プライベートリンクを経由した送信接続の作成

[アーティクル]
04/12/2024

この記事では、Azure AI Search から仮想ネットワーク内で実行される Azure PaaS リソースへのプライベートな発信呼び出しを構成する方法について説明します。

プライベート接続を設定すると、検索サービスは、インターネットに開かれているポートではなく、仮想ネットワークの IP アドレスに接続できます。接続用に作成されたオブジェクトは、 共有プライベートリンクと呼ばれます。接続では、検索サービスは共有プライベートリンクを内部的に使用して、ネットワーク境界内の Azure PaaS リソースに到達します。

共有プライベートリンクは、使用量に基づいて課金されるプレミアム機能です。共有プライベートリンクを設定すると、プライベートエンドポイントの料金が Azure 請求書に追加されます。共有プライベートリンクを使用すると、受信アクセスと送信アクセスのデータ転送レートも請求されます。料金の詳細については、「Azure Private Link の価格」をご覧ください。

Note

SQL Managed Instance へのプライベートインデクサー接続を設定する場合は、代わりにこの記事を参照してください。

共有プライベートリンクを使用する場合

Azure AI Search は、次のシナリオで他の Azure PaaS リソースへの送信呼び出しを行います。

インデクサーまたは検索エンジンが、テキストからベクターへの埋め込みのために Azure OpenAI に接続する
インデクサーが、サポートされているデータソースに接続する
インデクサー (スキルセット) が、エンリッチメントのキャッシュ、デバッグセッションの状態、またはナレッジストアへの書き込みのために Azure Storage に接続
Azure Key Vault へ暗号化キーを要求
Azure Functions または同様のリソースに対するカスタムスキルを要求

共有プライベートリンクは、Azure から Azure への接続でのみ機能します。 OpenAI または別の外部モデルに接続する場合は、接続はパブリックインターネット経由である必要があります。

共有プライベートリンクは操作用であり、Azure 仮想ネットワークで実行される Azure リソースまたはクライアント用にプライベートエンドポイントを介してアクセスされるデータ用です。

共有プライベートリンク:

Azure AI Search ツール、API、または SDK を使用して作成済み
Azure PaaS リソース所有者によって承認済み
特定の Azure リソースへのプライベート接続で Azure AI Search によって内部的に使用される

作成したプライベートリンクを使用できるのは検索サービスだけです。リソースとサブリソースの組み合わせごとに、サービスに作成できる共有プライベートリンクは 1 つのみです。

プライベートリンクを設定すると、検索サービスがその PaaS リソースに接続するたびに自動的に使用されます。接続文字列を変更したり、要求を発行するために使用しているクライアントを変更したりする必要はありませんが、接続に使用されるデバイスは、Azure PaaS リソースのファイアウォールで承認された IP を使用して接続する必要があります。

Azure Private Link と Azure AI Search を一緒に使用するシナリオは 2 つあります。

シナリオ 1: 共有プライベートリンクは、Azure PaaS への "送信" (インデクサー) 接続にプライベート接続が必要な場合に作成します。
シナリオ 2: 仮想ネットワークで実行されているクライアントからのプライベート "受信" 接続の検索を構成します。

この記事では、1 番目のシナリオについて説明します。

どちらのシナリオも Azure Private Link に依存していますが、独立しています。プライベートエンドポイント用に独自の検索サービスを構成しなくても、共有プライベートリンクを作成できます。

制限事項

シナリオの共有プライベートリンクを評価する場合、これらの制約に注意してください。

共有プライベートリンクで使用されるリソースの種類の一部は、プレビュー段階です。 Azure Database for MySQL、Azure Functions または Azure SQL Managed Instance などのプレビューリソースに接続する場合は、プレビューバージョンの管理 REST API を使用して共有プライベートリンクを作成します。これらのバージョンには、2020-08-01-preview、2021-04-01-preview、および 2024-03-01-preview が含まれます。
インデクサーの実行では、検索サービスに固有のプライベート実行環境を使用する必要があります。プライベートエンドポイント接続は、マルチテナント環境からはサポートされていません。この要件の構成設定については、この記事で説明されています。

前提条件

Azure AI Search は、Basic レベル以上である必要があります。 AI エンリッチメントとスキルセットを使用している場合、レベルは Standard 2 (S2) 以上である必要があります。詳細については、「サービスの制限」を参照してください。
仮想ネットワークで実行するように構成された、サポートされているリソースの種類の次のリストの Azure PaaS リソース。
Azure AI Search とデータソースの両方に対するアクセス許可:
- Azure PaaS リソースの場合は、プライベートエンドポイント接続を承認するアクセス許可が必要です。たとえば、データソースとして Azure Storage アカウント (BLOB コンテナー、Azure Files 共有、Azure テーブルなど) を使用している場合は、Microsoft.Storage/storageAccounts/privateEndpointConnectionsApproval/action が必要です。
- 検索サービスの場合は、共有プライベートリンクリソースと読み取り操作の状態を読み書きするためのアクセス許可が必要です。
  - Microsoft.Search/searchServices/sharedPrivateLinkResources/write
  - Microsoft.Search/searchServices/sharedPrivateLinkResources/read
  - Microsoft.Search/searchServices/sharedPrivateLinkResources/operationStatuses/read

サポートされているリソースの種類

次のリソースの共有プライベートリンクリソースを作成できます。

リソースの種類	サブリソース (またはグループ ID)
Microsoft.Storage/storageAccounts ¹	`blob`、`table`、`dfs`, `file`
Microsoft.DocumentDB/databaseAccounts ²	`Sql`
Microsoft.Sql/servers	`sqlServer`
Microsoft.KeyVault/vaults	`vault`
Microsoft.DBforMySQL/servers (プレビュー)	`mysqlServer`
Microsoft.Web/sites (プレビュー) ³	`sites`
Microsoft.Sql/managedInstances (プレビュー) ⁴	`managedInstance`
Microsoft.CognitiveServices/accounts (プレビュー) ⁵	`openai_account`

¹ Azure Storage と Azure AI Search が同じリージョンにある場合、ストレージへの接続は Microsoft バックボーンネットワーク経由で行われます。この構成では共有プライベートリンクが冗長になります。ただし、Azure Storage のプライベートエンドポイントが既に設定されている場合は、共有プライベートリンクも設定する必要があります。そうでない場合、ストレージ側で接続が拒否されます。また、検索のさまざまなシナリオで複数のストレージ形式を使用している場合は、サブリソースごとに個別の共有プライベートリンクも作成します。

²Microsoft.DocumentDB/databaseAccounts リソースの種類は、Azure Cosmos DB for NoSQL へのインデクサー接続に使用されます。プロバイダー名とグループ ID では、大文字と小文字が区別されます。

³Microsoft.Web/sites リソースの種類は、App Service と Azure 関数に使用されます。 Azure AI Search のコンテキストでは、Azure 関数がより可能性の高いシナリオとなります。 Azure 関数は、カスタムスキルのロジックをホストする目的で一般的に使用されます。 Azure 関数には、従量課金プラン、Premium プラン、専用 App Service ホスティングプランがあります。現時点では、App Service Environment (ASE) と Azure Kubernetes Service (AKS) はサポートされていません。

⁴ 手順については、「SQL Managed Instance の共有プライベートリンクを作成する」を参照してください。

⁵Microsoft.CognitiveServices/accounts リソースの種類は、統合ベクター化を実装するときに、Azure OpenAI へのインデクサー接続に使用されます。

1 - 共有プライベートリンクを作成する

Azure portal、Management REST API、Azure CLI、または Azure PowerShell を使用して、共有プライベートリンクを作成します。

いくつかのヒントを次に示します。

プライベートリンクにはわかりやすい名前を付けます。 Azure PaaS リソースでは、共有プライベートリンクは、他のプライベートエンドポイントと共に表示されます。 "shared-private-link-for-search" のような名前にすると、その使用方法を通知できます。

このセクションでこれらの手順を完了すると、保留中の状態でプロビジョニングされた共有プライベートリンクが作成されます。 リンクの作成には数分かかります。動作可能にするには、作成後にリソース所有者が要求を承認する必要があります。

Azure portal にサインインし、ご利用の検索サービスを探します。
左側のナビゲーションウィンドウの [設定] で [ネットワーク] を選択します。
[共有プライベートアクセス] ページで、[+ 共有プライベートアクセスの追加] を選択します。
[マイディレクトリ内の Azure リソースに接続します] または [リソース ID を使って Azure リソースに接続します] を選びます。
最初のオプション (推奨) を選択すると、ポータルは適切な Azure リソースを選択するのに役立ち、リソースのグループ ID やリソースの種類などの他のプロパティが入力されます。
2 番目のオプションを選択した場合は、Azure リソース ID を手動で入力し、この記事の冒頭にあるリストから適切なグループ ID を選択します。
プロビジョニングの状態が "更新中" であることを確認します。
リソースが正常に作成されると、リソースのプロビジョニング状態が "成功" に変わります。

Note

プレビュー段階のグループ ID には、 2020-08-01-preview または 2021-04-01-previewのいずれかのプレビュー API バージョンが必要です。現在は、次のリソースの種類 managedInstance、mySqlServer、sites がサポートされています。

Azure portal、Azure PowerShell、または Azure CLI などのツールにはアカウントサインインの組み込みメカニズムが用意されていますが、REST クライアントは、要求の通過を許可するベアラートークンを提供する必要があります。

このセクションでは、簡単かつ迅速であるため、ベアラートークンを取得するために Azure CLI の手順を使用します。より永続的な方法については、「REST を使用して管理する」を参照してください。

コマンドラインを開き、Azure サインインの az login を実行します。
アクティブなアカウントとサブスクリプションを表示します。このサブスクリプションが、共有プライベートリンクを作成する Azure PaaS リソースを持つサブスクリプションと同じであることを確認します。
```
az account show
```
適切でない場合は、次のサブスクリプションを変更します。
```
az account set --subscription {{Azure PaaS subscription ID}}
```
ベアラートークンを作成し、トークン全体 (引用符間のすべて) をコピーします。
```
az account get-access-token
```

REST クライアントに切り替え、 GET 共有 Private Link リソースを設定します。既存の共有プライベートリンクをレビューして、リンクが複製されていないことを確認します。リソースとサブリソースの組み合わせごとに、共有プライベートリンクは 1 つしか存在できません。

@subscriptionId = PASTE-HERE
@rg-name = PASTE-HERE
@service-name = PASTE-HERE
@token = PASTE-TOKEN-HERE

GET https://https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{rg-name}}/providers/Microsoft.Search/searchServices/{{service-name}}/sharedPrivateLinkResources?api-version=2023-11-01 HTTP/1.1
  Content-type: application/json
  Authorization: Bearer {{token}}

要求を送信します。検索サービスに存在するすべての共有プライベートリンクリソースのリストが表示されます。リソースとサブリソースの組み合わせに対する、既存の共有プライベートリンクがないことを確認します。

Azure PaaS リソースの共有プライベートリンクを作成または更新するための PUT 要求を作成します。

PUT https://https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{rg-name}}/providers/Microsoft.Search/searchServices/{{service-name}}/sharedPrivateLinkResources/{{shared-private-link-name}}?api-version=2023-11-01 HTTP/1.1
  Content-type: application/json
  Authorization: Bearer {{token}}

{
    "properties":
     {
        "groupID": "blob",
        "privateLinkResourceId": "/subscriptions/{{subscriptionId}}/resourceGroups/{{rg-name}}/providers/Microsoft.Storage/storageAccounts/{{storage-account-name}}",
        "provisioningState": "",
        "requestMessage": "Please approve this request.",
        "resourceRegion": "",
        "status": ""
     }
}

Azure PaaS リソースが別のサブスクリプション内にある場合、Azure CLI を使用してサブスクリプションを変更し、そのサブスクリプションに対して有効なベアラートークンを取得します。

az account set --subscription {{Azure PaaS subscription ID}}

az account get-access-token

要求を送信します。状態を確認するには、最初の GET 共有Private Link 要求を再実行して、更新から成功に移行するプロビジョニング状態を監視します。

作業の開始手順については、「PowerShell を使用して管理する」を参照してください。

最初に、Get-AzSearchSharedPrivateLinkResource を使用して、既存の共有プライベートリンクを確認して、リンクが複製されていないことを確認します。リソースとサブリソースの組み合わせごとに、共有プライベートリンクは 1 つしか存在できません。

Get-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name>

New-AzSearchSharedPrivateLinkResource を使用して共有プライベートリンクを作成し、プレースホルダーの有効な値を置き換えます。この例は BLOB ストレージ向けです。

New-AzSearchSharedPrivateLinkResource -ResourceGroupName <search-service-resource-group-name> -ServiceName <search-service-name> -Name <spl-name> -PrivateLinkResourceId /subscriptions/<alphanumeric-subscription-ID>/resourceGroups/<storage-resource-group-name>/providers/Microsoft.Storage/storageAccounts/myBlobStorage -GroupId blob -RequestMessage "Please approve"

最初の要求を再実行して、更新から成功に移行するプロビジョニングの状態を監視します。

作業の開始手順については、「Azure CLI を使用して管理する」を参照してください。

最初に、az-search-shared-private-link-resource list を使用して、既存の共有プライベートリンクを確認して、リンクが複製されていないことを確認します。リソースとサブリソースの組み合わせごとに、共有プライベートリンクは 1 つしか存在できません。

az search shared-private-link-resource list --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}}

次の手順には az-search-shared-private-link-resource create を使用します。この例は Azure Cosmos DB for NoSQL 向けです。

構文では大文字と小文字が区別されるため、グループ ID は Sql であり、プロバイダー名は Microsoft.DocumentDB であることを確認してください。

az search shared-private-link-resource create --name {{your-shared-private-link-name}} --service-name {{your-search-service-name}} --resource-group {{your-search-service-resource-group}} --group-id Sql --resource-id "/subscriptions/{{your-subscription-ID}}/{{your-cosmos-db-resource-group}}/providers/Microsoft.DocumentDB/databaseAccounts/{{your-cosmos-db-account-name}}"

最初の要求を再実行して、更新から成功に移行するプロビジョニングの状態を監視します。

共有プライベートリンクの作成ワークフロー

成功した場合、202 Accepted 応答が返されます。発信プライベートエンドポイントを作成するプロセスは長時間実行される (非同期の) 操作です。これには、次のリソースのデプロイが含まれます。

プライベート IP アドレスが割り当てられた、"Pending" 状態のプライベートエンドポイント。このプライベート IP アドレスは、検索サービス固有のプライベートインデクサー実行環境の仮想ネットワークに割り当てられたアドレス空間から取得されます。プライベートエンドポイントが承認されると、Azure AI Search から Azure リソースへのすべての通信は、プライベート IP アドレスとセキュリティで保護されたプライベートリンクチャネルから行われます。
グループ ID に基づく、リソースの種類のプライベート DNS ゾーン。このリソースをデプロイすると、プライベートリソースへの DNS 参照で、プライベートエンドポイントに関連付けられた IP アドレスが使用されるようになります。

2 - プライベートエンドポイント接続を承認する

プライベートエンドポイント接続の承認は、Azure PaaS 側で付与されます。リソース所有者による明示的な承認が必要です。次の手順では、Azure portal を使った承認ついて説明します。ただし、Azure PaaS 側からプログラムにより接続を承認するためのリンクもいくつかあります。

Azure Storage で、プライベートエンドポイント接続 - Put を使用します
Azure Cosmos DB で、プライベートエンドポイント接続 - 作成または更新を使用します

Azure portal を使って、次の手順を実行します。

Azure PaaS resource.text の [ネットワーク] ページを開きます。
プライベートエンドポイント接続のリストを示すセクションを見つけます。ストレージアカウントの例を次に示します。
接続を選択し、[承認] を選択します。ポータルで状態が更新されるまでに数分かかる場合があります。

プライベートエンドポイントが承認されると、Azure AI Search によって、それに対して作成された DNS ゾーンに必要な DNS ゾーンマッピングが作成されます。

[ネットワーク] ページ上で [プライベートエンドポイント] のリンクはアクティブですが、これは解決されません。

このリンクを選択するとエラーが発生します。 "The access token is from the wrong issuer" と must match the tenant associated with this subscription のステータスメッセージが表示されるのは、バックエンドプライベートエンドポイントリソースは Microsoft が管理するテナント内で Microsoft によってプロビジョニングされるのに対し、このリンクされたリソース (Azure AI 検索) はユーザーのテナント内にあるためです。仕様により、プライベートエンドポイント接続リンクを選んでプライベートエンドポイントリソースにアクセスすることはできません。

共有プライベートリンクの状態を調べるには、次のセクションの手順のようにします。

3 - 共有プライベートリンクの状態を確認する

Azure AI Search 側で、検索サービスの [ネットワーク] ページの [共有プライベートアクセス] ページに再びアクセスすることで、要求の承認を確認できます。接続状態が承認されているはずです。

または、GET 共有 Private Link API を使用して接続状態を取得することもできます。

az rest --method get --uri https://management.azure.com/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.Search/searchServices/contoso-search/sharedPrivateLinkResources/blob-pe?api-version=2023-11-01

これにより、JSON が返されます。接続状態は "properties" セクションの下の "status" として表示されます。ストレージアカウントの例を次に示します。

{
      "name": "blob-pe",
      "properties": {
        "privateLinkResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.Storage/storageAccounts/contoso-storage",
        "groupId": "blob",
        "requestMessage": "please approve",
        "status": "Approved",
        "resourceRegion": null,
        "provisioningState": "Succeeded"
      }
}

リソースのプロビジョニング状態 (properties.provisioningState) が "成功" で、接続状態 (properties.status) が "承認済み" の場合、共有プライベートリンクリソースが機能し、プライベートエンドポイント経由で通信するようにインデクサーを構成できることを意味します。

4 - プライベート環境で実行されるようにインデクサーを構成する

インデクサーの実行は、検索サービス固有のプライベート環境、または複数の顧客に対して高コストのスキルセット処理をオフロードするために内部的に使用されるマルチテナント環境のいずれかで発生します。

実行環境は透過的ですが、ファイアウォール規則の構築やプライベート接続の確立を開始した後は、インデクサーの実行を考慮する必要があります。プライベート接続の場合は、常にプライベート環境で実行されるようにインデクサーの実行を構成します。

このステップでは、REST API を使用して、インデクサーをプライベート環境で実行するように構成する方法を示します。ポータル内で JSON エディターを使用して実行環境を設定することもできます。

Note

この手順は、プライベートエンドポイント接続が承認される前に実行できます。ただし、プライベートエンドポイント接続が承認されるまで、セキュリティで保護されたリソース (ストレージアカウントなど) との通信を試行するすべての既存のインデクサーは、一時的なエラー状態になり、新しいインデクサーの作成に失敗します。

通常どおりに、データソース定義、インデックス、およびスキルセット (使用している場合) を作成します。共有プライベートエンドポイントを使用する場合、これらの定義にはプロパティがありません。
前の手順で作成したデータソース、インデックス、スキルセットを指すインデクサーを作成します。また、インデクサーの構成プロパティ executionEnvironment を private に設定して、インデクサーがプライベート実行環境で実行されるように強制します。
```
{
    "name": "indexer",
    "dataSourceName": "blob-datasource",
    "targetIndexName": "index",
    "parameters": {
        "configuration": {
            "executionEnvironment": "private"
        }
    },
    "fieldMappings": []
}
```

インデクサーが正しく作成されると、プライベートエンドポイント接続を介してそれが Azure リソースに接続されます。インデクサーの状態は、インデクサーの状態 API を使用して監視できます。

Note

既存のインデクサーがある場合は、PUT API で executionEnvironment を private に設定するか、ポータル内で JSON エディターを使用して、それらを更新できます。

5 - 共有プライベートリンクをテストする

まだ行っていない場合、Azure PaaS リソースがパブリックインターネットからの接続を拒否していることを確認します。接続が受け入れられる場合は、Azure PaaS リソースの [ネットワーク] ページで DNS 設定を確認します。
プライベートエンドポイントへのインデクサー接続など、送信要求シナリオを呼び出すことができるツールを選択します。 [データのインポート] ウィザードを使用する方法は簡単ですが、REST クライアントと REST API を使用して精度を高めることもできます。検索サービスがプライベート接続用に構成されていないと仮定すると、検索への REST クライアント接続はパブリックインターネット経由で行うことができます。
接続文字列をプライベート Azure PaaS リソースに設定します。共有プライベートリンクの接続文字列の形式は変更されません。検索サービスでは、内部的に共有プライベートリンクを呼び出します。

インデクサーワークロードの場合、接続文字列はデータソース定義にあります。データソースの例を次に示します。
```
 {
   "name": "my-blob-ds",
   "type": "azureblob",
   "subtype": null,
   "credentials": {
     "connectionString": "DefaultEndpointsProtocol=https;AccountName=<YOUR-STORAGE-ACCOUNT>;AccountKey=..."
   }
```

インデクサーワークロードでは、インデクサー定義で実行環境を設定することを忘れないでください。インデクサー定義の例を次に示します。

"name": "indexer",
"dataSourceName": "my-blob-ds",
"targetIndexName": "my-index",
"parameters": {
   "configuration": {
       "executionEnvironment": "private"
       }
   },
"fieldMappings": []
}

インデクサーを実行します。インデクサーの実行が成功し、検索インデックスが設定された場合、共有プライベートリンクは機能しています。

トラブルシューティング

"データソースの資格情報が無効です" でインデクサーの作成が失敗した場合は、接続をデバッグする前に、共有プライベートリンクの承認状態を確認してください。状態が Approved の場合は、properties.provisioningState プロパティを確認します。 Incomplete の場合は、基になる依存関係に問題がある可能性があります。この場合は、共有プライベートリンクを再作成するために PUT 要求を再発行します。また、承認ステップを繰り返す必要がある場合もあります。
インデクサーが常に、または断続的に失敗する場合は、インデクサーの executionEnvironment プロパティを確認します。値は private に設定する必要があります。このプロパティを設定しておらず、インデクサーが過去に正常に実行された場合は、検索サービスが独自にプライベート環境を使用していることが原因です。システムに負荷がかかっている場合、検索サービスでは標準環境から処理が移動されます。
共有プライベートリンクの作成中にエラーが発生した場合は、サービスの制限を確認して、ご利用のレベルのクォータ内であることを確認してください。

次のステップ

プライベートエンドポイントと他のセキュリティで保護された接続方法の詳細については、次を参照してください。

プライベート リンクを経由した送信接続の作成

共有プライベート リンクを使用する場合

制限事項

前提条件

サポートされているリソースの種類

1 - 共有プライベート リンクを作成する

共有プライベート リンクの作成ワークフロー

2 - プライベート エンドポイント接続を承認する

3 - 共有プライベート リンクの状態を確認する

4 - プライベート環境で実行されるようにインデクサーを構成する

5 - 共有プライベート リンクをテストする

トラブルシューティング

次のステップ

その他のリソース

プライベートリンクを経由した送信接続の作成

共有プライベートリンクを使用する場合

1 - 共有プライベートリンクを作成する

共有プライベートリンクの作成ワークフロー

2 - プライベートエンドポイント接続を承認する

3 - 共有プライベートリンクの状態を確認する

5 - 共有プライベートリンクをテストする