Azure VM Image Builder のネットワークオプション

[アーティクル]
07/25/2023

適用対象: ✔️ Linux VM ✔️ フレキシブルなスケールセット

Azure VM Image Builder では、既存の仮想ネットワークの有無に関係なく、サービスのデプロイを選択します。以下のセクションでは、この選択について詳しく説明します。

既存の仮想ネットワークを指定せずにデプロイする

既存の仮想ネットワークを指定しない場合、VM Image Builder は、ステージングリソースグループにサブネットと共に仮想ネットワークを 1 つ作成します。このサービスでは、ネットワークセキュリティグループを持つパブリック IP リソースを使用して、受信トラフィックを制限します。パブリック IP は、イメージのビルド中にコマンドのチャネルを支援します。ビルドが完了すると、仮想マシン (VM)、パブリック IP、ディスク、および仮想ネットワークが削除されます。このオプションを使用するには、仮想ネットワークのプロパティを指定しないでください。

既存の VNET を使用してデプロイする

仮想ネットワークとサブネットを指定した場合は、VM Image Builder によって、選択した仮想ネットワークにビルド VM がデプロイされます。仮想ネットワーク上でアクセス可能なリソースにアクセスできます。また、他の仮想ネットワークに接続されていない、サイロ化された仮想ネットワークの作成もできます。仮想ネットワークを指定した場合、VM Image Builder はパブリック IP アドレスを使用しません。 VM Image Builder から Build 仮想マシンへの通信は、 Azure Private Link を使用します。

詳細については、次のいずれかの例を参照してください。

Azure Private Link とは

Azure Private Link は、仮想ネットワークから Azure のサービスとしてのプラットフォーム (PaaS)、または顧客所有、または Microsoft パートナーサービスにプライベート接続を提供します。ネットワークアーキテクチャを簡素化し、パブリックインターネットへのデータの公開をなくすことで Azure のエンドポイント間の接続をセキュリティで保護します。詳細については、「Private Link のドキュメント」をご覧ください。

既存の仮想ネットワークに必要なアクセス許可

VM Image Builder には、既存の仮想ネットワークを使用するための特定のアクセス許可が必要です。詳細については、「Azure CLI を使用して Azure VM Image Builder のアクセス許可を構成する」または「PowerShell を使用して Azure VM Image Builder のアクセス許可を構成する」をご覧ください。

イメージのビルド時のデプロイ対象

既存の仮想ネットワークを使用する場合、VM Image Builder は追加の VM (プロキシ VM) とロードバランサー (Azure Load Balancer) をデプロイします。これらは Private Link に接続されます。 VM Image Builder サービスからのトラフィックは、ロードバランサーへのプライベートリンクを経由します。ロードバランサーは、ポート 60001 (Linux の場合) またはポート 60000 (Windows の場合) を使用してプロキシ VM と通信します。プロキシは、ポート 22 (Linux の場合) またはポート 5986 (Windows の場合) を使用してビルド VM にコマンドを転送します。

注意

仮想ネットワークは、VM Image Builder サービスリージョンと同じリージョンである必要があります。

重要

Azure VM Image Builder サービスは、既定の HTTP ポート 5985 ではなく、ポート 5986 で HTTPS を使用するように、すべての Windows ビルドの WinRM 接続構成を変更します。この構成の変更は、WinRM 通信に依存するワークフローに影響を与える可能性があります。

プロキシ VM をデプロイする理由は?

パブリック IP のない VM が内部ロードバランサーの内側にある場合、その VM はインターネットにアクセスできません。仮想ネットワークに使用されるロードバランサーは内部ロードバランサーです。プロキシ VM では、ビルド時にビルド VM のインターネットアクセスを許可します。関連付けられているネットワークセキュリティグループを使用すると、ビルド VM のアクセスを制限できます。

デプロイされたプロキシ VM のサイズは、Standard A1_v2 にビルド VM を加えたものになります。 VM Image Builder サービスは、プロキシ VM を使用して、サービスとビルド VM の間にコマンドを送信します。プロキシ VM のプロパティを変更することはできません (この制限にはサイズとオペレーティングシステムが含まれます)。

仮想ネットワークをサポートするイメージテンプレートパラメーター

"VirtualNetworkConfig": {
        "name": "",
        "subnetName": "",
        "resourceGroupName": ""
        },

設定	説明
`name`	(省略可能) 既存の仮想ネットワークの名前。
`subnetName`	指定された仮想ネットワーク内のサブネットの名前。この設定は、 `name` 設定が指定されている場合にのみ指定する必要があります。
`resourceGroupName`	指定された仮想ネットワークを含むリソースグループの名前。この設定は、 `name` 設定が指定されている場合にのみ指定する必要があります。

Private Link には、指定された仮想ネットワークとサブネットからの IP が必要です。現在、Azure では、これらの IP 上でのネットワークポリシーをサポートしていません。そのため、サブネットのネットワークポリシーを無効にする必要があります。詳細については、「Private Link のドキュメント」をご覧ください。

仮想ネットワークを使用するためのチェックリスト

Azure Load Balancer がネットワークセキュリティグループ内のプロキシ VM と通信できるようにします。
- Azure CLI の例
- PowerShell の例
サブネットでプライベートサービスポリシーを無効にします。
- Azure CLI の例
- PowerShell の例
VM Image Builder でロードバランサーを作成し、仮想ネットワークに VM を追加できるようにします。
- Azure CLI の例
- PowerShell の例
VM Image Builder にソースイメージの読み取りと書き込みや、イメージの作成を許可します。
- Azure CLI の例
- PowerShell の例
VM Image Builder サービスリージョンと同じリージョンで仮想ネットワークを使用していることを確認します。

次の手順

Azure VM Image Builder の概要

Azure VM Image Builder のネットワーク オプション