HTTP/1.1
> Host: contoso.example.com

< HTTP/1.1 200 OK

$ curl -vvv https://contoso.example.com/api/health
...
*  SSL certificate verify ok.
...
> GET /api/health HTTP/2
> Host: contoso.example.com
...
< HTTP/2 200

証明書エラーなしで 200 状態コードを返す必要があります。

プライベートネットワーク内の Key Vault にアクセスする

キーコンテナーに対してプライベートエンドポイントを構成した場合、Azure SignalR Service はパブリックネットワーク経由でキーコンテナーにアクセスできません。共有プライベートエンドポイントを作成することで、プライベートネットワーク経由で Azure SignalR Service にキーコンテナーへのアクセス権を付与できます。

共有プライベートエンドポイントを作成したら、カスタム証明書を追加します。詳細については、「 Azure SignalR Service リソースにカスタム証明書を追加する」を参照してください。

重要

キーコンテナー URI のドメインを変更する必要はありません。たとえば、キーコンテナーのベース URI が https://contoso.vault.azure.netされている場合は、この URI を使用してカスタム証明書を構成します。

キーコンテナーのファイアウォール設定で Azure SignalR Service の IP アドレスを明示的に許可する必要はありません。詳細については、 Key Vault のプライベートリンク診断に関するページを参照してください。

証明書のローテーション

カスタム証明書を作成するときにシークレットバージョンを指定しない場合、Azure SignalR Service は Key Vault の最新バージョンを定期的にチェックします。新しいバージョンが検出されると、自動的にそれが適用されます。通常、遅延は 1 時間以内です。

または、Key Vault の特定のシークレットバージョンにカスタム証明書をピン留めすることもできます。新しい証明書を適用する必要がある場合は、シークレットバージョンを編集してから、カスタム証明書を事前に更新できます。

リソースをクリーンアップする

この記事で作成したリソースを使用する予定がない場合は、リソースグループを削除できます。

注意事項

リソースグループを削除すると、その中に含まれているすべてのリソースが削除されます。この記事の範囲外のリソースが指定されたリソースグループに存在する場合は、それらのリソースも削除されます。

次の方法で共有

Azure SignalR Service のカスタム ドメインを構成する

前提条件

カスタム証明書を追加する

Azure SignalR Service でマネージド ID を有効にする

マネージド ID に、キー コンテナーへのアクセス権を付与する

Azure SignalR Service リソースにカスタム証明書を追加する

カスタム ドメインの CNAME レコードを作成する

カスタム ドメインの追加

カスタム ドメインの検証

プライベート ネットワーク内の Key Vault にアクセスする