チュートリアル:Azure プライベート エンドポイントを使用してストレージ アカウントに接続する

Azure プライベート エンドポイントは、Azure における Private Link の基本的な構成要素です。 これにより、仮想マシン (VM) などの Azure リソースは、Azure Storage などの Private Link リソースと非公開にかつ安全に通信できます。

このチュートリアルで学習する内容は次のとおりです。

  • 仮想ネットワークと bastion ホストを作成します。
  • 仮想マシンを作成します。
  • プライベート エンドポイントを備えたストレージ アカウントの作成
  • ストレージ アカウントのプライベート エンドポイントに対する接続をテストします。

前提条件

  • Azure サブスクリプション。 Azure サブスクリプションをお持ちでない場合は、開始する前に 無料アカウント を作成してください。

Azure へのサインイン

Azure portal にサインインします。

仮想ネットワークと bastion ホストの作成

仮想ネットワーク、サブネット、bastion ホストを作成します。 仮想ネットワークとサブネットには、Azure Storage アカウントに接続するプライベート エンドポイントが含まれます。

bastion ホストは、プライベート エンドポイントをテストする目的で、仮想マシンに安全に接続するために使用されます。

  1. ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果から [仮想ネットワーク] を選択します。

  2. [+ 作成] を選択します。

  3. [仮想ネットワークの作成][基本] タブで次の情報を入力または選択します。

    設定
    プロジェクトの詳細
    サブスクリプション Azure サブスクリプションを選択します。
    リソース グループ [新規作成] を選択します。
    [名前] に「TutorPEstorage-rg」と入力します。

    を選択します。
    インスタンスの詳細
    名前 myVNet」と入力します。
    リージョン [米国東部] を選択します。
  4. [IP アドレス] タブを選択するか、[次へ: IP アドレス] を選択します。

  5. [IP アドレス] タブで、次の情報を入力します。

    設定
    IPv4 アドレス空間 10.1.0.0/16」を入力します。
  6. [サブネット名] で、 [default](既定) という単語を選択します。 サブネットが一覧表示されない場合は、[+ サブネットの 追加] を選択します。

  7. [サブネットの編集] に次の情報を入力します。

    設定
    サブネット名 mySubnet」と入力します。
    サブネットのアドレス範囲 10.1.0.0/24」と入力します。
  8. [保存] を選択します。

  9. [セキュリティ] タブをクリックします。

  10. [BastionHost][有効にする] を選択します。 この情報を入力します。

    設定
    要塞名 myBastionHost」と入力します
    AzureBastionSubnet のアドレス空間 10.1.1.0/26」と入力します。
    パブリック IP アドレス [新規作成] を選択します。
    [名前] に「myBastionIP」と入力します。

    を選択します。
  11. [確認と作成] タブを選択するか、 [確認と作成] ボタンを選択します。

  12. [作成] を選択します

仮想ネットワークと Azure Bastion ホストがデプロイされるまでには数分かかります。 仮想ネットワークが作成されたら、次の手順に進みます。

仮想マシンの作成

このセクションでは、プライベート エンドポイントのテストに使用する仮想マシンを作成します。

  1. ポータルの上部にある検索ボックスに、「仮想マシン」と入力します。 検索結果から [仮想マシン] を選択します。

  2. [+ 作成]>[Azure 仮想マシン] を選択します。

  3. [仮想マシンの作成][基本] タブで以下を入力または選択します。

    設定
    プロジェクトの詳細
    サブスクリプション Azure サブスクリプションを選択します。
    リソース グループ TutorPEstorage-rg を選択します。
    インスタンスの詳細
    仮想マシン名 myVM」と入力します。
    リージョン [(米国) 米国東部] を選択します。
    可用性オプション [インフラストラクチャ冗長は必要ありません] を選択します。
    セキュリティの種類 [Standard] を選択します。
    Image [Windows Server 2022 Datacenter: Azure Edition - Gen2] を選択します。
    サイズ サイズを選択するか、既定の設定のままにします。
    管理者アカウント
    ユーザー名 ユーザー名を入力します。
    Password パスワードを入力します。
    パスワードの確認 パスワードを再入力します。
    受信ポートの規則
    パブリック受信ポート [なし] を選択します。
  4. [ネットワーク] タブまたは [次へ: ディスク] を選択してから [次へ: ネットワーク] を選択します。

  5. [ネットワーク] タブで、次の情報を入力または選択します。

    設定
    ネットワーク インターフェイス
    仮想ネットワーク myVNet -
    Subnet mySubnet
    パブリック IP [なし] を選択します。
    NIC ネットワーク セキュリティ グループ Basic
    パブリック受信ポート [なし] を選択します。
  6. [Review + create](レビュー + 作成) を選択します。

  7. 設定を確認し、 [作成] を選択します。

Note

パブリック IP アドレスが割り当てられていないか、内部の Basic Azure Load Balancer のバックエンド プールにある VM に対しては、Azure によってデフォルト送信アクセス IP が提供されます。 デフォルト送信アクセス IP メカニズムは、構成できないアウトバウンド IP アドレスを提供します。

パブリック IP アドレスが VM に割り当てられている場合、アウトバウンド規則の有無にかかわらず VM が Standard Load Balancer のバックエンド プールに配置されている場合、または VM のサブネットに Azure Virtual Network NAT ゲートウェイ リソースが割り当てられている場合、既定の送信アクセス IP は無効になります。

フレキシブル オーケストレーション モードの仮想マシン スケール セットによって作成された VM には、既定の送信アクセスがありません。

Azure のアウトバウンド接続の詳細については、「Azure での既定の送信アクセス」および「送信接続での送信元ネットワーク アドレス変換 (SNAT)を使用する」を参照してください。

プライベート エンドポイントを備えたストレージ アカウントの作成

ストレージ アカウントを作成し、プライベート エンドポイントを構成します。 プライベート エンドポイントでは、前に作成した仮想ネットワークの IP アドレスが割り当てられたネットワーク インターフェイスが使用されます。

  1. ポータルの上部にある検索ボックスに、「ストレージ アカウント」と入力します。 検索結果で [ストレージ アカウント] を選択します。

  2. [+ 作成] を選択します。

  3. [ストレージ アカウントの作成][基本] タブで、次の情報を入力または選択します。

    設定
    プロジェクトの詳細
    サブスクリプション Azure サブスクリプションを選択します。
    リソース グループ TutorPEstorage-rg を選択します。
    インスタンスの詳細
    ストレージ アカウント名 mystorageaccount」と入力します。 この名前が使用できない場合は、一意の名前を入力してください。
    場所 [(米国) 米国東部] を選択します。
    パフォーマンス 既定値 [標準] のままにします。
    冗長性 [ローカル冗長ストレージ (LRS)] を選択します。
  4. [ネットワーク] タブを選択するか、または [次へ: 詳細設定]、さらに [次へ: ネットワーク] を選択します。

  5. [ネットワーク] タブの [ネットワーク接続] で、[パブリック アクセスを無効にしてプライベート アクセスを使用する] を選択します。

  6. [プライベート エンドポイント][+ プライベート エンドポイントの追加] を選びます。

  7. [プライベート エンドポイントの作成] で、次の情報を入力または選択します。

    設定
    サブスクリプション Azure サブスクリプションを選択します。
    リソース グループ TutorPEstorage-rg を選択します。
    場所 [米国東部] を選択します。
    名前 myPrivateEndpoint」と入力します。
    ストレージのサブリソース 既定値である [BLOB] のままにします。
    ネットワーク
    仮想ネットワーク [myVNet] を選択します。
    Subnet myVNet/mySubnet(10.1.0.0/24) を選択します。
    プライベート DNS の統合
    プライベート DNS ゾーンとの統合 既定値 [はい] のままにします。
    プライベート DNS ゾーン 既定値の (新規) privatelink.blob.core.windows.net のままにします。
  8. [OK] を選択します。

  9. [レビュー] を選択します。

  10. [作成] を選択します

スストレージ アクセス キー

ストレージ アクセス キーは、後の手順で必要になります。 前に作成したストレージ アカウントに移動し、ストレージ アカウントのアクセス キーを使用して接続文字列をコピーします。

  1. ポータルの上部にある検索ボックスに、「ストレージ アカウント」と入力します。 検索結果で [ストレージ アカウント] を選択します。

  2. 前の手順で作成したストレージ アカウントを選択します。

  3. ストレージ アカウントの [セキュリティとネットワーク] セクションで、[アクセス キー] を選択します。

  4. [表示] を選択し、key1[接続文字列]で [コピー] を選択します。

BLOB コンテナーを追加する

  1. ポータルの上部にある検索ボックスに、「ストレージ アカウント」と入力します。 検索結果で [ストレージ アカウント] を選択します。

  2. 前の手順で作成したストレージ アカウントを選択します。

  3. [データ ストレージ] セクションで、[コンテナー] を選択します。

  4. [+ コンテナー] を選択して、新しいコンテナーを作成します。

  5. [名前]mycontainer を入力し、[パブリック アクセス レベル] で [プライベート ] (匿名アクセスなし) を選択します。

  6. [作成] を選択します

プライベート エンドポイントへの接続のテスト

このセクションでは、前の手順で作成した仮想マシンを使用し、Microsoft Azure Storage Explorerを使ってプライベート エンドポイントを通じてストレージ アカウントに接続します。

  1. ポータルの上部にある検索ボックスに、「仮想マシン」と入力します。 検索結果から [仮想マシン] を選択します。

  2. [myVM] を選択します。

  3. myVM の [概要] ページで [接続][Bastion] の順に選択します。

  4. 仮想マシンの作成時に入力したユーザー名とパスワードを入力します。

  5. [接続] を選択します。

  6. 接続後にサーバーで Windows PowerShell を開きます。

  7. nslookup <storage-account-name>.blob.core.windows.net」と入力します。 <storage-account-name> は、前の手順で作成したストレージ アカウントの名前で置き換えます。 以下に表示されるようなメッセージが返されます。

    Server:  UnKnown
    Address:  168.63.129.16
    
    Non-authoritative answer:
    Name:    mystorageaccount.privatelink.blob.core.windows.net
    Address:  10.1.0.5
    Aliases:  mystorageaccount.blob.core.windows.net
    

    ストレージ アカウント名に対応する 10.1.0.5 というプライベート IP アドレスが返されます。 このアドレスは、前に作成した myVNet 仮想ネットワークの mySubnet サブネットにあります。

  8. 仮想マシンに Microsoft Azure Storage Explorer をインストールします。

  9. Microsoft Azure Storage Explorer のインストール後、 [完了] を選択します。 アプリケーションを開くため、チェック ボックスはオンのままにしてください。

  10. 電源プラグの記号を選択して、[リソースの選択] ダイアログ ボックスを開きます。

  11. [リソースの選択] で、ストレージ アカウントまたはサービスを選択して、前の手順で作成したストレージ アカウントに Microsoft Azure Storage Explorer 接続を追加します。

  12. [接続方法の選択] 画面で、[接続文字列] を選択し、[次へ] を選択します。

  13. [接続文字列] の下のボックスに、前の手順でコピーしたストレージ アカウントの接続文字列を貼り付けます。 ストレージ アカウント名は、[表示名] の下のボックスに自動的に入力されます。

  14. [次へ] を選択します。

  15. [概要] で、設定が正しいことを確認します。

  16. [接続] を選択します

  17. エクスプローラー メニューの [ストレージ アカウント] からストレージ アカウントを選択します。

  18. ストレージ アカウントを展開し、[BLOB コンテナー] を展開します。

  19. 前に作成した mycontainer が表示されます。

  20. myVM への接続を閉じます。

リソースをクリーンアップする

今後このアプリケーションを使う予定がなければ、次の手順で仮想ネットワーク、仮想マシン、ストレージ アカウントを削除します。

  1. 左側のメニューから、 [リソース グループ] を選択します。

  2. TutorPEstorage-rg を選択します。

  3. [リソース グループの削除] を選択します。

  4. [リソース グループ名を入力してください] に「TutorPEstorage-rg」と入力します。

  5. [削除] を選択します。

次の手順

このチュートリアルでは、以下の作成の仕方を学習しました:

  • 仮想ネットワークと bastion ホスト。

  • 仮想マシン。

  • ストレージ アカウントとコンテナー。

Azure プライベート エンドポイントを使用して Azure Cosmos DB アカウントに接続する方法を説明します。