可用性ゾーンとは
可用性ゾーン (AZ) は、Azure リージョン内で物理的に分離されたデータセンターであり、それぞれに独立した電源、冷却、ネットワークがあります。 可用性ゾーンは、インフラストラクチャの障害を分離し、アプリケーションの回復性と可用性を向上させます。
可用性 ゾーン をサポートするリージョンには、通常、3 つの異なるゾーン (ゾーン 1、ゾーン 2、ゾーン 3 など) があります。 すべての Azure リージョンで可用性ゾーンがサポートされているわけではありません。 Azure Firewall の場合、可用性ゾーンは、リージョン内にファイアウォール インスタンスを配置する方法と、ゾーン障害に対するファイアウォールの回復性を決定します。
ゾーン冗長性
Azure Firewall では、 ゾーン冗長の既定の デプロイ モデルを使用して、ゾーン障害に対する回復性、可用性、保護を向上させます。
新規展開では、 ファイアウォールの可用性ゾーンを指定しないでください。 Azureは、既定が利用可能なリージョンで複数の可用性ゾーンにまたがるバックエンド ゾーンの割り当てを管理します。 ゾーンの冗長性を得るためにゾーン識別子を選ぶ必要はありません。
- ゾーンが指定されていない新しいファイアウォールは、ZR互換リージョンではデフォルトでゾーン冗長です。
- 既存の非ゾーン冗長ファイアウォール(明示的に単一ゾーンを持つファイアウォールを含む)は、複数の可用性ゾーンをサポートする地域でプラットフォーム移行されます。
- これらの地域では移行が完了しています。 移行が進むにつれて、他の地域も有効になります。
- 自動移行を受け取るために、割り当て解除や再デプロイ、ファイアウォールのゾーン設定変更は必要ありません。
定義
Azure Firewall のデプロイ オプションは、次のカテゴリに分類されます。
| 展開の種類 | Description |
|---|---|
| ゾーン冗長 (ZR) | ファイアウォールは複数の可用性ゾーン (2 つ以上) にデプロイされます。 |
| ゾーン (単一ゾーン) | ファイアウォールは単一のゾーン(例えばゾーン1のみ)で設定されています。 |
| 地域 (ゾーンなし) | ファイアウォールはゾーンなしに設定されています。 |
一部のリージョンでは可用性ゾーンがサポートされていません。 これらのリージョンでは、Azure Firewall は引き続きリージョン リソースとしてデプロイされます。
既存のファイアウォールのプラットフォーム移行
Azure Firewallは、既存の非ゾーン冗長ファイアウォールを、複数の可用性ゾーンをサポートするリージョンでゾーン冗長になるよう移行します。
- 移行は自動的かつ透過的です。
- ダウンタイムや管理者の操作は必要ありません。
ZR互換リージョン
2026年10月9日現在、移行は完了し、以下の地域でデフォルトでゾーン冗長性が利用可能です。
| 雲 | リージョン識別子 |
|---|---|
| Azure パブリック | eastus2 |
| Azure パブリック | eastus |
| Azure パブリック | japaneast |
| Azure パブリック | australiaeast |
| Azure パブリック | canadacentral |
| Azure パブリック | westus2 |
| Azure パブリック | centralus |
| Azure パブリック | westeurope |
| Azure パブリック | northeurope |
| Azure パブリック | southcentralus |
| Azure パブリック | francecentral |
| Azure パブリック | centralindia |
| Azure パブリック | koreacentral |
| Azure パブリック | southeastasia |
| Azure パブリック | germanywestcentral |
| Azure パブリック | uksouth |
| Azure パブリック | swedencentral |
| Azure パブリック | uaenorth |
| Azure パブリック | switzerlandnorth |
| Azure パブリック | southafricanorth |
| Azure パブリック | eastasia |
| Azure パブリック | brazilsouth |
| Azure パブリック | westus3 |
| Azure パブリック | israelcentral |
| Azure パブリック | polandcentral |
| Azure パブリック | norwayeast |
| Azure パブリック | italynorth |
| Azure パブリック | spaincentral |
| Azure パブリック | qatarcentral |
| Azure パブリック | mexicocentral |
| Azure パブリック | newzealandnorth |
| Azure パブリック | indonesiacentral |
| Azure public (EUAP) | centraluseuap |
| Azure public (EUAP) | eastus2euap |
| Azure China | chinanorth3 |
| Azure Government | usgovvirginia |
EUAP地域へのアクセスは制限されています。 適切なAzureクラウドでサブスクリプションで利用可能なリージョンを使いましょう。
移行後のゾーン プロパティについて
移行後:
- 後方互換性のため、移行ステータス(すなわち更新されたゾーン設定)はARMテンプレート、JSON、Azure Resource Graph(ARG)のプロパティにすぐに表示されません。
- バックエンドでは、ファイアウォールは引き続きゾーン冗長です。
- プラットフォーム インフラストラクチャは、ARM テンプレートのプロパティとは別にゾーンの冗長性を管理します。
Azure Firewall で可用性ゾーンを構成する
推奨されるデプロイパスでは、ファイアウォールゾーン設定を省略し、Azureに割り当てを管理させてください。 デフォルトでゾーン冗長性が必要な場合は、ZR 対応リージョンを選択してください。
Azure Portal の使用
- Azureポータルは新しいファイアウォールを作成する際に特定の可用性ゾーンを選択する必要はありません。 ZR互換リージョンでは、Azureはデフォルトでゾーン冗長配置を管理しています。
API の使用
- APIリクエスト、ARMテンプレート、Bicep、Terraform構成においてファイアウォールの
zonesプロパティを省略してください。 互換性のあるリージョンでは、Azureがバックエンドでゾーン冗長性を管理します。 - 既存の構成に明示的なゾーンを追加して、ゾーン冗長性を得ることだけを目的に追加しないでください。 対象となる既存のファイアウォールは自動的に移行されます。
Azure PowerShell の使用
以下の例は、New-AzFirewallを-Zoneに渡さずにファイアウォールを作成します。 Azureは、東米国(ZR互換地域)でファイアウォールのバックエンドゾーン割り当てを管理しています。
ゾーンを指定せずに標準のパブリック IP アドレスを作成すると、既定ではゾーン冗長として構成されます。 Standard パブリック IP アドレスは、すべてのゾーンまたは 1 つのゾーンに関連付けることができます。
$rgName = "Test-FW-RG"
$vnet = Get-AzVirtualNetwork `
-Name "Test-FW-VN" `
-ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress `
-Name "AzFwPublicIp1" `
-ResourceGroupName "Test-FW-RG" `
-Sku "Standard" `
-Location "eastus" `
-AllocationMethod Static `
-Zone 1,2,3
New-AzFirewall `
-Name "azFw" `
-ResourceGroupName $rgName `
-Location "eastus" `
-VirtualNetwork $vnet `
-PublicIpAddress @($pip1)
制限事項
- ゾーン冗長性には複数の可用性ゾーンをサポートするリージョンが必要です。 可用性ゾーンのない地域では、Azure Firewallは地域的なリソースとして機能しています。
- 地域のキャパシティ制限はデプロイに影響を与えることがあります。 ゾーンを省略しても収容人数制限は回避されません。 設定を変更する前に、デプロイ エラーやAzure Firewall の既知の問題を確認してください。
- ポータルやリソースゾーンのプロパティは、必ずしもプラットフォーム管理のバックエンド配置を表示するわけではありません。 詳細については 、「移行後のゾーン特性の理解」をご覧ください。
サービス レベル アグリーメント (SLA)
- ゾーン冗長 (2 つ以上の Availability Zones) として Azure Firewall をデプロイすると、 99.99% アップタイム SLA が得られます。
- 99.95% アップタイム SLA は、Availability Zones をサポートしていないリージョンのデプロイに適用されます。
詳細については、SKU 別の Azure Firewall サービス レベル アグリーメント (SLA) と Azure Firewall の機能に関するページを参照してください。