Azure ファイル共有にアクセスするためのネットワークエンドポイントを構成する

✔️ 適用対象: Microsoft.Storage リソースプロバイダーで作成されたクラシックファイル共有

✔️ 適用対象: Microsoft.FileShares リソースプロバイダーで作成されたファイル共有

Azure Files では、Azure ファイル共有にアクセスするための次の主な 2 種類のエンドポイントが提供されます。

パブリック IP アドレスを持ち、世界中のどこからでもアクセスできるパブリックエンドポイント。
プライベートエンドポイント。仮想ネットワーク内に存在し、その仮想ネットワークのアドレス空間内からのプライベート IP アドレスを持ちます。

クラシックファイル共有 (Microsoft.Storage リソースプロバイダーで作成) の場合、Azure ストレージアカウントにはパブリックエンドポイントとプライベートエンドポイントがあります。 Microsoft.FileShares リソースプロバイダーで作成されたファイル共有の場合は、ストレージアカウントレベルではなく、ファイル共有レベルでパブリックエンドポイントとプライベートエンドポイントを作成します。

この記事では、Azure ファイル共有に直接アクセスするためのプライベートエンドポイントを構成する方法について説明します。この記事の内容の多くは、Azure File Sync がストレージアカウントのパブリックエンドポイントとプライベートエンドポイントと相互運用する方法にも適用されます。 Azure File Syncのネットワークに関する考慮事項の詳細については、「Azure File Syncプロキシおよびファイアウォール設定の設定」をご覧ください。

このガイドを読む前に、Azure Files のネットワークに関する考慮事項を確認してください。

前提条件

この記事では、既に Azure サブスクリプションが作成されていることを前提としています。サブスクリプションをまだお持ちでない場合は、無料アカウントを作成します。
接続したいAzureファイル共有が必要です。 Azureファイル共有の作成方法を学びたい方は、「クラシックファイル共有の作成」または「MicrosoftとのAzureファイル共有の作成」をご覧ください。ファイルシェア。
Azure PowerShell を使用する場合は、最新バージョンをインストールしてください。
Azure CLI を使用する場合は、最新バージョンをインストールしてください。

エンドポイントの作成と設定

エンドポイントの設定でストレージアカウントやファイル共有へのネットワークアクセスを制限できます。仮想ネットワークへのアクセスを制限するには、以下のいずれかの方法を用いてください。

1つ以上のプライベートエンドポイントを作成し、パブリックエンドポイントへのアクセスをすべて制限してください(推奨)。この方法により、目的の仮想ネットワーク内から送信されたトラフィックのみがAzureファイル共有にアクセスできるようになります。 Private Link の価格を参照してください。
パブリックエンドポイントを 1 つ以上の仮想ネットワークに制限します。この方法では、 サービスエンドポイントと呼ばれる仮想ネットワークの機能を使用します。サービスエンドポイントを通じてストレージアカウントにトラフィックを制限すると、パブリックIPアドレスを通じてストレージアカウントやファイル共有にアクセスしますが、アクセスは設定で指定した場所からのみ可能です。

プライベートエンドポイントの作成

ファイル共有のプライベートエンドポイントを作成するときは、次のAzureリソースをデプロイします。

プライベートエンドポイント: プライベートエンドポイントを表すAzure リソース。このリソースは、ターゲットリソースとネットワークインターフェイスの間のコネクタと考えることができます。
ネットワークインターフェイス (NIC): 指定された仮想ネットワークとサブネット内にプライベート IP アドレスを保持するネットワークインターフェイス。このリソースは、仮想マシン (VM) をデプロイするときにデプロイするリソースと同じです。ただし、VM に割り当てる代わりに、プライベートエンドポイントが VM を所有します。
プライベートドメインネームシステム (DNS) ゾーン: この仮想ネットワークのプライベートエンドポイントを以前にデプロイしていない場合は、仮想ネットワーク用に新しいプライベート DNS ゾーンがデプロイされます。 DNS レコードもこの DNS ゾーンに作成されます。この仮想ネットワークにプライベートエンドポイントを既にデプロイしている場合は、新しいレコードが既存の DNS ゾーンに追加されます。 DNS ゾーンのデプロイは省略可能です。ただし、AD サービスプリンシパルを使用して Azure ファイル共有をマウントする場合、または FileREST API を使用する場合は、これをお勧めし、そうする必要があります。

注

この記事では、core.windows.net、Azureパブリックリージョンの DNS サフィックスを使用します。この解説は、Azure 米国政府機関クラウドや 21Vianet クラウドによって運用されるAzureなどのAzureソブリンクラウドにも適用されます。環境に適したサフィックスに置き換えます。

プライベートエンドポイントの作成プロセスは、クラシックなファイル共有モデルを使うか新しいファイル共有モデルを使うかによって若干異なります。従来のファイル共有の場合、ファイル共有を含むストレージアカウント用のプライベートエンドポイントを作成します。 Microsoftで作成されたファイル共有用です。FileSharesは、ファイル共有自体のためにプライベートエンドポイントを作成します。

両方の体験で多くのステップは同じです。異なるのはリソース参照、グループID、DNSレコード名のみであり、以下の表に示されています。

	クラシックファイル共有 (`Microsoft.Storage`)	新しいファイル共有 (`Microsoft.FileShares`)
プライベートエンドポイントターゲット	ストレージアカウント	ファイル共有
リソースコマンドレット	`Get-AzStorageAccount`	`Get-AzFileShare`
グループID（サブリソース）	`file`	`FileShare`
DNS A レコード名	ストレージアカウント名	ホスト名プレフィックス (たとえば、 `fs-xxxxxxxxxxxxxxxxx`)

プライベートエンドポイントを作成するリソースグループに移動します。 [ + 作成 ] を選択し、 プライベートエンドポイントを検索します。プライベートエンドポイントリソースを選択し、[ 作成] を選択します。

ウィザードには、完了する複数のページがあります。

[ 基本 ] ページで、プライベートエンドポイントのサブスクリプション、リソースグループ、名前、ネットワークインターフェイス名、リージョンを選択します。プライベートエンドポイントを作成する仮想ネットワークと同じリージョンにプライベートエンドポイントを作成する必要があります。その後、[次へ: リソース] を選択します。

ストレージアカウントでクラシックファイル共有を使っている場合:

Resource ページで、Resource type のドロップダウンメニューから Microsoft.Storage/storageAccounts を選択します。 リソースでは、接続したい特定のストレージアカウントを選択してください。 ターゲットサブリソースについてはfileを選択します。 [次へ: Virtual Network] を選択します。

Microsoft.FileShares リソースプロバイダーで作成されたファイル共有を使用している場合:

リソース ページで、リソースの種類 のドロップダウンメニューから Microsoft.FileShares/fileShares を選択します。 リソースでは、接続したい特定のファイル共有を選択します。ターゲットサブリソースには、FileShare が自動的に設定されます。 [次へ: Virtual Network] を選択します。

Virtual Network ページでは、プライベートエンドポイントを追加する特定のvirtual networkとサブネットを選択できます。新しいプライベートエンドポイントの動的または静的 IP アドレスの割り当てを選択します。静的を選択した場合は、名前とプライベート IP アドレスも指定する必要があります。必要に応じて、アプリケーションセキュリティグループを指定することもできます。完了したら、[次: DNS] を選びます。

DNS ページには、プライベートエンドポイントとプライベート DNS ゾーンを統合するための情報が含まれています。サブスクリプションとリソースグループが正しいことを確認し、[ 次へ: タグ] を選択します。

必要に応じて、タグを適用してリソースを分類できます。たとえば、[名前] の [環境] と [値] の [テスト] をすべてのテストリソースに適用します。必要に応じて名前と値のペアを入力し、[次へ: レビュー + 作成] を選択します。

[作成] を選択してプライベートエンドポイントを作成します。

プライベートエンドポイントを作成するには、まず、ストレージアカウントまたはファイル共有への参照と、プライベートエンドポイントを追加する仮想ネットワークサブネットを取得します。次のコードのプレースホルダー値を独自の値に置き換えます。

クラシックファイル共有の場合は、ストレージアカウントへの参照を取得します。

$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"

$storageAccount = Get-AzStorageAccount `
        -ResourceGroupName $storageAccountResourceGroupName `
        -Name $storageAccountName `
        -ErrorAction SilentlyContinue

if ($null -eq $storageAccount) {
    $errorMessage = "Storage account $storageAccountName not found "
    $errorMessage += "in resource group $storageAccountResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有については、そのファイル共有への参照を取得します。

 $fileShareResourceGroupName = "<resource-group-name>"
 $fileShareName = "<file-share-name>"
 
 $fileShare = Get-AzFileShare `
         -ResourceGroupName $fileShareResourceGroupName `
         -ResourceName $fileShareName `
         -ErrorAction SilentlyContinue
 
 if ($null -eq $fileShare) {
     $errorMessage = "File share $fileShareName not found "
     $errorMessage += "in resource group $fileShareResourceGroupName."
     Write-Error -Message $errorMessage -ErrorAction Stop
 }
 
 # Extract hostName and hostNamePrefix for DNS record
 $hostName = $fileShare.HostName
 $hostNamePrefix = $hostName.Split('.')[0]
 
 # Set common variables for private endpoint creation
 $resourceGroupName = $fileShareResourceGroupName
 $privateLinkResourceId = $fileShare.Id
 $groupId = "FileShare"
 $dnsRecordName = $hostNamePrefix

共通変数を設定した後、残りの手順は両方のエクスペリエンスで同じです。仮想ネットワークとサブネットへの参照を取得します。

 $virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
 $virtualNetworkName = "<vnet-name>"
 $subnetName = "<vnet-subnet-name>"
 
 # Get virtual network reference, and throw error if it doesn't exist
 $virtualNetwork = Get-AzVirtualNetwork `
         -ResourceGroupName $virtualNetworkResourceGroupName `
         -Name $virtualNetworkName `
         -ErrorAction SilentlyContinue
 
 if ($null -eq $virtualNetwork) {
     $errorMessage = "Virtual network $virtualNetworkName not found "
     $errorMessage += "in resource group $virtualNetworkResourceGroupName."
     Write-Error -Message $errorMessage -ErrorAction Stop
 }
 
 # Get reference to virtual network subnet, and throw error if it doesn't exist
 $subnet = $virtualNetwork | `
     Select-Object -ExpandProperty Subnets | `
     Where-Object { $_.Name -eq $subnetName }
 
 if ($null -eq $subnet) {
     Write-Error `
             -Message "Subnet $subnetName not found in virtual network $virtualNetworkName." `
             -ErrorAction Stop
 }

プライベートエンドポイントを作成するには、プライベートリンクサービス接続を作成する必要があります。プライベートリンクサービス接続は、プライベートエンドポイントの作成に対する入力です。

 # Disable private endpoint network policies
 $subnet.PrivateEndpointNetworkPolicies = "Disabled"
 $virtualNetwork = $virtualNetwork | `
     Set-AzVirtualNetwork -ErrorAction Stop
 
 # Create a private link service connection.
 $privateEndpointConnection = New-AzPrivateLinkServiceConnection `
         -Name "$dnsRecordName-Connection" `
         -PrivateLinkServiceId $privateLinkResourceId `
         -GroupId $groupId `
         -ErrorAction Stop
 
 # Create a new private endpoint.
 $privateEndpoint = New-AzPrivateEndpoint `
         -ResourceGroupName $resourceGroupName `
         -Name "$dnsRecordName-PrivateEndpoint" `
         -Location $virtualNetwork.Location `
         -Subnet $subnet `
         -PrivateLinkServiceConnection $privateEndpointConnection `
         -ErrorAction Stop

Azureプライベート DNS ゾーンを作成すると、元のホスト名が仮想ネットワーク内のプライベート IP に解決されます。プライベートエンドポイントの作成は任意ですが、Active Directory(AD)ユーザープリンシパルを使って直接Azureファイル共有をマウントしたり、REST API経由でアクセスしたりするには明確に必須です。

 # Get the host name suffix (core.windows.net for public cloud).
 # This is done like this so this script will seamlessly work for non-public Azure.
 $hostNameSuffix = Get-AzContext | `
     Select-Object -ExpandProperty Environment | `
     Select-Object -ExpandProperty StorageEndpointSuffix
 
 # For public cloud, this will generate the following DNS suffix:
 # privatelink.file.core.windows.net.
 $dnsZoneName = "privatelink.file.$hostNameSuffix"
 
 # Find a DNS zone matching desired name attached to this virtual network.
 $dnsZone = Get-AzPrivateDnsZone | `
     Where-Object { $_.Name -eq $dnsZoneName } | `
     Where-Object {
         $privateDnsLink = Get-AzPrivateDnsVirtualNetworkLink `
                 -ResourceGroupName $_.ResourceGroupName `
                 -ZoneName $_.Name `
                 -ErrorAction SilentlyContinue
         
         $privateDnsLink.VirtualNetworkId -eq $virtualNetwork.Id
     }
 
 if ($null -eq $dnsZone) {
     # No matching DNS zone attached to virtual network, so create new one.
     $dnsZone = New-AzPrivateDnsZone `
             -ResourceGroupName $virtualNetworkResourceGroupName `
             -Name $dnsZoneName `
             -ErrorAction Stop
 
     $privateDnsLink = New-AzPrivateDnsVirtualNetworkLink `
             -ResourceGroupName $virtualNetworkResourceGroupName `
             -ZoneName $dnsZoneName `
             -Name "$virtualNetworkName-DnsLink" `
             -VirtualNetworkId $virtualNetwork.Id `
             -ErrorAction Stop
 }

プライベート DNS ゾーンへの参照が作成されたので、レコードを作成する必要があります。

 $privateEndpointIP = $privateEndpoint | `
     Select-Object -ExpandProperty NetworkInterfaces | `
     Select-Object @{ 
         Name = "NetworkInterfaces"; 
         Expression = { Get-AzNetworkInterface -ResourceId $_.Id } 
     } | `
     Select-Object -ExpandProperty NetworkInterfaces | `
     Select-Object -ExpandProperty IpConfigurations | `
     Select-Object -ExpandProperty PrivateIpAddress
 
 $privateDnsRecordConfig = New-AzPrivateDnsRecordConfig `
         -IPv4Address $privateEndpointIP
 
 New-AzPrivateDnsRecordSet `
         -ResourceGroupName $virtualNetworkResourceGroupName `
         -Name $dnsRecordName `
         -RecordType A `
         -ZoneName $dnsZoneName `
         -Ttl 600 `
         -PrivateDnsRecords $privateDnsRecordConfig `
         -ErrorAction Stop | `
     Out-Null

プライベートエンドポイントを作成するには、まず、ストレージアカウントまたはファイル共有への参照と、プライベートエンドポイントを追加する仮想ネットワークサブネットを取得します。次の手順のプレースホルダーの値を独自の値に置き換えます。

クラシックファイル共有の場合は、ストレージアカウントへの参照を取得します。

storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"

# Get storage account ID
privateLinkResourceId=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有については、そのファイル共有への参照を取得します。

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "id" --output tsv)

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

hostNamePrefix=$(echo $hostName | cut -d'.' -f1)

# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix

共通変数を設定した後、残りの手順は両方のエクスペリエンスで同じです。仮想ネットワークとサブネットへの参照を取得します。

virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<vnet-subnet-name>"

virtualNetwork=$(az network vnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --name $virtualNetworkName \
        --query "id" --output tsv)

subnet=$(az network vnet subnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --vnet-name $virtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

プライベートエンドポイントを作成するには、サブネットのプライベートエンドポイントネットワークポリシーが無効になっていることを確認し、 az network private-endpoint createを使用してプライベートエンドポイントを作成します。

# Disable private endpoint network policies
az network vnet subnet update \
        --ids $subnet \
        --disable-private-endpoint-network-policies \
        --output none

# Get virtual network location
region=$(az network vnet show \
        --ids $virtualNetwork \
        --query "location" --output tsv)

# Create a private endpoint
privateEndpoint=$(az network private-endpoint create \
        --resource-group $resourceGroupName \
        --name "$dnsRecordName-PrivateEndpoint" \
        --location $region \
        --subnet $subnet \
        --private-connection-resource-id $privateLinkResourceId \
        --group-id $groupId \
        --connection-name "$dnsRecordName-Connection" \
        --query "id" --output tsv)

Azureプライベート DNS ゾーンを作成すると、元のホスト名が仮想ネットワーク内のプライベート IP に解決されます。プライベートエンドポイントの作成という観点からはオプションですが、ADユーザープリンシパルを使ってAzureファイルシェアをマウントしたり、FileREST API経由でアクセスしたりするには必須です。

# Get the desired storage account suffix (core.windows.net for public cloud).
# This is done so the script will work for non-public Azure clouds.
storageAccountSuffix=$(az cloud show \
        --query "suffixes.storageEndpoint" --output tsv)

# For public cloud, this generates the DNS suffix:
# privatelink.file.core.windows.net.
dnsZoneName="privatelink.file.$storageAccountSuffix"

# Find a DNS zone matching the desired name attached to this virtual network.
possibleDnsZones=$(az network private-dns zone list \
        --query "[?name == '$dnsZoneName'].id" \
        --output tsv)

dnsZone=""
for possibleDnsZone in $possibleDnsZones
do
    possibleResourceGroupName=$(az resource show \
            --ids $possibleDnsZone \
            --query "resourceGroup" --output tsv)

    link=$(az network private-dns link vnet list \
            --resource-group $possibleResourceGroupName \
            --zone-name $dnsZoneName \
            --query "[?virtualNetwork.id == '$virtualNetwork'].id" \
            --output tsv)

    if [ -n "$link" ]
    then
        dnsZoneResourceGroup=$possibleResourceGroupName
        dnsZone=$possibleDnsZone
        break
    fi
done

if [ -z "$dnsZone" ]
then
    # No matching DNS zone attached to the virtual network, so create a new one.
    dnsZone=$(az network private-dns zone create \
            --resource-group $virtualNetworkResourceGroupName \
            --name $dnsZoneName \
            --query "id" --output tsv)

    az network private-dns link vnet create \
            --resource-group $virtualNetworkResourceGroupName \
            --zone-name $dnsZoneName \
            --name "$virtualNetworkName-DnsLink" \
            --virtual-network $virtualNetwork \
            --registration-enabled false \
            --output none

    dnsZoneResourceGroup=$virtualNetworkResourceGroupName
fi

プライベート DNS ゾーンへの参照が作成されたので、A レコードを作成します。

privateEndpointNIC=$(az network private-endpoint show \
        --ids $privateEndpoint \
        --query "networkInterfaces[0].id" --output tsv)

privateEndpointIP=$(az network nic show \
        --ids $privateEndpointNIC \
        --query "ipConfigurations[0].privateIPAddress" --output tsv)

az network private-dns record-set a create \
        --resource-group $dnsZoneResourceGroup \
        --zone-name $dnsZoneName \
        --name $dnsRecordName \
        --output none

az network private-dns record-set a add-record \
        --resource-group $dnsZoneResourceGroup \
        --zone-name $dnsZoneName \
        --record-set-name $dnsRecordName \
        --ipv4-address $privateEndpointIP \
        --output none

接続を検証する

仮想ネットワーク内に VM がある場合、または「Azure Filesの DNS 転送の構成」の説明に従って DNS 転送を構成した場合は、プライベートエンドポイントが正しく設定されていることをテストできます。 PowerShell、コマンドライン、またはターミナルから次のコマンドを実行します (Windows、Linux、または macOS で動作します)。

クラシックファイル共有の場合は、 <storage-account-name> を適切なストレージアカウント名に置き換えます。

nslookup <storage-account-name>.file.core.windows.net

Microsoft.FileShares リソースプロバイダーで作成されたファイル共有の場合は、ファイル共有のホスト名を使用します。ファイル共有の [概要] タブで、右上の JSON ビュー を選択します。 JSON ビューのプロパティで、 hostName の値をコピーします。形式は fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.netのようになります。

nslookup <file-share-host-name>

成功した場合、次のような出力が表示されます。192.168.0.5は仮想ネットワーク内のプライベートエンドポイントのプライベート IP アドレスです (Windowsの出力)。

クラシックファイル共有の場合:

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    <hostNamePrefix>.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  <hostNamePrefix>.<zone>.file.storage.azure.net

仮想ネットワーク内に VM がある場合、または「Azure Filesの DNS 転送の構成」の説明に従って DNS 転送を構成した場合は、次のコマンドを実行して、プライベートエンドポイントが正しく設定されていることをテストできます。

クラシックファイル共有の場合:

 $storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.file) | `
     Select-Object -ExpandProperty Host
 
 Resolve-DnsName -Name $storageAccountHostName

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

 Resolve-DnsName -Name $fileShare.HostName

成功した場合は、次のような出力が表示されます。 192.168.0.5 は仮想ネットワーク内のプライベートエンドポイントのプライベート IP アドレスです。

クラシックファイル共有の場合:

Name                             Type   TTL   Section    NameHost
----                             ----   ---   -------    --------
storageaccount.file.core.windows CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
.net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

Name                                       Type   TTL   Section    NameHost
----                                       ----   ---   -------    --------
<hostNamePrefix>.<zone>.file.storage.azur  CNAME  60    Answer     <hostNamePrefix>.privatelink.file.core.windows.net
e.net

Name       : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

クラシックファイル共有の場合:

httpEndpoint=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "primaryEndpoints.file" --output tsv)

hostName=$(echo $httpEndpoint | cut -c7-$(expr length $httpEndpoint) | tr -d "/")
nslookup $hostName

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

nslookup $hostName

成功した場合は、次のような出力が表示されます。 192.168.0.5 は仮想ネットワーク内のプライベートエンドポイントのプライベート IP アドレスです。 storageaccount.file.core.windows.net パスではなく、元のホスト名 (クラシックの場合は hostName、新しいエクスペリエンスではファイル共有のprivatelink) を使用してファイル共有をマウントする必要があります。

クラシックファイル共有の場合:

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
storageaccount.file.core.windows.net      canonical name = storageaccount.privatelink.file.core.windows.net.
Name:   storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net      canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name:   <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5

パブリックエンドポイントアクセスを制限する

パブリックエンドポイントのアクセスを制限するには、まずパブリックエンドポイントへの一般的なアクセスを無効にします。パブリックエンドポイントへのアクセスを無効にしても、プライベートエンドポイントには影響しません。パブリックエンドポイントを無効にした後、引き続きアクセスできる特定のネットワークまたは IP アドレスを選択します。一般に、ストレージアカウントのほとんどのファイアウォールポリシーではネットワークアクセスが 1 つ以上の仮想ネットワークに制限されます。

また、ネットワークセキュリティの境界を使って、受信および送信のアクセスルールを一元管理することもできます。

パブリックエンドポイントへのアクセスを無効にする

パブリックネットワークアクセスを無効にすると、受信アクセスを制限し、アウトバウンドアクセスを許可します。ストレージアカウントにはプライベートエンドポイントを通じてアクセス可能です。そうでなければ、ストレージアカウントのパブリックエンドポイントへのリクエストは、特に許可されたソースからのものでない限り却下されます。

クラシックファイル共有のパブリックネットワークアクセスを無効にするには、以下の手順に従ってください:

パブリックエンドポイントへのすべてのインバウンドアクセスを制限したいストレージアカウントに行ってください。
サービスメニューの セキュリティ+ネットワークの「 ネットワーク」を選択してください。
[ パブリックネットワークアクセス] で、[管理] を選択 します。
無効を選択し、次に進行を選択します。
保存を選びます。

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

パブリックアクセスを無効にするファイル共有に移動します。サービスメニューの [設定] で [構成] を選びます。 [パブリックネットワークアクセス] を [無効] に設定し、[保存] を選択します。

クラシックファイル共有の場合、次の PowerShell コマンドはストレージアカウントのパブリックエンドポイントへのすべてのトラフィックを拒否します。 -Bypass パラメーターを AzureServices に設定して、Azure File Syncなどの信頼されたファーストパーティサービスがパブリックエンドポイント経由でストレージアカウントにアクセスできるようにします。

# This assumes $storageAccount is still defined from the beginning of this guide.
$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Microsoft.FileShares リソースプロバイダーで作成されたファイル共有の場合は、そのファイル共有で -PublicNetworkAccess を Disabled に設定します。

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -PublicNetworkAccess Disabled

クラシックファイル共有の場合、次の CLI コマンドは、ストレージアカウントのパブリックエンドポイントへのすべてのトラフィックをブロックします。 --bypass パラメーターを AzureServices に設定して、Azure File Syncなどの信頼されたファーストパーティサービスがパブリックエンドポイント経由でストレージアカウントにアクセスできるようにします。

# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this guide.
az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --bypass "AzureServices" \
    --default-action "Deny" \
    --output none

Microsoft.FileShares リソースプロバイダーで作成されたファイル共有の場合は、そのファイル共有で --public-network-access を Disabled に設定します。

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --public-network-access Disabled

パブリックエンドポイントへのアクセスを特定のネットワークに制限する

パブリックエンドポイントへのアクセスを特定のネットワークに制限すると、指定された仮想ネットワークやIPアドレス内からパブリックエンドポイントへのリクエストを許可します。この制限は サービスエンドポイントと呼ばれる機能によって機能します。プライベートエンドポイントの有無にかかわらず、サービスエンドポイントを利用できます。

クラシックなファイル共有の場合は、パブリックエンドポイントを特定のネットワークに制限する手順に従ってください。

パブリックエンドポイントを特定のネットワークに制限したいストレージアカウントに行ってください。
サービスメニューの セキュリティ+ネットワークの「 ネットワーク」を選択してください。
[ パブリックネットワークアクセススコープ] で、[ 選択したネットワークから有効にする] を選択します。この選択により、パブリックエンドポイントの制限を制御するためのさまざまな設定が表示されます。
仮想ネットワークの「仮想ネットワークを追加」を選択し>既存の仮想ネットワークを追加して、パブリックエンドポイントを通じてストレージアカウントへのアクセスを許可すべき仮想ネットワークを選択します。仮想ネットワークとその仮想ネットワークのサブネットを選び、[有効化] を選びます。この目的で新しい仮想ネットワークを作成したい場合は、「仮想ネットワークを追加」>「新しい仮想ネットワークを追加」を選び、詳細を入力してから「作成」を選択してください。
IPv4アドレスの項目で、ストレージアカウントにアクセスしたいパブリックインターネットIPアドレスを指定します。
Azure File Sync などの信頼された Microsoft のファーストパーティサービスがストレージアカウントにアクセスできるようにするには、Allow trusted Microsoft サービス to access this resource チェックボックスをオンにします。
保存を選びます。

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合:

パブリックアクセスを制限するファイル共有に移動します。サービスメニューの [設定] で [ 構成] を選択します。 [ パブリックネットワークアクセス] で、 選択した仮想ネットワークから [有効] を選択し、共有へのアクセスが許可されている仮想ネットワークとサブネットを追加して、[ 保存] を選択します。

クラシックファイル共有の場合は、サービスエンドポイントを使用して、ストレージアカウントのパブリックエンドポイントへのアクセスを特定の仮想ネットワークに制限します。まず、ストレージアカウントと仮想ネットワークに関する情報を収集します。次の手順のプレースホルダーの値を独自の値に置き換えます。

$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$storageAccount = Get-AzStorageAccount `
        -ResourceGroupName $storageAccountResourceGroupName `
        -Name $storageAccountName `
        -ErrorAction Stop

$virtualNetwork = Get-AzVirtualNetwork `
        -ResourceGroupName $restrictToVirtualNetworkResourceGroupName `
        -Name $restrictToVirtualNetworkName `
        -ErrorAction Stop

$subnet = $virtualNetwork | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

if ($null -eq $subnet) {
    Write-Error `
            -Message "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName." `
            -ErrorAction Stop
}

仮想ネットワークからのトラフィックを許可するには、Azure ネットワークファブリックが仮想ネットワークのサブネットにMicrosoft.Storage サービスエンドポイントを公開する必要があります。次の PowerShell コマンドでは、Microsoft.Storage サービスエンドポイントがまだ存在しない場合は、サブネットに追加します。

$serviceEndpoints = $subnet | `
    Select-Object -ExpandProperty ServiceEndpoints | `
    Select-Object -ExpandProperty Service

if ($serviceEndpoints -notcontains "Microsoft.Storage") {
    if ($null -eq $serviceEndpoints) {
        $serviceEndpoints = @("Microsoft.Storage")
    } elseif ($serviceEndpoints -is [string]) {
        $serviceEndpoints = @($serviceEndpoints, "Microsoft.Storage")
    } else {
        $serviceEndpoints += "Microsoft.Storage"
    }

    $virtualNetwork = $virtualNetwork | Set-AzVirtualNetworkSubnetConfig `
            -Name $subnetName `
            -AddressPrefix $subnet.AddressPrefix `
            -ServiceEndpoint $serviceEndpoints `
            -WarningAction SilentlyContinue `
            -ErrorAction Stop | `
        Set-AzVirtualNetwork `
            -ErrorAction Stop
}

ストレージアカウントへのトラフィックを制限する最後の手順は、ネットワーク規則を作成し、それをストレージアカウントのネットワーク規則セットに追加することです。

$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule `
    -VirtualNetworkResourceId $subnet.Id `
    -ErrorAction Stop

$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -VirtualNetworkRule $networkRule `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合は、Update-AzFileShare を使用して、許可されたサブネットのリソース ID を -AllowedSubnet に直接渡します。ストレージアカウントで個別のサービスエンドポイントまたはネットワークルールの構成を行う必要はありません。

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$subnet = Get-AzVirtualNetwork `
        -ResourceGroupName $virtualNetworkResourceGroupName `
        -Name $virtualNetworkName | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -AllowedSubnet @($subnet.Id)

storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

storageAccount=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

virtualNetwork=$(az network vnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --name $restrictToVirtualNetworkName \
        --query "id" --output tsv)

subnet=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

仮想ネットワークからのトラフィックを許可するには、Azure ネットワークファブリックが仮想ネットワークのサブネットにMicrosoft.Storage サービスエンドポイントを公開する必要があります。次の CLI コマンドでは、Microsoft.Storage サービスエンドポイントがまだ存在しない場合は、サブネットに追加します。

serviceEndpoints=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "serviceEndpoints[].service" \
        --output tsv)

foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
    if [ $serviceEndpoint = "Microsoft.Storage" ]
    then
        foundStorageServiceEndpoint=true
    fi
done

if [ $foundStorageServiceEndpoint = false ]
then
    serviceEndpointList=""

    for serviceEndpoint in $serviceEndpoints
    do
        serviceEndpointList+=$serviceEndpoint
        serviceEndpointList+=" "
    done

    serviceEndpointList+="Microsoft.Storage"

    az network vnet subnet update \
            --ids $subnet \
            --service-endpoints $serviceEndpointList \
            --output none
fi

az storage account network-rule add \
        --resource-group $storageAccountResourceGroupName \
        --account-name $storageAccountName \
        --subnet $subnet \
        --output none

az storage account update \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --bypass "AzureServices" \
        --default-action "Deny" \
        --output none

Microsoft.FileShares リソースプロバイダーを使用して作成されたファイル共有の場合は、az fileshare update を使用して、許可されたサブネットのリソース ID を --allowed-subnets に直接渡します。ストレージアカウントで個別のサービスエンドポイントまたはネットワークルールの構成を行う必要はありません。

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

subnetId=$(az network vnet subnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --vnet-name $virtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

az fileshare update \
        --name $fileShareName \
        --resource-group $fileShareResourceGroupName \
        --allowed-subnets $subnetId

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-16

Azure ファイル共有にアクセスするためのネットワーク エンドポイントを構成する

前提条件

エンドポイントの作成と設定

プライベート エンドポイントの作成

クラシックと新しいファイル共有のエクスペリエンス

接続を検証する

パブリック エンドポイント アクセスを制限する

パブリック エンドポイントへのアクセスを無効にする

パブリックエンドポイントへのアクセスを特定のネットワークに制限する

関連項目

フィードバック

その他のリソース

Azure ファイル共有にアクセスするためのネットワークエンドポイントを構成する

プライベートエンドポイントの作成

パブリックエンドポイントアクセスを制限する

パブリックエンドポイントへのアクセスを無効にする