Azure仮想マシン (VM) へのセキュリティで保護されたリモート アクセスを使用すると、管理ポートをインターネットに公開せずにワークロードを管理できます。 この記事では、Azure Bastion、ポイント対サイト VPN、Just-In-Time VM アクセスを比較して、適切なアプローチを選択するのに役立ちます。
この記事の内容
この記事では、管理ポートをインターネットに公開せずに、管理用Azure仮想マシンに安全にアクセスする方法について説明します。
この記事が必要なユーザー
次の場合は、この記事をお読みください。
- 開発または管理のために、SSH または RDP を使用してAzure VM に接続する必要があります。
- 管理アクセスを保持したまま、VM 上のパブリック IP アドレスを削除する必要があります。
- ハブアンドスポーク ネットワークを管理し、チームの一元的なリモート アクセスが必要です。
- インターネットに直接接続する管理ポートを禁止するセキュリティ ポリシーに準拠する必要があります。
リフトアンドシフトフォーカス:ハブにAzure Bastionをデプロイして、管理者がパブリック IP なしで SSH または RDP 経由で移行された VM にアクセスできるようにし、オンプレミスのジャンプボックス ワークフローを置き換えます。
フォーカスを最新化する: Bastion とサブスクリプションと RBAC の分離を組み合わせて、プラットフォームチームとアプリ チームがスコープ付きアクセスを取得し、アクティブ/アクティブ資産のリージョンごとに Bastion をデプロイします。
クラウド間のフォーカス: セキュリティで保護されたハブ (Bastion またはポイント対サイト VPN) を介して管理者アクセスを提供し、他のクラウドから移行されたワークロードで管理ポートが公開されないようにします。
Azureサービスと機能
次の表に、仮想マシンへの安全なリモート アクセスを提供するAzure サービスを示します。
| サービス | 提供される内容 | いつ使用するか |
|---|---|---|
| Azure Bastion (Basic) | Azure ポータルを使用したブラウザーベースの SSH と RDP。 VM にパブリック IP は必要ありません。 40 の RDP または 80 の同時 SSH セッションを持つ 2 つの専用ホスト インスタンス。 | 管理者がパブリック ポートを公開せずにアクセスする必要がある VM。 |
| Azure Bastion (標準) | Basic とネイティブ クライアントのサポート、ファイル転送、共有可能なリンク、IP ベースの接続、カスタム受信ポート、スケーラブルなホスト インスタンス (2 ~ 50) のすべて。 | ファイルのアップロードやAzure CLI経由の接続など、より豊富な管理ワークフローを必要とするチーム。 |
| Azure Bastion (Premium) | Standard とプライベートのみのデプロイ (Bastion リソース自体にパブリック IP なし) とセッション記録のすべてが含まれます。 | Bastion ホストであってもパブリック IP アドレスを持つ必要がない、セキュリティの高い環境。 |
| ポイント対サイト (P2S) VPN | 仮想ネットワークへの個々のクライアント VPN 接続。 VM だけでなく、すべての VNet リソースへの完全なネットワーク レベルのアクセスを提供します。 | データベース、ストレージ、内部 Web アプリなど、RDP や SSH 以外の多くのリソースにアクセスする必要がある管理者。 |
| Just-in-Time (JIT) VM アクセス | 制限された時間枠で、明示的に要求された場合にのみ管理ポートを開きます。 一時的な NSG またはAzure Firewall許可規則を作成します。 | パブリック IP アドレスを保持している VM の攻撃対象領域を減らす。 |
選択する方法
適切なサービスは、ブラウザー ベースのアクセス、完全なネットワーク接続、または一時的なポートの開放が必要かどうかによって異なります。
VM に安全にアクセスする方法
この表を使用して、要件に基づいて適切なアプローチを選択します。
| Requirement | 推奨されるサービス | なぜでしょうか |
|---|---|---|
| インストールするクライアント ソフトウェアのないブラウザー ベースの RDP または SSH | Azure Bastion (Basic または Standard) | Bastion は、ブラウザーから直接ポータル ベースのアクセスを提供します。 VM に VPN クライアントまたはパブリック IP は必要ありません。 |
| Bastion リソースを含め、パブリック IP アドレスがゼロのプライベート専用アクセス | Azure Bastion (Premium) | Premium ではプライベートのみのデプロイがサポートされています。これにより、Bastion 自体のパブリック IP が削除されます。 |
| RDP と SSH だけでなく、管理チームの完全な仮想ネットワーク アクセス | ポイントツーサイト VPN | P2S VPN は、すべてのネットワーク リソースに到達できるように、クライアントに VNet 上の IP アドレスを提供します。 |
| パブリック IP をまだ持っている VM の攻撃対象領域を減らす | Just-In-Time VM アクセス | JIT は既定で管理ポートを閉じたままにし、限られた時間枠内に承認されたユーザーに対してのみ開きます。 |
管理者アクセス パターン
Bastion SKU の比較
| 特徴 | Basic | Standard | Premium |
|---|---|---|---|
| ブラウザーベースの SSH と RDP | ✅ | ✅ | ✅ |
| VNet ピアリングのサポート (ハブスポーク) | ✅ | ✅ | ✅ |
| ネイティブ クライアント (Azure CLI) | ❌ | ✅ | ✅ |
| ファイルのアップロードとダウンロード | ❌ | ✅ | ✅ |
| 共有可能なリンク | ❌ | ✅ | ✅ |
| IP ベースの接続 | ❌ | ✅ | ✅ |
| カスタム受信ポート | ❌ | ✅ | ✅ |
| スケーラブルなホスト インスタンス (2 ~ 50) | ❌ | ✅ | ✅ |
| プライベートのみのデプロイ (パブリック IP なし) | ❌ | ❌ | ✅ |
| セッションの記録 | ❌ | ❌ | ✅ |
Tip
Standard と Premium のコスト差は限界です。 運用環境のワークロードには Bastion Premium を使用します。
ポイント対サイト VPN プロトコル
P2S VPN では、次の 3 つのトンネル プロトコルがサポートされています。
- Openvpn：TLS ベースは、Windows、macOS、Linux、iOS、Android で動作します。 Microsoft Entra ID認証と多要素認証 (MFA) をサポートします。
- IKEv2:標準ベースの IPsec は、Windowsおよび macOS で動作します。
- SSTP (セキュア ソケット トンネリング プロトコル):専用の TLS ベースのWindowsのみ。
Important
SSTP は段階的に廃止されます。 2026 年 3 月 31 日の時点で、VPN ゲートウェイで SSTP を有効にすることはできなくなります。 既存の SSTP 対応ゲートウェイは、2027 年 3 月 31 日に接続の受け入れを停止します。 すべての新しいデプロイに OpenVPN または IKEv2 を使用します。 Microsoft Entra ID認証と MFA は、OpenVPN トンネルの種類でのみサポートされます。
設計上の考慮事項
リフトアンドシフトにおける管理者アクセス設計の重点
- ハブ VNet にAzure Bastionをデプロイして、すべてのピアリングされたスポークがパブリック IP アドレスなしで SSH または RDP 経由で VM に到達できるようにし、オンプレミスのジャンプボックス ワークフローを置き換えます。
- Bastion が配置されたら、移行された VM からパブリック IP を削除して、攻撃対象領域を縮小します。
- 管理者が個々の VM 以外の多くのリソースにアクセスする必要がある場合は、ポイント対サイト VPN を使用します。
- 移行されたワークロード間で管理者アクセス パターンの一貫性を保ち、運用を簡略化します。
管理者アクセスの設計フォーカスを最新化する
- Bastion とサブスクリプションと RBAC の分離を組み合わせて、プラットフォーム チームがハブと接続を管理し、アプリ チームがスポークへのスコープアクセスを取得できるようにします。
- アクティブ/アクティブ設計のために各リージョンに Bastion をデプロイし、管理者がプライマリ リージョンとバックアップ リージョンの両方のリソースにアクセスできるようにします。
- プライベートのみのデプロイやネイティブ クライアントのサポートなど、ニーズに合った Bastion SKU を使用します。
- 使用しているポイント対サイト VPN に Microsoft Entra ID 認証と MFA を統合します（OpenVPN トンネルの種類を使用する場合）。
クラウド間管理者アクセスの設計に重点を置く
- セキュリティで保護されたVirtual WAN ハブで管理者アクセスを一元化し、オペレーターがワークロードごとのパブリック エンドポイントなしで他のクラウドから移行されたAzureワークロードにアクセスできるようにします。
- パブリック管理 IP を仮想マシンにアタッチしないでください。ハブ内の Bastion 経由で SSH または RDP をルーティングします。
- チームがクラウド間でリソースを管理する場合は、ポイント対サイト VPN または Bastion を標準化して、アクセス方法の一貫性を維持します。
- 検査されたハブ ファイアウォールを介して管理者トラフィックをルーティングし、ワークロード トラフィックと同じクラウド間セキュリティ ポリシーに従います。
Prerequisites
セキュリティで保護されたリモート アクセスを設定する前に、次の機能があることを確認します。
- VM がデプロイされた仮想ネットワーク ( 仮想ネットワークとサブネットを参照)
- Azure Bastionの場合: 最小サイズが /26 (64 アドレス) の
AzureBastionSubnetという名前のサブネット。 このサブネットは、他のリソースをホストできません。 - P2S VPN の場合: ゲートウェイ サブネットと VPN ゲートウェイ リソース (ゲートウェイ計画の VPN と ExpressRoute 接続 を参照)
- JIT VM アクセスの場合: Microsoft Defender for Servers Plan 2 がサブスクリプションで有効化されていること
セキュリティに関する考慮事項
Caution
(インターネット上の任意のソース) からの RDP (TCP 3389) または SSH (TCP 22) 受信を許可する NSG 規則を作成しないでください。 この構成では、VM がブルート フォース攻撃にさらされ、セキュリティ インシデントの一般的な原因となります。
リモート VM アクセスについては、次のセキュリティ プラクティスに従ってください。
- パブリック IP の代わりに Bastion または P2S VPN を使用します。 どちらの方法でも、管理トラフィックはパブリック インターネットから離れます。 パブリック IP アドレスが不要になったら、VM から削除します。
- ハブ VNet に Bastion をデプロイします。 ハブ仮想ネットワーク内の 1 つの Bastion インスタンスは、すべてのピアリングされたスポーク VNet 内の VM に到達できます。 各スポークに Bastion のデプロイは必要ありません。 ハブスポーク トポロジには Standard または Premium SKU を使用します。
- P2S VPN の MFA を有効にします。 多要素認証を必要とするようにMicrosoft Entra 条件付きアクセスを使用してMicrosoft Entra ID認証を構成します。 MFA には、OpenVPN トンネルの種類とAzure VPN クライアント アプリケーションが必要です。
- 短い JIT タイム ウィンドウを設定します。 Just-In-Time アクセスを使用する場合は、期間を必要な最小時間に制限します。 ウィンドウの有効期限が切れると、NSG ルールは以前の拒否状態に戻ります。 既存の接続は中断されませんが、システムは新しい接続をブロックします。
- NSG ルールを AzureBastionSubnet に適用します。 Bastion サブネットで必要な受信規則と送信規則に対する Bastion のセキュリティ保護に関するガイダンスに従ってください。
Note
JIT VM アクセスでは、既定で一時的な NSG 許可ルールが作成されます。 JIT はAzure Firewallでも機能しますが、ファイアウォールでクラシック ルールが使用されている場合にのみ機能します。 Azure Firewall Manager (ファイアウォール ポリシー) によって管理されるファイアウォールは、JIT 統合をサポートしていません。
関連資料
- 仮想ネットワークとサブネット: AzureBastionSubnet のサイズ設定ガイダンス
- ネットワーク セキュリティ グループとアプリケーション セキュリティ グループ: 管理ポートの NSG 規則
- VPN と ExpressRoute の接続: P2S VPN のスコープとゲートウェイの計画
- ハブアンドスポーク トポロジ: 一元化された Bastion デプロイ パターン
詳細情報
- Azure Bastion のドキュメント
- Point-to-Site VPNについて
- Microsoft Defender for Cloudでの Just-In-Time VM アクセス
- P2S VPN ユーザー Microsoft Entra ID MFA を有効にする
- Bastion SKU の比較
次のステップ
Tip
あなた自身で探検? 概要ナビゲーターに戻り、機能別に次の記事を見つけます。
リフトアンドシフト体験の次の手順:
従来の名前解決のために DNS を計画する: Azure プライベート DNS ゾーンとエイリアス レコードを使用して、移行中の従来の DNS 名前付け動作を保持します。
次に、最新化の取り組みを行います。
PaaS サービスへのプライベート接続を設定する: PaaS サービス接続の各スポークにPrivate Linkサブネットを作成します。
マルチクラウドへの移行における次のステップ:
DNS のカットオーバーと名前解決を計画する: 移行のカットオーバーの前に、DNS レコードのマッピング、TTL の削減、クラウド間の名前解決の構成を行います。