Azure Data Explorer のプライベートエンドポイントを作成する

[アーティクル]
03/21/2023

Azure プライベートエンドポイントを使用して、Azure 仮想ネットワーク (VNet) 内のクラスターに接続します。

プライベートエンドポイントでは、仮想ネットワークからのプライベート IP アドレスを使用して、クラスターにプライベートに接続します。この設定により、プライベートネットワーク上のクライアントとクラスター間のネットワークトラフィックは、仮想ネットワークと Microsoft バックボーンネットワーク上のプライベートリンクを経由します。この記事では、クラスターのプライベートエンドポイントを作成する方法を示します。

前提条件

Azure サブスクリプション。無料の Azure アカウントを作成します。
Azure portal にサインインします。
仮想ネットワークに挿入されていない Azure Data Explorer クラスター。
仮想ネットワーク。

プライベートエンドポイントの作成

クラスターのプライベートエンドポイントを作成するには、いくつかの方法があります。

ポータルでのクラスターのデプロイ中
プライベートエンドポイントリソースを直接作成する
既存のクラスター上

ポータルでのクラスターのデプロイ中にプライベートエンドポイントを作成する

クラスターの作成時にプライベートエンドポイントを作成するには、次の情報を使用します。

Azure Data Explorer クラスターの作成 ページで、ネットワーク タブを選択します。
接続方法 で、プライベートエンドポイント を選択します。
[プライベートエンドポイント] で、[追加] を選択します。
プライベートエンドポイントを構成します。
クラスターを作成するステップを完了します。

既存のクラスターにプライベートエンドポイントを作成する

既存のクラスターにプライベートエンドポイントを作成するには、次の情報を使用します。

Azure portal で、クラスターに移動してから [ネットワーク] を選択します。
[プライベートエンドポイント接続] を選択してから、[+ プライベートエンドポイント] を選択します。
プライベートエンドポイントを構成します。

プライベートエンドポイントを構成する

[基本] タブで、基本的なクラスターの詳細に次の情報を入力し、[次へ] を選択します。

基本情報を示す [プライベートエンドポイントの作成] ページのスクリーンショット。

設定	推奨値	フィールドの説明
サブスクリプション	該当するサブスクリプション	プライベートエンドポイントに使用する Azure サブスクリプションを選択します
Resource group	該当するリソースグループ	既存のリソースグループを使用するか、新しいリソースグループを作成します
名前	myNewPrivateEndpoint	リソースグループ内でプライベートエンドポイントを識別する名前を選択します
リージョン	(ヨーロッパ) 西ヨーロッパ	ニーズに最も適したリージョンを選択します

[リソース] タブで、[マイディレクトリ内の Azure リソース接続する] を選択し、リソースの詳細に次の情報を入力して、[次へ] を選択します。

リソース情報を示す [プライベートエンドポイントの作成] ページのスクリーンショット。

設定	推奨値	フィールドの説明
サブスクリプション	該当するサブスクリプション	クラスターに使用する Azure サブスクリプションを選択します
リソースの種類	該当するリソースグループ	Microsoft.Kusto/clusters を選択します
リソース	contoso-adx	新しい Azure プライベートエンドポイントの宛先として使用するクラスターを選択します
ターゲットサブリソース	cluster	他のオプションはありません

代わりに、[リソース ID またはエイリアスを使って Azure リソースに接続します] を選択できます。これにより、リソースに対する少なくとも [閲覧者] アクセス権を持っていない場合に別のテナント内のクラスターへのプライベートエンドポイントを作成できます。

設定	推奨値	フィールドの説明
ResourceId またはエイリアス	/subscriptions/...	誰かが自分と共有しているリソース ID または別名。リソース ID を取得する最も簡単な方法は、Azure portal でクラスターに移動し、[プロパティ] セクションからリソース ID をコピーすることです
ターゲットサブリソース	cluster	他のオプションはありません
要求メッセージ	承認してください	このメッセージは、プライベートエンドポイント接続の管理中にリソース所有者に表示されます

[仮想ネットワーク] タブの [ネットワーク] で、プライベートエンドポイントをデプロイする [仮想ネットワーク] と [サブネット] を指定します。
[プライベート IP 構成] で、[IP アドレスを動的に割り当てる] を選択します。

注意

[静的に IP アドレスを割り当てる] オプションはサポートされていません。
[プライベート DNS 統合] で、[プライベート DNS ゾーンと統合する] をオンにします。これは、インジェストとエクスポート機能に必要なストレージアカウントを含む、エンジンとデータ管理エンドポイントを解決するために必要です。

注意

[プライベート DNS 統合] オプションを使用することをお勧めします。このオプションを使用できない場合は、「カスタム DNS サーバーを使用する」の手順に従ってください。
[次へ] を選択します。
[タグ] タブで、必要なタグを構成し、[次へ] を選択します。
構成の詳細を確認し、[作成] を選択してプライベートエンドポイントリソースを作成します。

プライベートエンドポイントの作成を確認する

プライベートエンドポイントの作成が完了したら、Azure portal でアクセスできます。

プライベートエンドポイントの作成ページのスクリーンショット。プライベートエンドポイントの作成結果が表示されています。

クラスター用に作成されたプライベートエンドポイントをすべて表示するには:

Azure portal で、クラスターに移動してから [ネットワーク] を選択します。
[プライベートエンドポイント] を選択します。この表では、クラスター用に作成されたすべてのプライベートエンドポイントを確認できます。
[接続状態] 列で、プライベートエンドポイントが承認されていることを確認します。

カスタム DNS サーバーを使用する

状況によっては、仮想ネットワークのプライベート DNS ゾーンと統合できない場合があります。たとえば、独自の DNS サーバーを使用したり、仮想マシン上のホストファイルを使って DNS レコードを作成したりする場合があります。このセクションでは、DNS ゾーンにアクセスする方法について説明します。

choco をインストールします
ARMClient をインストールします
```
choco install armclient
```
ARMClient でログインする
```
armclient login
```

次の REST API 呼び出しを実行して、クラスターのプライベート DNS ゾーンを取得します。

#replace the <...> placeholders with the correct values
armclient GET /subscriptions/<subscriptionIdADX>/resourceGroups/<resourceGroupNameADX>/providers/Microsoft.Kusto/clusters/<clusterName>/privateLinkResources?api-version=2022-02-01

応答を確認します。必要な DNS ゾーンは、結果の応答の "requiredZoneNames" 配列にあります。

{
  "value": [
    {
      "id": "/subscriptions/<subscriptionIdADX>/resourceGroups/<resourceGroupNameADX>/providers/Microsoft.Kusto/Clusters/<clusterName>/PrivateLinkResources/cluster",
      "name": "<clusterName>/cluster",
      "type": "Microsoft.Kusto/Clusters/PrivateLinkResources",
      "location": "<the region of your cluster>",
      "properties": {
        "groupId": "cluster",
        "requiredMembers": [
          "Engine",
          "DataManagement",
          "blob-storageAccount1",
          "queue-storageAccount1",
          "table-storageAccount1",
          "blob-storageAccount2",
          "queue-storageAccount2",
          "table-storageAccount2"
        ],
        "requiredZoneNames": [
          "privatelink.<the region of your cluster>.kusto.windows.net",
          "privatelink.blob.core.windows.net",
          "privatelink.queue.core.windows.net",
          "privatelink.table.core.windows.net"
        ],
        "provisioningState": "Succeeded"
      }
    }
  ]
}

Azure portal で、プライベートエンドポイントに移動し、[DNS 構成] を選択します。このページでは、DNS 名への IP アドレスマッピングに必要な情報を取得できます。

警告

この情報を使用して、カスタム DNS サーバーに必要なレコードを伝達することができます。仮想ネットワークのプライベート DNS ゾーンと統合し、独自のカスタム DNS サーバーを構成しないことを強くお勧めします。 Azure Data Explorer クラスターのプライベートエンドポイントの性質は、他の Azure PaaS サービスの場合とは異なります。インジェストの負荷が高いなど、いくつかの状況では、スループットを向上させるために、サービスがプライベートエンドポイント経由でアクセスできるストレージアカウントの数をスケールアウトすることが必要になる場合があります。独自のカスタム DNS サーバーを伝達することを選択した場合は、このような状況で DNS レコードを更新する責任はユーザーにあります。後でレコードを削除すると、ストレージアカウントの数がスケールインされます。

クラスターのプライベートエンドポイントのトラブルシューティング

次の方法で共有

Azure Data Explorer のプライベートエンドポイントを作成する

前提条件