適用対象:
Azure SQL データベース
ネットワークセキュリティペリメーター(プレビュー)は、Azure SQL DatabaseとAzure StorageやAzure Key Vaultなどの他のプラットフォーム・As a Service(PaaS)リソースとの間の受信および送信の両方のネットワークトラフィックを保護します。 境界外のAzureリソースとの通信をブロックします。
Note
この記事で紹介しているテクノロジはプレビュー機能であり、「Microsoft Azure プレビューの追加利用規約」に従うことを条件として提供されます。
概要
Azure portal で、リソースの一覧で ネットワーク セキュリティ境界 を検索し、[ 作成] を選択します。
[名前] と [リージョン] を指定して、サブスクリプションを選択します。
[ リソース ] セクションで、[ 追加 ] ボタンを選択し、境界に関連付ける SQL Database に移動します。
インバウンドアクセスルールを追加してください。 ソースの種類は、IP アドレス、サブスクリプション、またはその他のネットワーク セキュリティ境界のいずれかです。
境界内のリソースが外部のリソースに接続できるように、アウトバウンドアクセスルールを追加してください。
すでにAzure SQL Databaseをお持ちでネットワークセキュリティ境界を追加したい場合は、以下の手順をご利用ください。
Azure portal で、既存のネットワーク セキュリティ境界を検索します。
[設定] メニューから [関連付けられているリソース] を選択します。
[ 追加 ] ボタンを選択し、[ リソースを既存のプロファイルに関連付ける] を選択します。
ドロップダウンリストから プロフィール を選択し、「 追加」を選択します。
SQL Database リソースを検索し、必要なリソースを選択してから、Associate を選択します。
ネットワークセキュリティペリメーターを備えたSQLデータベースを使いましょう
デフォルトでは、ネットワークセキュリティ周辺は トランジションモード(かつては学習モードと呼ばれていました)を使用しており、これを使ってSQLデータベースへのすべてのトラフィックを記録できます。 Azure Network Security Perimeterの診断ログを使うことで、ネットワークトラフィックをLog AnalyticsワークスペースやAzure Storageアカウントにログできます。 準備ができたら、周囲を 強制 モードに切り替えてください。 強制モードでは、アクセス拒否は以下のエラーを返します:
Error 42118
Login failed because the network security perimeter denied inbound access.
機能のサポート
すべてのAzure SQL Database機能がネットワークセキュリティ境界と同じ方法で相互作用するわけではありません。 一部の機能は論理サーバー間でデータを移動させ、一部は他のAzureサービスとアウトバウンド接続し、また一部は境界内で全く動作しません。 以下の表はこれまでに記録された特徴をまとめています。 このリストは、周辺検証を完成させる機能が増えるにつれて増えています。 ネットワークセキュリティ境界との機能、セットアップ手順、制限について詳しく知るには、機能を選択してください。
| 特徴 | 周囲支援 | 知っておく必要があること |
|---|---|---|
| 拡張イベント | Supported |
event_fileターゲットとイベントデータを読み取る関数はアウトバウンドAzure Storageに接続されます。 強制モードでは管理型IDを使うか、SASトークンを使う場合はストレージアカウントにアウトバウンドFQDNルールを追加してください。 |
| エラスティック クエリ | 単一の境界内でサポートされる | クエリを実行するデータベースとリモートデータベースは同じ境界内にいなければなりません。 Elasticクエリ自体は独自の境界設定を必要としません。 |
| SQL データ同期 | 設計ではサポートされていません | データ同期はAzureリソースではなくプロキシサービスとして動作するため、FQDNやIPアドレスを対象にペリメータールールを書くことはできません。 境界は、トランジションモードと強制モードの両方でデータ同期が必要とするネットワーク経路を遮断します。 |
制限事項
- 1 つ以上の専用 SQL プール (旧称 SQL DW) が含まれている場合、Azure SQL Database の論理サーバーをネットワーク セキュリティ境界に関連付けることはできません。
- Azure SQL Databaseのネットワークセキュリティペリメーターサポートは、Azureパブリッククラウドリージョンで利用可能です。 Azure Governmentでは利用できません。 現在のオンボーディングサービス一覧については、 オンボーディングプライベートリンクリソースをご覧ください。