Azure AI サービスの仮想ネットワークを構成する

[アーティクル]
03/25/2024

Azure AI サービスは、多層型のセキュリティモデルを採用しています。このモデルでは、ネットワークの特定のサブセットに、Azure AI サービスアカウントを固定することができます。ネットワークルールを構成すると、指定したネットワークのセットを経由してデータを要求しているアプリケーションのみが、アカウントにアクセスできます。 要求フィルターを使用してリソースへのアクセスを制限して、Azure 仮想ネットワーク内の指定した IP アドレス、IP 範囲、またはサブネットのリストから発信された要求のみを許可することができます。

ネットワークルールが有効なときに Azure AI サービスリソースにアクセスするアプリケーションでは、認可が必要です。承認は、Microsoft Entra ID 資格情報、または有効な API キーによりサポートされます。

重要

Azure AI サービスアカウントのファイアウォール規則をオンにすると、既定ではデータの受信要求がブロックされます。要求を通すよう許可するには、次のいずれかの条件を満たしている必要があります。

要求は、ターゲットの Azure AI サービスアカウントの許可されたサブネットの一覧にある Azure 仮想ネットワーク内で動作するサービスから発信されます。仮想ネットワークを発信元とする要求のエンドポイントは、Azure AI サービスアカウントのカスタムサブドメインとして設定する必要があります。
要求は、許可された IP アドレスのリストから発信されます。

ブロックされる要求には、他の Azure サービスからの要求、Azure portal からの要求、ログおよびメトリックサービスからの要求が含まれます。

注意

Azure を操作するには、Azure Az PowerShell モジュールを使用することをお勧めします。作業を開始するには、Azure PowerShell のインストールに関する記事を参照してください。 Az PowerShell モジュールに移行する方法については、「AzureRM から Az への Azure PowerShell の移行」を参照してください。

シナリオ

Azure AI サービスリソースをセキュリティで保護するには、最初に、(インターネットトラフィックを含む) すべてのネットワークからのトラフィックに対して既定でアクセスを拒否するように、ルールを構成する必要があります。次に、特定の仮想ネットワークからのトラフィックにアクセスを許可するルールを構成します。この構成では、アプリケーションに対してセキュリティで保護されたネットワーク境界を構築することができます。また、選択したパブリックインターネット IP アドレス範囲からのトラフィックにアクセスを許可して、インターネットやオンプレミスの特定のクライアントからの接続を有効にすることもできます。

Azure AI サービスに対して、REST や WebSocket などのすべてのネットワークプロトコルにネットワークルールが適用されます。 Azure のテストコンソールのようなツールを使用してデータにアクセスするには、明示的なネットワークルールを構成する必要があります。既存の Azure AI サービスリソース、または新しい Azure AI サービスリソースを作成するときに、ネットワークルールを適用できます。ネットワークルールが適用されると、そのルールはすべての要求に対して適用されます。

サポートされているリージョンとサービス内容

仮想ネットワークは、Azure AI サービスが使用可能なリージョンでサポートされます。 Azure AI サービスは、ネットワークルールの構成用のサービスタグをサポートしています。こちらに示すサービスは、CognitiveServicesManagement サービスタグに含まれています。

Anomaly Detector
Azure OpenAI
Content Moderator
Custom Vision
Face
Language Understanding (LUIS)
Personalizer
Speech サービス
Language
QnA Maker
Translator

Note

Azure OpenAI、LUIS、Speech Services、または言語サービスを使用している場合、CognitiveServicesManagement タグを指定しても、SDK または REST API を使用してサービスを使用できるようになるだけです。仮想ネットワークから Azure OpenAI Studio、LUIS ポータル、Speech Studio または言語サービスにアクセスして使用するには、次のタグを使用する必要があります。

AzureActiveDirectory
AzureFrontDoor.Frontend
AzureResourceManager
CognitiveServicesManagement
CognitiveServicesFrontEnd
Storage (Speech Studio のみ)

既定のネットワークアクセスルールの変更

既定では、Azure AI サービスリソースは任意のネットワーク上のクライアントからの接続を受け入れます。選択したネットワークへのアクセスを制限するには、まず既定のアクションを変更する必要があります。

警告

ネットワークルールを変更すると、Azure AI サービスに接続するアプリケーションの機能に影響が及ぶことがあります。既定のネットワークルールを拒否に設定すると、アクセスを許可する特定のネットワークルールも合わせて適用されていない限り、データへのアクセスがすべてブロックされます。

アクセスを拒否する既定のルールを変更する前に、ネットワークルールを使用して、許可されたネットワークへのアクセスを許可するようにしてください。オンプレミスネットワークの IP アドレスを一覧表示することを許可する場合は、オンプレミスネットワークから発信することができるすべてのパブリック IP アドレスを追加してください。

既定のネットワークアクセスルールを管理する

Azure AI サービスリソースの規定のネットワークアクセスルールは、Azure portal、PowerShell、または Azure CLI で管理できます。

セキュリティで保護する Azure AI サービスリソースにアクセスします。
[リソース管理] を選択して展開し、[ネットワーク] を選択します。
既定でアクセスを拒否するには、[ファイアウォールと仮想ネットワーク] で、[選択したネットワークとプライベートエンドポイント] を選択します。

この設定のみ行った状態で、[仮想ネットワーク] または [アドレス範囲] を構成していない場合 - すべてのアクセスが効率的に拒否されます。すべてのアクセスが拒否された場合、Azure AI サービスリソースを使用しようとしている要求は許可されません。これまで通り、Azure portal、Azure PowerShell または Azure CLI を使用して Azure AI サービスリソースを構成することもできます。
すべてのネットワークからのトラフィックを許可するには、[すべてのネットワーク] を選択します。
[保存] を選択して変更を保存します。

Azure PowerShell をインストールしてサインインするか、[Cloudshell を開く] を選択します。
Azure AI サービスリソースの既定のルールの状態を表示します。
```
$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).DefaultAction
```
Azure portal で、リソースグループ myresourcegroup の値と Azure サービスリソース myaccount の名前を取得できます。

ネットワークアクセスを拒否する既定のルールを設定します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Deny"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

ネットワークアクセスを許可する既定のルールを設定します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "DefaultAction" = "Allow"
}
Update-AzCognitiveServicesAccountNetworkRuleSet @parameters

Azure CLI をインストールしてサインインするか、[Cloudshell を開く] を選択します。

Azure AI サービスリソースの既定のルールの状態を表示します。

az cognitiveservices account show \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query properties.networkAcls.defaultAction

後の手順で使用するリソース ID を取得します。

resourceId=$(az cognitiveservices account show
    --resource-group "myresourcegroup" \
    --name "myaccount" --query id --output tsv)

既定でネットワークアクセスを拒否する既定のルールを設定します。

az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Deny'}"

既定でネットワークアクセスを許可する既定のルールを設定します。

az resource update \
    --ids $resourceId \
    --set properties.networkAcls="{'defaultAction':'Allow'}"

仮想ネットワークからアクセスの許可

パブリックインターネットの特定のサブネットからのアクセスのみを許可するように、Azure AI サービスリソースを構成できます。許可されたサブネットは、同じサブスクリプションの仮想ネットワークに属する場合や、異なるサブスクリプションに属する場合があります。他のサブスクリプションは、別の Microsoft Entra テナントに属することができます。サブネットが別のサブスクリプションに属している場合、Microsoft.CognitiveServices リソースプロバイダーもそのサブスクリプションに登録されている必要があります。

仮想ネットワーク内の Azure AI サービスに対するサービスエンドポイントを有効にすることができます。サービスエンドポイントを使用すると、最適なパスを経由して、仮想ネットワークから Azure AI サービスへトラフィックがルーティングされます。詳細については、「仮想ネットワークサービスエンドポイント」を参照してください。

サブネットと仮想ネットワークの ID も、各要求と一緒に転送されます。管理者は、その後、仮想ネットワーク内の特定のサブネットからの要求を許可するネットワーク規則を、Azure AI サービスリソースに対して構成できます。これらのネットワークルールによってアクセスを許可されたクライアントがデータにアクセスするには、Azure AI サービスリソースの認可要件を引き続き満たす必要があります。

各 Azure AI サービスリソースでは最大 100 個の仮想ネットワークルールがサポートされ、それを IP ネットワーク規則と組み合わせることができます。詳細については、この記事で後述する「インターネットの IP 範囲からのアクセスを許可する」を参照してください。

必要なアクセス許可を設定する

Azure AI サービスリソースに仮想ネットワーク規則を適用するには、追加されるサブネットに対する適切なアクセス許可が必要です。必要なアクセス許可は、既定の共同作成者ロール、または Cognitive Services 共同作成者ロールです。必要なアクセス許可をカスタムロール定義に追加することもできます。

Azure AI サービスリソースおよびアクセスを許可された仮想ネットワークは、他の Azure AD テナントの一部であるサブスクリプションなどの、異なるサブスクリプションに含まれる場合があります。

Note

異なる Microsoft Entra テナントの一部である仮想ネットワーク内のサブネットへのアクセスを許可するルールの構成は、現在、PowerShell、Azure CLI、REST API でのみサポートされています。これらの規則は Azure portal に表示できますが、構成することはできません。

仮想ネットワーク規則を構成する

Azure AI サービスリソースの仮想ネットワーク規則は、Azure portal、PowerShell、または Azure CLI で管理できます。

既存のネットワーク規則を使用して仮想ネットワークへのアクセスを許可するには、次のようにします。

セキュリティで保護する Azure AI サービスリソースにアクセスします。
[リソース管理] を選択して展開し、[ネットワーク] を選択します。
選択した [選択されたネットワークとプライベートエンドポイント] を確認します。
[許可するアクセス元] で、[既存の仮想ネットワークを追加] を選択します。
[仮想ネットワーク] と [サブネット] オプションを選択して、 [有効化] を選択します。

Note

Azure AI サービス用のサービスエンドポイントが、選択した仮想ネットワークとサブネットに対してまだ構成されていない場合は、この操作の中で構成することができます。

現在、同じ Microsoft Entra テナントに属する仮想ネットワークのみが、ルールの作成時に選択可能です。別のテナントに属する仮想ネットワーク内のサブネットにアクセスを許可するには、PowerShell、Azure CLI、または REST API を使用します。
[保存] を選択して変更を保存します。

新しい仮想ネットワークを作成してアクセスを許可するには、次のようにします。

前の手順と同じページで、[新しい仮想ネットワークを追加] を選択します。
新しい仮想ネットワークの作成に必要な情報を指定して、 [作成] を選択します。
[保存] を選択して変更を保存します。

仮想ネットワークまたはサブネット規則を削除するには、次のようにします。

前の手順と同じページで、...(その他のオプション) を選択し、仮想ネットワークまたはサブネットのコンテキストメニューを開いて、[削除] を選択します。
[保存] を選択して変更を保存します。

Azure PowerShell をインストールしてサインインするか、[Cloudshell を開く] を選択します。

構成された仮想ネットワーク規則を一覧表示します。

$parameters = @{
   "ResourceGroupName" = "myresourcegroup"
   "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).VirtualNetworkRules

既存の仮想ネットワークとサブネットで、Azure AI サービス用のサービスエンドポイントを有効にします。

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" `
    -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" `
    -AddressPrefix "CIDR" `
    -ServiceEndpoint "Microsoft.CognitiveServices" | Set-AzVirtualNetwork

仮想ネットワークとサブネットに対するネットワークルールを追加します。
```
$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    -ResourceGroupName "myresourcegroup"
    -Name "myaccount"
    -VirtualNetworkResourceId $subnet.Id
}
Add-AzCognitiveServicesAccountNetworkRule @parameters
```
ヒント

別の Microsoft Entra テナントに属する仮想ネットワーク内のサブネット用にネットワークルールを追加するには、完全修飾された VirtualNetworkResourceId パラメーターを /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name の形式で使います。

仮想ネットワークとサブネットのネットワークルールを削除します。

$subParameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myvnet"
}
$subnet = Get-AzVirtualNetwork @subParameters | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "VirtualNetworkResourceId" = $subnet.Id
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Azure CLI をインストールしてサインインするか、[Cloudshell を開く] を選択します。

構成された仮想ネットワーク規則を一覧表示します。

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" \
    --query virtualNetworkRules

既存の仮想ネットワークとサブネットで、Azure AI サービス用のサービスエンドポイントを有効にします。

az network vnet subnet update --resource-group "myresourcegroup" --name "mysubnet" \
--vnet-name "myvnet" --service-endpoints "Microsoft.CognitiveServices"

仮想ネットワークとサブネットに対するネットワークルールを追加します。
```
subnetid=$(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule addition
az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid
```
ヒント

別の Microsoft Entra テナントに属する仮想ネットワーク内のサブネット用のルールを追加するには、完全修飾されたサブネット ID を /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name の形式で使います。

--subscription パラメーターを使って、別の Microsoft Entra テナントに属する仮想ネットワークのサブネット ID を取得できます。

仮想ネットワークとサブネットのネットワークルールを削除します。

$subnetid=(az network vnet subnet show \
    --resource-group "myresourcegroup" --name "mysubnet" --vnet-name "myvnet" \
    --query id --output tsv)

# Use the captured subnet identifier as an argument to the network rule removal
az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --subnet $subnetid

重要

拒否するように既定のルールを設定します。そうしないと、ネットワークルールは効力を発揮しません。

インターネットの IP 範囲からのアクセスを許可する

パブリックインターネットの特定の IP アドレス範囲からのアクセスを許可するように、Azure AI サービスリソースを構成できます。この構成では、一般的なインターネットトラフィックを効率的にブロックする特定のサービスとオンプレミスのネットワークにアクセスを許可します。

許可するインターネットアドレスの範囲は、CIDR 表記法 (RFC 4632) を使って 192.168.0.0/16 の形式で、または 192.168.0.1 のように個々の IP アドレスとして指定できます。

ヒント

/31 や /32 のプレフィックスサイズを使用する小さいアドレス範囲はサポートされていません。これらの範囲を構成するには、個別の IP アドレス規則を使用します。

IP ネットワークルールは、パブリックインターネットの IP アドレスに対してのみ許可されます。プライベートネットワーク用に予約されている IP アドレス範囲は、IP 規則では許可されません。プライベートネットワークには、10.*、172.16.* - 172.31.*、および 192.168.* で始まるアドレスが含まれます。詳細については、「プライベートアドレス空間 (RFC 1918)」を参照してください。

現在サポートされているのは、IPv4 アドレスのみです。各 Azure AI サービスリソースでは最大 100 個の IP ネットワーク規則がサポートされ、それを IP ネットワーク規則と組み合わせることができます。

オンプレミスのネットワークからのアクセスの構成

IP ネットワークルールでオンプレミスのネットワークから Azure AI サービスリソースへのアクセスを許可するには、ネットワークで使用するインターネット接続 IP アドレスを特定します。サポートが必要な場合は、ネットワーク管理者にお問い合わせください。

パブリックピアリングまたは Microsoft ピアリングのためにオンプレミスで Azure ExpressRoute を使用している場合、NAT の IP アドレスを識別する必要があります。詳細については、「Azure ExpressRoute とは」を参照してください。

パブリックピアリングの場合、各 ExpressRoute 回線は既定で 2 つの NAT IP アドレスを使用します。それぞれの NAT IP アドレスは、トラフィックが Microsoft Azure ネットワークバックボーンに入ったときに Azure サービストラフィックに適用されます。 Microsoft ピアリングの場合、使用される NAT の IP アドレスは、ユーザーが指定するか、サービスプロバイダーが指定します。サービスリソースへのアクセスを許可するには、リソースの IP ファイアウォール設定でこれらのパブリック IP アドレスを許可する必要があります。

パブリックピアリングの ExpressRoute 回線の IP アドレスを確認するには、Azure portal を使用して ExpressRoute のサポートチケットを開いてください。詳細については、「Azure パブリックピアリングの NAT 要件」を参照してください。

IP ネットワークルールの管理

Azure AI サービスリソースの IP ネットワークルールは、Azure portal、PowerShell、または Azure CLI で管理できます。

セキュリティで保護する Azure AI サービスリソースにアクセスします。
[リソース管理] を選択して展開し、[ネットワーク] を選択します。
選択した [選択されたネットワークとプライベートエンドポイント] を確認します。
[ファイアウォールと仮想ネットワーク] で、[アドレス範囲] オプションを見つけます。インターネット IP 範囲へのアクセスを許可するには、IP アドレスまたはアドレス範囲 (CIDR 形式) を入力します。有効なパブリック IP (予約されない) アドレスのみが受け入れられます。

IP ネットワークルールを削除するには、アドレス範囲の横にあるごみ箱のアイコンを選択します。
[保存] を選択して変更を保存します。

Azure PowerShell をインストールしてサインインするか、[Cloudshell を開く] を選択します。

構成された IP ネットワーク規則を一覧表示します。

$parameters = @{
  "ResourceGroupName" = "myresourcegroup"
  "Name" = "myaccount"
}
(Get-AzCognitiveServicesAccountNetworkRuleSet @parameters).IPRules

個々の IP アドレスに対するネットワークルールを追加します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

IP アドレス範囲に対するネットワークルールを追加します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Add-AzCognitiveServicesAccountNetworkRule @parameters

個々の IP アドレスに対するネットワークルールを削除します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "ipaddress"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

IP アドレス範囲に対するネットワークルールを削除します。

$parameters = @{
    "ResourceGroupName" = "myresourcegroup"
    "Name" = "myaccount"
    "IPAddressOrRange" = "CIDR"
}
Remove-AzCognitiveServicesAccountNetworkRule @parameters

Azure CLI をインストールしてサインインするか、[Cloudshell を開く] を選択します。

構成された IP ネットワーク規則を一覧表示します。

az cognitiveservices account network-rule list \
    --resource-group "myresourcegroup" --name "myaccount" --query ipRules

個々の IP アドレスに対するネットワークルールを追加します。

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

IP アドレス範囲に対するネットワークルールを追加します。

az cognitiveservices account network-rule add \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

個々の IP アドレスに対するネットワークルールを削除します。

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "ipaddress"

IP アドレス範囲に対するネットワークルールを削除します。

az cognitiveservices account network-rule remove \
    --resource-group "myresourcegroup" --name "myaccount" \
    --ip-address "CIDR"

重要

拒否するように既定のルールを設定します。そうしないと、ネットワークルールは効力を発揮しません。

プライベートエンドポイントを使用する

お使いの Azure AI サービスリソースのプライベートエンドポイントを使用すると、仮想ネットワーク上のクライアントは Azure Private Link を介してデータに安全にアクセスできるようになります。プライベートエンドポイントでは、対象の Azure AI サービスリソースのために仮想ネットワークのアドレス空間の IP アドレスを使用します。仮想ネットワーク上のクライアントとリソース間のネットワークトラフィックは、仮想ネットワークおよび Microsoft Azure バックボーンネットワーク上のプライベートリンクを経由することで、パブリックインターネットにさらされないようにします。

Azure AI サービスリソースのプライベートエンドポイントを使用すると、次のことができます。

Azure AI サービスのパブリックエンドポイント上のすべての接続をブロックするようにファイアウォールを構成して、Azure AI サービスリソースをセキュリティで保護します。
仮想ネットワークからのデータの流出をブロックし、仮想ネットワークのセキュリティを強化します。
Azure VPN Gateway または ExpressRoute プライベートピアリングを使用することで、仮想ネットワークに接続するオンプレミスネットワークから Azure AI サービスリソースに安全に接続します。

プライベートエンドポイントの概要

プライベートエンドポイントは、仮想ネットワーク内の Azure リソース用の特別なネットワークインターフェイスです。 Azure AI サービスリソースのプライベートエンドポイントを作成すると、対象の仮想ネットワーク上のクライアントと対象のリソース間のセキュリティで保護された接続が提供されます。プライベートエンドポイントには、仮想ネットワークの IP アドレス範囲から IP アドレスが割り当てられます。プライベートエンドポイントと Azure AI サービス間の接続には、セキュリティで保護されたプライベートリンクを使用します。

仮想ネットワーク内のアプリケーションは、プライベートエンドポイント経由でサービスにシームレスに接続できます。接続には、それ以外の接続で使用するものと同じ接続文字列と承認メカニズムが使用されます。例外は Speech Service で、これには別のエンドポイントが必要です。詳細については、この記事の「プライベートエンドポイントと Speech Service」を参照してください。プライベートエンドポイントは、Azure AI サービスリソースでサポートされているすべてのプロトコル (REST を含む) で使用できます。

プライベートエンドポイントは、サービスエンドポイントを使用するサブネットに作成できます。サブネット内のクライアントは、プライベートエンドポイントを使用して 1 つの Azure AI サービスリソースに接続する一方で、サービスエンドポイントを使用して他のリソースにアクセスできます。詳細については、「仮想ネットワークサービスエンドポイント」を参照してください。

お使いの仮想ネットワークで Azure AI サービスリソース向けのプライベートエンドポイントを作成すると、承認を得るための同意要求が Azure から Azure AI サービスリソースの所有者に送信されます。プライベートエンドポイントの作成を要求しているユーザーがリソースの所有者でもある場合、この同意要求は自動的に承認されます。

Azure AI サービスリソースの所有者は、Azure portal で Azure AI サービスリソースの [プライベートエンドポイント接続] タブを使用して、同意要求とプライベートエンドポイントを管理できます。

プライベートエンドポイントを指定する

プライベートエンドポイントを作成する場合は、接続先の Azure AI サービスリソースを指定します。プライベートエンドポイントを作成する方法の詳細については、次の記事を参照してください。

プライベートエンドポイントに接続する

Note

Azure OpenAI Service では、他の Azure AI サービスとは異なるプライベート DNS ゾーンおよびパブリック DNS ゾーンフォワーダーが使用されます。正しいゾーンとフォワーダーの名前については、「Azure サービス DNS ゾーンの構成」に関する記事を参照してください。

プライベートエンドポイントを使用する仮想ネットワーク上のクライアントは、パブリックエンドポイントに接続するクライアントと同じ接続文字列を Azure AI サービスリソースに対して使用します。例外は Speech サービスで、これには別のエンドポイントが必要です。詳細については、この記事の「Speech サービスでプライベートエンドポイントを使用する」を参照してください。 DNS 解決は、プライベートリンク経由の仮想ネットワークから Azure AI サービスリソースへの接続を自動的にルーティングします。

既定では、Azure によって、仮想ネットワークに接続されているプライベート DNS ゾーンが作成され、プライベートエンドポイントに必要な更新も行われます。独自の DNS サーバーを使用している場合は、DNS 構成に追加の変更が必要になることがあります。プライベートエンドポイントに必要な更新プログラムについては、この記事の「プライベートエンドポイントに DNS の変更を適用する」を参照してください。

Speech サービスでプライベートエンドポイントを使用する

「プライベートエンドポイント経由で Speech サービスを使用する」を参照してください。

プライベートエンドポイントに DNS の変更を適用する

プライベートエンドポイントを作成すると、Azure AI サービスリソースの DNS CNAME リソースレコードは、プレフィックス privatelink を持つサブドメイン内のエイリアスに更新されます。既定で、Azure で privatelink サブドメインに対応するプライベート DNS ゾーンも作成されます。これには、プライベートエンドポイントの DNS A リソースレコードが含まれます。詳細については、「Azure Private DNS とは」を参照してください。

プライベートエンドポイントがある仮想ネットワークの外部からエンドポイントの URL を解決すると、Azure AI サービスリソースのパブリックエンドポイントに解決されます。プライベートエンドポイントをホストしている仮想ネットワークから解決されると、エンドポイント URL はプライベートエンドポイントの IP アドレスに解決されます。

この方法を使用すると、プライベートエンドポイントをホストしている仮想ネットワーク上のクライアントと、仮想ネットワークの外部のクライアントから同じ接続文字列を使用して Azure AI サービスリソースにアクセスできます。

ネットワーク上でカスタム DNS サーバーを使用している場合、クライアントで、Azure AI サービスリソースのエンドポイントの完全修飾ドメイン名 (FQDN) をプライベートエンドポイントの IP アドレスに解決できる必要があります。 Private Link サブドメインを仮想ネットワークのプライベート DNS ゾーンに委任するように、DNS サーバーを構成します。

ヒント

カスタムまたはオンプレミスの DNS サーバーを使用している場合は、privatelink サブドメインの Azure AI サービスリソース名をプライベートエンドポイントの IP アドレスに解決するように、DNS サーバーを構成する必要があります。 privatelink サブドメインを仮想ネットワークのプライベート DNS ゾーンに委任します。または、DNS サーバーで DNS ゾーンを構成し、DNS A レコードを追加します。

プライベートエンドポイントをサポートするように独自の DNS サーバーを構成する方法の詳細については、次のリソースを参照してください。

Azure OpenAI の信頼された Azure サービスへのアクセス権を付与する

他のアプリのネットワーク規則を維持しながら、信頼された Azure サービスのサブセットに Azure OpenAI へのアクセス権を付与することができます。その後、これらの信頼されたこれらのサービスでは、マネージド ID を使用して、Azure OpenAI サービスの認証が行われます。次の表は、これらのサービスのマネージド ID に適切なロールが割り当てられている場合に Azure OpenAI にアクセスできるサービスを示しています。

サービス	リソースプロバイダー名
Azure AI Services	`Microsoft.CognitiveServices`
Azure Machine Learning	`Microsoft.MachineLearningServices`
Azure AI Search	`Microsoft.Search`

信頼された Azure サービスへのネットワークアクセス権は、REST API を使用してネットワーク規則の例外を作成すると付与できます。


accessToken=$(az account get-access-token --resource https://management.azure.com --query "accessToken" --output tsv)
rid="/subscriptions/<your subscription id>/resourceGroups/<your resource group>/providers/Microsoft.CognitiveServices/accounts/<your Azure AI resource name>"

curl -i -X PATCH https://management.azure.com$rid?api-version=2023-10-01-preview \
-H "Content-Type: application/json" \
-H "Authorization: Bearer $accessToken" \
-d \
'
{
    "properties":
    {
        "networkAcls": {
            "bypass": "AzureServices"
        }
    }
}
'

Note

信頼されたサービス機能は、上記のコマンドラインを使用してのみ使用でき、Azure portal を使用して実行することはできません。

例外を取り消すには、networkAcls.bypass を None に設定します。

Azure portal から信頼できるサービスが有効になっているかどうかを確認するには、

Azure OpenAI リソースの概要ページから [JSON ビュー] を使用します。
[API バージョン] で最新の API バージョンを選択します。最新の API バージョン (2023-10-01-preview) のみサポートされています。

価格

料金の詳細については、「Azure Private Link の料金」をご覧ください。

次のステップ

さまざまな Azure AI サービスを探索する
仮想ネットワークサービスエンドポイントの詳細

Azure AI サービスの仮想ネットワークを構成する

シナリオ

サポートされているリージョンとサービス内容

既定のネットワーク アクセス ルールの変更

既定のネットワーク アクセス ルールを管理する

仮想ネットワークからアクセスの許可

必要なアクセス許可を設定する

仮想ネットワーク規則を構成する

インターネットの IP 範囲からのアクセスを許可する

オンプレミスのネットワークからのアクセスの構成

IP ネットワーク ルールの管理

プライベート エンドポイントを使用する

プライベート エンドポイントの概要

プライベート エンドポイントを指定する

プライベート エンドポイントに接続する

Speech サービスでプライベート エンドポイントを使用する

プライベート エンドポイントに DNS の変更を適用する

Azure OpenAI の信頼された Azure サービスへのアクセス権を付与する

価格

次のステップ

その他のリソース

既定のネットワークアクセスルールの変更

既定のネットワークアクセスルールを管理する

IP ネットワークルールの管理

プライベートエンドポイントを使用する

プライベートエンドポイントの概要

プライベートエンドポイントを指定する

プライベートエンドポイントに接続する

Speech サービスでプライベートエンドポイントを使用する

プライベートエンドポイントに DNS の変更を適用する