Azure Storage Mover は、Azure Storage アカウントへのシームレスなデータ移行を容易にするために設計されたサービスです。 セキュリティとコンプライアンスを優先する組織では、Storage Mover と Azure Private Networking を統合することで、移行プロセス全体を通じて機密データと資格情報が確実に保護されます。
注
Azure Storage Mover では、オンプレミスとクラウドの両方のデータ ソースとターゲットがサポートされています。 オンプレミスのデータ ソースは 1 つ以上のエージェントを使用して Azure Storage に移行されますが、クラウド データ ソースは Storage Mover サービスを使用して直接移行されます。
この記事では、オンプレミスのインフラストラクチャを Azure に接続するための前提条件に焦点を当て、プライベート ネットワークに関する考慮事項について説明します。
Azure Storage Mover 通信は HTTPS 経由で行われます。 この暗号化された通信により、パブリック インターネット経由での移行は、多くの組織にとって十分に安全になります。 たとえば、これらの組織は、ストレージ アカウントとキー コンテナーへのプライベート ネットワーク アクセスを要求しない場合があります。 セキュリティとコンプライアンスを優先する組織では、Storage Mover と Azure Private Networking を統合することで、移行プロセス全体を通じて機密データと資格情報が確実に保護されます。 これらの構成は、通常、セキュリティで保護された接続の基盤として機能する Azure 仮想ネットワークの作成から始まります。 Azure 仮想ネットワークの詳細については、「Azure 仮想ネットワークとは」を参照してください。
Important
現在、Storage Mover は、Private Link 経由でエージェントから移行先ストレージ アカウントに移行データをルーティングするように構成できます。 ハイブリッド コンピューティングのハートビートと証明書は、仮想ネットワーク (VNet) 内のプライベート Azure Arc サービス エンドポイントにルーティングすることもできます。 一部の Storage Mover トラフィックは Private Link 経由でルーティングできないため、ストレージ ムーバー リソースのパブリック エンドポイント経由でルーティングされます。 このデータには、制御メッセージ、進行状況テレメトリ、およびコピー ログが含まれます。
オンプレミスインフラストラクチャを Azure にリンクするには、組織がハイブリッド接続を有効にする必要があります。 このハイブリッド リンクは、Azure VPN Gateway または Azure ExpressRoute 経由のサイト間 VPN を使用して作成できます。 どちらのオプションでも、Azure リソースへのセキュリティで保護されたアクセスを可能にするプライベート トンネルが確立されます。 Azure VPN Gateway または ExpressRoute の詳細については、「 Azure VPN Gateway とは」 または 「Azure ExpressRoute とは」を参照してください。
プライベート エンドポイントもこのアプローチで重要な役割を果たし、Azure Storage アカウントや Azure Key Vault などのサービスにプライベートにアクセスできます。 これらのエンドポイントは仮想ネットワークのサブネット内に存在し、プライベート IP アドレスを正しく解決するにはドメイン ネーム システム (DNS) レコードが必要です。 セットアップ中に、ユーザーはこれらのレコードを管理するようにプライベート DNS ゾーンを構成できます。 プライベート エンドポイントの詳細については、「 Azure プライベート エンドポイントとは」を参照してください。
この記事では、プライベート ネットワーク環境に Azure Storage Mover をデプロイするために必要な主な要件と構成手順について説明します。
ネットワークの概要
Azure Storage Mover がプライベート ネットワーク環境にデプロイされている場合は、安全で効率的な操作を確保するために、複数のコンポーネントを構成する必要があります。 実際のデータ移行タスクを実行する Storage Mover エージェントは、さまざまな Azure サービスに接続する必要があります。 これらのサービスの中にはプライベート エンドポイントをサポートするものもあれば、パブリック エンドポイントへのアクセスを必要とするサービスもあります。
必要なポート
ストレージ ムーバー エージェントは、SMB クライアントと NFS クライアントの両方をサポートします。 Storage Mover エージェント VM、ストレージ VM、Azure Fileshare の間で有効にする必要があるポートの一覧を次に示します。
| サービス | ポートとプロトコル | ソース VM | 目標 |
|---|---|---|---|
| SMB | 445/TCP | エージェント VM | オンプレミスの SMB 共有サーバー |
| NFS | 2049/TCP | エージェント VM | オンプレミス NFS 共有サーバー |
| BLOB またはファイル共有のターゲット | 443/HTTPS | エージェント VM | Azure ファイル共有 |
必要なサービスとエンドポイント
次の表に、必要なサービス、エンドポイントの種類、およびプライベート アクセスがサポートされているかどうかを示します。 ネットワーク設定では、Storage Mover エージェントが HTTPS 経由でサービスのエンドポイントに接続できるようにする必要があるため、完全修飾ドメイン名 (FQDN) も含まれます。
| サービス | 必要な条件 | プライベート エンドポイントのサポート | FQDN |
|---|---|---|---|
| Microsoft Artifact Registry | エージェントの更新プログラム | ❌ | mcr.microsoft.com |
| Storage Mover Service | エージェントのハートビートと移行ジョブの割り当て | ❌ | <region>.agentgateway.prd.azsm.azure.com |
| Event Hubs | コピー ログの発行 | ❌ | evhns-sm-ur-prd-<region>.servicebus.windows.net |
| Azure Arc | Registration | ✅ (Arc Private Link スコープ経由) |
*.guestconfiguration.azure.com、および*.his.arc.azure.com |
| Microsoft Entra ID | Registration | ❌ |
login.microsoftonline.com、およびpas.windows.net |
| Azure Resource Manager | Registration | ❌ | management.azure.com |
| ストレージ アカウント (フラット BLOB) | ジョブ ターゲット | ✅ | *.blob.core.windows.net |
| ストレージ アカウント (HNS BLOB) | ジョブ ターゲット | ✅ |
*.blob.core.windows.net、および*.dfs.core.windows.net |
| ストレージ アカウント (ファイル) | ジョブ ターゲット | ✅ | *.file.core.windows.net |
| Key Vault（キーボールト） | 必要に応じて、データ ソース エンドポイントが資格情報にアクセスする | ✅ | *.vault.azure.net |
次のセクションでは、プライベート ネットワークに Storage Mover をデプロイするために必要なコンポーネント、パブリック エンドポイントの依存関係、およびネットワークに関する考慮事項について詳しく説明します。
プライベート ネットワークの要件
Storage Mover 階層内では、ストレージ ムーバー リソースは、Azure サブスクリプションにデプロイする最上位レベルのサービス リソースです。 サービスと移行のすべての側面は、このリソースから制御されます。 ただし、Storage Mover エージェントは、移行のほとんどの作業を実行します。 Storage Mover エージェントは、データ転送を実行して移行を容易にするために使用される、ネットワーク内の仮想マシンです。
Storage Mover エージェントがプライベート ネットワーク内で動作できるようにするには、複数の Azure サービスに接続する必要があります。 これらのサービスの中にはプライベート エンドポイントをサポートするものもあれば、パブリック エンドポイントへのアクセスを必要とするサービスもあります。
Storage Mover エージェントが Azure リソースにプライベートに接続されるようにするには、次のコンポーネントが必要です。
-
Azure Virtual Network:
Azure 仮想ネットワークは、プライベート接続の基盤を提供する Azure 内の分離されたネットワークです。 これにより、サブネットの定義、ルーティングの構成、トラフィック フローを制御するためのネットワーク セキュリティ グループ (NSG) の設定を行えます。 仮想ネットワークは、オンプレミスのインフラストラクチャを Azure リソースに安全に接続するためのバックボーンとして機能します。 -
VPN Gateway または ExpressRoute:
VPN ゲートウェイまたは Azure ExpressRoute を使用して、オンプレミス ネットワークを Azure 仮想ネットワークにリンクできます。 VPN ゲートウェイはネットワーク間のサイト間 VPN 接続に使用され、ExpressRoute では専用のプライベート接続が提供されます。 どちらのオプションでも、オンプレミスのインフラストラクチャと Azure リソース間のセキュリティで保護された通信が可能になります。 -
プライベート エンドポイント:
Azure プライベート エンドポイントは、仮想ネットワークのプライベート IP を使用して Azure サービスを安全に接続できるリソースです。 プライベート エンドポイント リソースを作成し、ストレージ アカウントや Key Vault などの既存の別のリソースに割り当てることで、仮想ネットワーク内のクライアントへのアクセスを制限できます。 -
DNS 構成:
リソース エンドポイントのプライベート エンドポイント IP アドレスを解決するには、適切な DNS 構成が必要です。 プライベート DNS ゾーンを作成し、プライベート エンドポイントの作成時に仮想ネットワークにリンクできるため、この構成はセットアップ時に実行できます。
プライベート エンドポイントをサポートするすべてのサービスにはパブリック エンドポイントとしてアクセスすることもできますが、一部のリソースはパブリック接続を拒否または許可するように構成できます。
次の図は、それをサポートするすべてのエンドポイントへのプライベート接続を有効にするためのリソース トポロジの例を示しています。
注
この構成は、プライベート ネットワークに対して可能な多くのセットアップの 1 つであり、DNS、プロキシ、仮想ネットワーク ピアリングなど、ネットワーク構成に関連するすべてのコンポーネントを含むわけではありません。
1 つの Arc Private Link スコープを使用すると、画像に示すように 3 つの Arc サービスにアクセスできます。
Extensions Arc サービスは、Storage Mover エージェントでは使用されません。 混乱を避けるために、画像内でミュートされた状態で表示されます。
2 つの Arc Private Link スコープと、それらが接続する 3 つの Arc サービスの両方に、パブリック エンドポイント経由で直接アクセスできます。 Arc Private Link スコープは、パブリック ネットワーク アクセスを有効または無効にするように構成できます。
3 推奨されるベスト プラクティスは、複数の Azure 仮想ネットワークを使用することです。 Azure VPN Gateway を使用して、"ハブ" 仮想ネットワークに接続します。 リソースを格納するには、仮想ネットワーク ピアリングを使用して "ハブ" に接続された 2 つ目の "スポーク" 仮想ネットワークを使用します。 詳細なガイダンスについては、「 Azure ランディング ゾーンとは」を参照してください。
パブリック エンドポイントの依存関係
プライベート ネットワークに重点を置いているにもかかわらず、前の図に示すように、必要な特定の Storage Mover サービスにはパブリック エンドポイント経由でのみアクセスできます。 これらのサービスには、Azure サービスへのプライベート トンネルを提供する ExpressRoute Microsoft ピアリングを使用して、パブリック エンドポイント経由で安全にアクセスできます。 詳細については、「 Microsoft ピアリング」を参照してください。
Storage Mover エージェントが正しく機能するためには、パブリック エンドポイント経由で次のエンドポイントにアクセスできる 必要があります 。
- エージェントを自動更新するための Microsoft Artifact Registry。
- エージェントのハートビートとジョブの調整のための Storage Mover サービス。
- コピー ログを発行するための Event Hubs。
- 登録と ID 管理のための Azure AD/Microsoft Entra ID。
- 登録とリソース管理のための Azure Resource Manager。
Arc 対応サーバーに関する考慮事項
Storage Mover エージェントは Arc 対応サーバーであり、複数の Azure サービスへの接続が必要です。 多くの Arc サービスでは Azure プライベート エンドポイント リソースが直接サポートされていないため、Arc とのプライベート通信が要件に含まれているかどうかを判断する必要があります。 その場合は、Azure Arc Private Link スコープを構成することをお勧めします。
Private Link スコープを使用すると、プライベート エンドポイントと Storage Mover エージェントで必要な Arc サービス間のデータ フローを容易にすることで、プライベート接続を維持できます。 Arc Private Link スコープの詳細については、「 Azure Private Link を使用してサーバーを Azure Arc に安全に接続する」を参照してください。
注
ストレージ アカウントまたは Key Vault には、Azure Arc Private Link スコープは必要ありません。
ネットワークに関するその他の考慮事項
コア コンポーネント以外にも、Storage Mover エージェントのセキュリティと機能を強化するように構成できるネットワークに関する考慮事項があります。 ただし、これらの構成は省略可能であり、特定のネットワーク要件に依存し、ネットワークのパフォーマンスに影響する可能性があります (特に正しく構成されていない場合)。
プロキシのサポート
Storage Mover エージェントは、外部の HTTP プロキシと HTTPS プロキシをサポートします。 構成は、[ネットワーク構成] セクションの [ ネットワーク構成 の 更新 ] メニュー内のエージェントのシェルを使用して行われます。 メッセージが表示されたら、[ プロキシ ] を選択し、プロキシの完全修飾ドメイン名 (FQDN) または IP アドレスを入力します。 必要に応じて、ポート番号を含めます。 次の例は、構成手順を示しています。
SSL 検査
ネットワークで SSL インターセプトが実行されている場合、エージェントは変更された証明書を認識できない可能性があります。 現時点では、エージェントへのカスタム証明書の追加はサポートされていません。 問題を回避するには、SSL 検査をバイパスするために必要なエンドポイントを許可リストに追加します。 これらのエンドポイントについては、「 ネットワークの概要 」セクションを参照してください。