検索サービスをネットワークセキュリティ境界に追加する

注

Azure AI 検索は、Azure ポータル、REST API、およびAzure SDKから使用できます。また、Foundry IQ は、エンタープライズコンテンツを、Microsoft Foundry ポータルのエージェントの再利用可能なアクセス許可に対応したナレッジベースに変換するマネージドナレッジレイヤーです。

ネットワークセキュリティ境界は、仮想ネットワークの外部にデプロイするサービスとしてのプラットフォーム (PaaS) リソースを囲む論理ネットワーク境界です。 Microsoft Foundry Models の Azure AI 検索、Azure Storage、Azure OpenAI などのリソースへのパブリックネットワークアクセスを制御するための境界を確立します。

この記事では、Azure AI 検索サービスをネットワークセキュリティ境界に参加して、検索サービスへのネットワークアクセスを制御する方法について説明します。ネットワークセキュリティ境界に参加すると、次のことができます。

同じ境界内の他の Azure リソースとのコンテキストで、検索サービスへのすべてのアクセスをログします。
検索サービスから境界外の他のサービスへのデータ流出をブロックします。
ネットワークセキュリティ境界の受信および送信アクセス機能を使用して、検索サービスへのアクセスを許可します。

この記事で説明するように、Azure portal で検索サービスをネットワークセキュリティ境界に追加できます。または、 Search Management REST API を使用して、構成設定を表示および同期します。

前提条件

既存のネットワークセキュリティパリメーター。作成して検索サービスに関連付けることができます。
任意の課金対象レベルで任意のリージョンの Azure AI 検索。
Azure ロールの割り当て: ネットワークセキュリティペリメーターの共同作成者として、ペリメーター (またはそのリソースグループもしくはサブスクリプション) 上で、ペリメーター、プロファイル、アクセスルール、関連付けを作成、管理します。 検索サービスの共同作成者 (または 共同作成者) が、それを境界に関連付けます。詳細については、「ネットワークセキュリティ境界とは」を参照してください。
インデクサーを使用する場合は、システム割り当てマネージド ID またはユーザー割り当てマネージド ID を使用して検索サービスを構成し、各データソースに適切なデータプレーンロールを割り当てます。

制限事項

現在、インデクサーでサポートされているデータソースは、Azure Blob Storage、Azure Cosmos DB for NoSQL、Azure SQL Database に限られます。
データ取得のための Azure PaaS へのインデクサー接続は、主要な境界内ユースケースです。その他のトラフィックの場合は、受信規則と送信規則を構成します。 Microsoft Foundry リソースへの発信呼び出しについては、「Microsoft Foundry リソースへのアウトバウンドアクセス」を参照してください。共有プライベートリンクは、特定のリソースの種類の代替手段です。

Microsoft Foundry リソースへのアウトバウンドアクセス

検索サービスと Microsoft Foundry リソースの両方を含むネットワークセキュリティ境界は、それらの間の発信呼び出し用のプライベートチャネルを提供します。境界はリソースとネットワークレイヤーで動作するため、Foundry リソースを呼び出すすべての検索サービス機能では、次のような同じ許可パスが使用されます。

Foundry リソースを呼び出すすべてのスキル (Azure OpenAI 埋め込みスキルなど) GenAI プロンプトスキル、Content Understanding スキル、および AI エンリッチメントと課金のためのその他の Foundry リソーススキル。
統合ベクトル化中のクエリ時におけるAzure OpenAI ベクトライザー。
ナレッジエージェントから Foundry モデルの展開へのエージェント検索の呼び出し。

プライベートチャネルを有効にするには:

検索サービスと Foundry リソースの両方を、同じネットワークセキュリティ境界、またはそれらの間の通信を許可する境界に追加します。
両方のリソースが同じ境界内にあり、検索サービスがマネージド ID を使用して Foundry リソースに対して認証を行う場合、送信規則を追加する必要はありません。境界内トラフィックは暗黙的に許可されます。リソースが異なる境界にある場合、または検索サービスが API キーを使用して認証する場合は、Foundry リソースのホスト名を対象とする検索サービスに関連付けられている境界に送信 FQDN アクセス規則を追加します。構成の Foundry 側に関するガイダンスについては、「Microsoft Foundry をネットワークセキュリティ境界に追加する」を参照してください。
次の 2 つの段階でアクセスを検証します。
1. 境界を学習モードで使用して、Foundry リソースを呼び出すスキルセット、ベクター化クエリ、またはエージェント検索呼び出しを実行します。境界ログを確認して、予想されるアクセスパスを確認します。
2. 強制モードに切り替えて、同じ操作を再実行します。インデクサーの実行履歴と境界の送信許可ログで成功を確認します。

種類が Microsoft.CognitiveServices (Microsoft Foundry) の AIServices リソースに対するネットワークセキュリティ境界 (NSP) のサポートが一般提供開始されました。 OpenAI (Azure OpenAI Service) の種類のリソースに対する NSP のサポートは、パブリックプレビュー段階です。現在のサポート一覧については、「オンボードされたプライベートリンクリソース」を参照してください。

Foundry リソースへの共有プライベートリンクは、代替として引き続きサポートされます。

検索サービスをネットワークセキュリティ境界に割り当てる

すべてのインデックス作成およびクエリトラフィックが境界ルールによって制御されるように、検索サービスを境界に関連付けます。

Tip

自動化の場合は、ポータルの代わりに Search Management REST API を使用します。詳細については、「 REST API を使用して Azure AI 検索サービスを管理する」を参照してください。

Azure portal で、自分のサブスクリプションのネットワークセキュリティ境界サービスを見つけます。
左側のウィンドウで、設定>関連付けられているリソースを選択します。
[追加]>[リソースを既存のプロファイルに関連付ける] を選びます。
[プロファイル] で、ネットワークセキュリティ境界を作成したときに作成したプロファイルを選びます。
[ 追加] を選択し、検索サービスを選択します。
左下隅にある [ 関連付け ] を選択して関連付けを作成します。

ネットワークセキュリティ境界から検索サービスを削除する

境界から検索サービスの関連付けを解除するには:

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のウィンドウで、設定>関連付けられているリソースを選択します。
表で検索サービスを見つけ、行の末尾にある 3 つのドットを選択し、[ 関連付けの削除] を選択します。
削除を確認します。関連付けが削除されると、境界ルールは検索サービスに適用されなくなり、検索サービスの publicNetworkAccess 設定によって受信トラフィックが再び制御されます。

ネットワークセキュリティ境界のアクセスモード

ネットワークセキュリティ境界では、関連付けられたリソースに対して 2 つの異なるアクセスモードがサポートされています。

Mode	Description
学習モード	これが既定のアクセスモードです。学習モードでは、ネットワークセキュリティ境界は、境界が強制モードの場合に拒否される検索サービスへのすべてのトラフィックをログに記録します。このアクセスモードを使用すると、ネットワーク管理者は、アクセス規則の適用を実装する前に、検索サービスの既存のアクセスパターンを理解できます。
強制モード	強制モードでは、ネットワークセキュリティ境界によってログが記録され、アクセス規則によって明示的に許可されていないすべてのトラフィックが拒否されます。

Mode

Description

学習モード

これが既定のアクセスモードです。学習モードでは、ネットワークセキュリティ境界は、境界が強制モードの場合に拒否される検索サービスへのすべてのトラフィックをログに記録します。このアクセスモードを使用すると、ネットワーク管理者は、アクセス規則の適用を実装する前に、検索サービスの既存のアクセスパターンを理解できます。

強制モード

強制モードでは、ネットワークセキュリティ境界によってログが記録され、アクセス規則によって明示的に許可されていないすべてのトラフィックが拒否されます。

ネットワークセキュリティ境界と検索サービスのネットワーク設定

publicNetworkAccess 設定は、ネットワークセキュリティ境界との検索サービスの関連付けを決定します。

学習モードでは、 publicNetworkAccess 設定によってリソースへのパブリックアクセスが制御されます。
適用モードでは、ネットワークセキュリティ境界規則によって publicNetworkAccess 設定がオーバーライドされます。たとえば、publicNetworkAccessのenabled設定を持つ検索サービスが適用モードのネットワークセキュリティ境界に関連付けられている場合、検索サービスへのアクセスは引き続きネットワークセキュリティ境界アクセス規則によって制御されます。

ネットワークセキュリティ境界のアクセスモードを変更する

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のウィンドウで、設定>関連付けられているリソースを選択します。
テーブルで検索サービスを見つけます。
行の末尾にある 3 つのドットを選択し、[ アクセスモードの変更] を選択します。
目的のアクセスモードを選択し、[ 適用] を選択します。

ネットワークアクセスのログを有効にする

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のウィンドウで、監視>Diagnostic 設定を選択します。
[診断設定の追加] を選択します。
diagnostic名には、などの任意の名前を入力します。
[ログ] の下の [allLogs] を選択します。 [allLogs] を選ぶと、ネットワークセキュリティ境界内のリソースに対するすべてのインバウンドとアウトバウンドのネットワークアクセスがログされます。
[宛先の詳細] で、[ストレージアカウントへのアーカイブ] または [Log Analytics ワークスペースへの送信] を選びます。ストレージアカウントは、ネットワークセキュリティ境界と同じリージョンに存在する必要があります。既存のストレージアカウントを選択することも、新しいストレージアカウントを作成することもできます。 Log Analytics ワークスペースは、ネットワークセキュリティ境界で使われているものとは異なるリージョンでもかまいません。その他の適用可能な宛先をどれでも選択できます。
[保存] を選んで診断設定を作成し、ネットワークアクセスのログを始めます。
ログ記録がアクティブであることを確認するには、検索サービスへのトラフィックを生成します (クエリの実行など)。約 10 分以内に、Log Analyticsの NSPAccessLogs テーブルに対してクエリを実行するか、ストレージアカウント内の対応する insights-logs-* コンテナーを確認します。

ネットワークアクセスログの読み取り

ネットワークセキュリティ境界ログは、[ 診断設定] で選択した宛先に配信されます。最も一般的な宛先は、Log Analytics ワークスペースとストレージアカウントです。

Log Analytics ワークスペース

NSPAccessLogs テーブルには、NspPublicInboundPerimeterRulesAllowedなど、すべてのログカテゴリのすべてのログが含まれています。各ログには、ログカテゴリに一致するネットワークセキュリティ境界ネットワークアクセスのレコードが含まれています。

NspPublicInboundPerimeterRulesAllowed ログ形式の例を次に示します。

列名	意味	値の例
結果の説明	ネットワークアクセス操作の名前。	POST /indexes/my-index/docs/search
プロファイル	検索サービスが関連付けられたネットワークセキュリティ境界。	デフォルトプロファイル
ServiceResourceId	検索サービスのリソース ID。	`search-service-resource-id`
一致した規則	ログが一致したルールの JSON の説明。	`{ "accessRule": "IP firewall" }`
送信元IPアドレス	受信ネットワークアクセスのソース IP (該当する場合)。	192.0.2.1
AccessRuleVersion	ネットワークアクセス規則を適用するために使用されるネットワークセキュリティ境界アクセス規則のバージョン。	0

ストレージアカウント

ストレージアカウントには、 insights-logs-nsppublicinboundperimeterrulesallowedなど、すべてのログカテゴリのコンテナーがあります。コンテナー内のフォルダー構造は、ネットワークセキュリティ境界のリソース ID およびログが取得された時刻と一致します。 JSON ログファイルの各行には、ログカテゴリと一致するネットワークセキュリティ境界のネットワークアクセスの記録が含まれます。

たとえば、インバウンド境界規則の許可カテゴリログでは、次の形式が使われます。

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "192.0.2.1",
    }
}

検索サービスに対するアクセス規則を追加する

ネットワークセキュリティ境界プロファイルでは、境界経由のアクセスを許可または拒否する規則を指定します。

境界内では、すべてのリソースがネットワークレベルで相互にアクセスできます。それでも認証と認可を設定する必要がありますが、ネットワークレベルでは、境界の内部からの接続要求は受け入れられます。

ネットワークセキュリティ境界の外部にあるリソースの場合は、インバウンドとアウトバウンドのアクセス規則を指定する必要があります。インバウンド規則では、入ることを許可する接続を指定し、アウトバウンド規則では、出ることを許可する要求を指定します。

検索サービスは、Microsoft Foundry ポータルやインデックス作成またはクエリ要求を送信するすべてのアプリからの受信要求を受け入れます。検索サービスは、インデクサーベースのインデックス作成とスキルセットの実行の間にアウトバウンド要求を送信します。このセクションでは、Azure AI 検索のシナリオでインバウンドとアウトバウンドのアクセス規則を設定する方法について説明します。

注

検索サービスがマネージド ID と Microsoft Entra ベースの role 割り当てを使用して認証を行うと、同じネットワークセキュリティ境界内のリソース間のトラフィックがネットワークレベルで暗黙的に許可されます。検索サービスが API キーを使用して認証を行う場合、境界はトラフィックを境界内として識別できないため、両方のリソースが同じ境界内にある場合でも、明示的な受信および送信アクセス規則を追加する必要があります。

インバウンドアクセス規則を追加する

インバウンドアクセス規則では、インターネットおよび境界の外部のリソースが、境界の内部のリソースと接続するのを許可できます。

ネットワークセキュリティ境界では、2 種類のインバウンドアクセス規則がサポートされています。

IP アドレス範囲。 IP アドレスまたは範囲は、クラスレスドメイン間ルーティング (CIDR) 形式である必要があります。 192.0.2.0/24 は CIDR 表記の例であり、これは 192.0.2.0 から 192.0.2.255 の範囲の IP を表します。この種類の規則では、範囲内の任意の IP アドレスからのインバウンド要求が許可されます。
サブスクリプション。この種類の規則では、サブスクリプションのマネージド ID を使用して認証された受信アクセスが許可されます。ルールはネットワークパスのみを制御します。呼び出し元には、検索サービスでAzure RBAC ロールの割り当てが必要です。

Azure portal でインバウンドアクセス規則を追加するには:

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のウィンドウで、設定>Profiles を選択します。
ネットワークセキュリティ境界で使用しているプロファイルを選択します。
左側のウィンドウで、[設定]>[送信アクセス規則] を選択します。
[追加] を選択します。

次の値を入力または選択します。

設定	価値
規則の名前	受信アクセス規則の名前 ( `MyInboundAccessRule`など)。
ソースの種類	有効な値は、IP アドレス範囲またはサブスクリプションです。
許可されるソース	IP アドレス範囲を選択した場合は、受信アクセスを許可する IP アドレス範囲を CIDR 形式で入力します。 Azure IP 範囲とサービスタグファイルをダウンロードします。 [サブスクリプション] を選択した場合は、受信アクセスを許可するサブスクリプションを使用します。

[追加] を選んで、インバウンドアクセス規則を作成します。
ルールを確認するには、テストプロファイルで関連付けを強制モードに切り替えます。一致する要求が NspPublicInboundPerimeterRulesAllowed ログカテゴリに表示され、一致しない要求が NspPublicInboundPerimeterRulesDenied カテゴリに表示されたことを確認します。

アウトバウンドアクセス規則を追加する

検索サービスは、インデクサーベースのインデックス作成とスキルセットの実行の間にアウトバウンド呼び出しを行います。インデクサーのデータソース、Foundry Tools の課金スキル、またはカスタムスキルロジック用の接続Microsoft Foundry リソースがネットワークセキュリティ境界外にある場合は、検索サービスが接続を確立できるようにする送信アクセス規則を作成します。

セキュリティ境界内では、インデクサーはAzure Blob Storage、NoSQLのAzure Cosmos DB、およびAzure SQL Databaseに接続できます。インデクサーが他のデータソースを使う場合は、その接続をサポートするためのアウトバウンドアクセス規則が必要です。

ネットワークセキュリティ境界は、宛先の完全修飾ドメイン名 (FQDN) に基づく送信アクセス規則をサポートします。たとえば、ネットワークセキュリティ境界に関連付けられているサービスから FQDN (mystorageaccount.blob.core.windows.netなど) へのアウトバウンドアクセスを許可できます。

Azure portal でアウトバウンドアクセス規則を追加するには:

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のウィンドウで、設定>Profiles を選択します。
ネットワークセキュリティ境界で使用しているプロファイルを選択します。
左側のウィンドウで、設定>送信アクセス規則を選択します。
[追加] を選択します。

次の値を入力または選択します。

設定	価値
規則の名前	送信アクセス規則の名前 ( `MyOutboundAccessRule`など)。
変換先の型	FQDN のままにします。
許可される宛先	アウトバウンドアクセスを許可する FQDN のコンマ区切りの一覧を入力します。

[追加] を選んで、アウトバウンドアクセス規則を作成します。
ルールを確認するには、テストプロファイルで関連付けを強制モードに切り替えます。一致する送信要求が NspPublicOutboundPerimeterRulesAllowed ログカテゴリに表示されたことを確認します。

ネットワークセキュリティ境界を経由する接続をテストする

ネットワークセキュリティ境界を介して接続をテストするには、インターネット接続のあるローカルコンピューターまたは Azure VM 上の Web ブラウザーにアクセスする必要があります。

ネットワークセキュリティ境界の関連付けを強制モードに変更して、検索サービスへのネットワークアクセスに対するネットワークセキュリティ境界要件の適用を始めます。
クライアントを選択します。
1. ローカルコンピューターの場合は、パブリック IP アドレスを取得します。
2. Azure VM の場合は、プライベートリンクを使用するか、Azure portal で IP アドレスを見つけます。
その IP アドレスの受信アクセス規則を作成して、アクセスを許可します。
Azure ポータルで、検索サービスを開き、そのインデックスを表示します。
- 予想される成功: インデックス一覧が読み込まれるので、テストクエリを実行できます。受信 IP 規則が機能しています。
- 403 または "パブリックネットワークアクセスが無効です" というエラーが表示された場合: クライアント IP または Azure ポータルは受信規則の対象になりません。受信アクセス規則を確認します。

一般的な問題のトラブルシューティング

症状:	考えられる原因	緩和策
インデクサーは、強制モードに切り替えた後に失敗します。	検索サービスの ID にはデータソースに対するデータプレーンロールがないか、データソースがその境界内ではサポートされていません。	検索サービスがマネージド ID を使用し、データソースに必要なロールがあることを確認します。サポートされていないデータソースの場合は、送信アクセス規則を追加します。
Foundry リソースに対するスキル、ベクター化機能、またはエージェント型取得の呼び出しは拒否されます。	Foundry リソースが別の境界にあるか、検索サービスが API キーを使用して認証されるため、チャネルは暗黙的ではありません。	両方のリソースを同じ境界に追加し、マネージド ID を使用するか、Foundry リソースのホスト名を対象とする送信 FQDN 規則を追加します。詳細については、Microsoft Foundry リソースへの送信アクセスを参照してください。
診断ログは、Log Analyticsまたはストレージに表示されません。	インジェストの待機時間、またはストレージアカウントが境界と同じリージョンにありません。	トラフィックを生成してから最大 10 分待ってから、 `NSPAccessLogs` テーブルに対してクエリを実行するか、一致する `insights-logs-*` ストレージコンテナーを確認します。ストレージアカウントのリージョンを確認します。
検索サービスへのポータルアクセスは、適用後に拒否されます。	クライアント IP は受信規則の対象になりません。	クライアント IP の受信アクセス規則を追加するか、構成の完了時に学習モードに戻します。

ネットワークセキュリティ境界の構成を表示して管理する

ネットワークセキュリティ境界構成 REST API を使用して、検索サービスの境界構成を確認および調整します。

たとえば、検索サービスの現在の境界構成を一覧表示します。

az rest --method get \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations?api-version=2025-05-01"

構成が境界と同期していない場合は、リコンサイルをトリガーします。

az rest --method post \
  --url "https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Search/searchServices/<search-service-name>/networkSecurityPerimeterConfigurations/<association-name>/reconcile?api-version=2025-05-01"

最新の安定バージョンの Search Management REST API を使用します。詳細については、「 REST API を使用して Azure AI 検索サービスを管理する」を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-08

検索サービスをネットワーク セキュリティ境界に追加する

前提条件

制限事項

Microsoft Foundry リソースへのアウトバウンド アクセス

検索サービスをネットワーク セキュリティ境界に割り当てる

ネットワーク セキュリティ境界から検索サービスを削除する

ネットワーク セキュリティ境界のアクセス モード

ネットワーク セキュリティ境界と検索サービスのネットワーク設定

ネットワーク セキュリティ境界のアクセス モードを変更する

ネットワーク アクセスのログを有効にする

ネットワーク アクセス ログの読み取り