Azure での既定の送信アクセス

Azure では、明示的に定義された送信接続方法なしで仮想ネットワークに仮想マシン (VM) をデプロイすると、Azure によって送信パブリック IP アドレスが自動的に割り当てられます。この IP アドレスにより、リソースからインターネットおよび Microsoft 内の他のパブリックエンドポイントへの送信接続が可能になります。このアクセスは、既定の送信アクセスと呼ばれます。

仮想マシンの明示的な送信接続の例を次に示します。

NAT ゲートウェイに関連付けられているサブネットにデプロイされます。
アウトバウンド規則が定義されている標準ロードバランサーのバックエンドプール内にデプロイされている。
基本的なパブリックロードバランサーのバックエンドプール内にデプロイされている。
パブリック IP アドレスが明示的に関連付けられている仮想マシン。

明示的な送信オプションの図。

送信アクセスの既定設定がどのように、またいつ提供されるか

明示的な送信接続方法なしで仮想マシン (VM) がデプロイされている場合、Azure によって既定の送信パブリック IP アドレスが割り当てられます。この IP は、既定の送信アクセス IP と呼ばれ、Microsoft によって所有されており、予告なしに変更される可能性があります。さらに、既定の送信接続は暗黙的なプラットフォームの動作に依存し、プラットフォームレベルの変更の影響を受ける可能性があります。決定論的な送信動作を必要とするシナリオでは、明示的な構成を使用することをお勧めします。

メモ

場合によっては、NAT Gateway や、NVA/ファイアウォールにトラフィックを送信する UDR などの明示的な送信方法が構成されている場合でも、既定の送信 IP が非プライベートサブネット内の仮想マシンに割り当てられることがあります。これは、明示的な方法が削除されない限り、既定の送信 IP がエグレスに使用されることを意味するわけではありません。既定の送信 IP を完全に削除するには、サブネットをプライベートにし、仮想マシンを停止して割り当てを解除する必要があります。

重要

2026年3月31日以降にリリースされたAPIでは、新しい仮想ネットワークはデフォルトでプライベートサブネットを使用します。これらのサブネット内の仮想マシンは、インターネットやMicrosoft内のパブリックエンドポイントに明示的に到達するためのアウトバウンド方式が必要です。このデフォルトの動作変更は既存の仮想ネットワークを変更しません。詳細および移行ガイダンスについては、「デフォルトアウトバウンドアクセスの廃止:範囲と影響」および公式発表をご覧ください。

デフォルトアウトバウンドアクセスの廃止:範囲と影響

Azureは新しい仮想ネットワークのデフォルトサブネット構成を変更し、明確なアウトバウンド接続を必須にしています。この変更は既存の仮想ネットワークのデフォルトのアウトバウンドアクセスを一律に停止するものではありません。デフォルトのアウトバウンドアクセスは設定したリソースではなく、暗黙のプラットフォーム動作であるため、サブネットの設定とアウトバウンド接続方法を確認して、ワークロードへの影響を理解してください。

タイムラインと最新の発表の詳細は公式発表をご覧ください。

影響を受けるもの

2026年3月31日以降にリリースされたAPIバージョンでは、新しい仮想ネットワークのサブネットはデフォルトでfalseに設定されdefaultOutboundAccessしています。これらのプライベートサブネットの仮想マシンは、デフォルトのアウトバウンドアクセスに頼ることができません。公開エンドポイントに到達する必要がある場合は、明示的なアウトバウンドメソッドを設定しましょう。 Azureポータルはすでにプライベートサブネットにデフォルトで対応しています。以前のAPIバージョンを使用するデプロイメントは、以前のデフォルトの動作を維持します。

影響を受けないもの

既存の仮想ネットワークは変わりません。既存の仮想マシンも、それらのネットワーク内で作成された新たに仮想マシンも、サブネットが明示的にプライベートに変更されない限り、デフォルトのアウトバウンドIPアドレスを受け取り続けることができます。予測可能なエグレス挙動のためには、明示的なアウトバウンド接続性を推奨しています。

すでに明示的なアウトバウンド接続方式を使用している仮想マシンは、その方法を引き続き使用します。その例は次のとおりです。

Azure NAT Gateway がサブネットに関連付けられています。
仮想マシンのネットワークインターフェースに割り当てられたパブリックIPアドレス。
仮想マシンをバックエンドプールに含む標準のパブリックロードバランサー上のアウトバウンドルール。

これらの仮想マシンのアウトバウンド接続は、あなたが設定した明示的な方法を引き続き使用します。

メモ

明示的なアウトバウンド方式が設定されていても、デフォルトのアウトバウンドIPアドレスは非プライベートサブネット内の仮想マシンに割り当てられることがあります。仮想マシンは明示的な方法が削除されない限り、そのアドレスを離脱に使いません。詳細については、「デフォルトアウトバウンドアクセスがどのように、いつ提供されるか」をご覧ください。

切り替え方法

新しいプライベートサブネットの場合は、ワークロードがパブリックエンドポイントにアクセスする前に明示的なアウトバウンドメソッドを設定してください。既存の非プライベートサブネットの場合は、サブネットをプライベートに変更する前に、明確なアウトバウンド接続を計画・設定してください。方法を選択し設定するには、「公開接続の明示的な方法に移行する方法(およびデフォルトのアウトバウンドアクセスを無効にする)?」や、Azure NAT GatewayおよびAzure Load Balancerでのアウトバウンド接続に関する設計ガイダンスを参照してください。

既定の送信アクセスを無効にすることが推奨される理由

セキュリティ: 既定のインターネットアクセスは、ゼロトラストの原則と矛盾しています。
明確さ: 明示的な接続は、暗黙的なアクセスよりも優先されます。
安定性: 既定の送信 IP は顧客所有ではなく、変更される可能性があります。サービスの更新も既定の送信動作に影響する可能性があり、どちらも中断を引き起こす可能性があります。

既定の送信アクセスを使用する場合に機能しない構成の例を次に示します。

VM 上の複数の NIC によって、一貫性のない送信 IP が生成される可能性がある
Azure 仮想マシンスケールセットをスケーリングすると、送信 IP が変更される可能性があります
送信 IP が仮想マシンスケールセットインスタンス間で一貫性がない、または連続していない

さらに、

既定の送信アクセス IP は、フラグメント化されたパケットをサポートしていません
既定の送信アクセス IP は ICMP ping をサポートしていません

パブリック接続の明示的な方法 (および既定の送信アクセスを無効にする) に切り替えるにはどうすれば良いですか?

プライベートサブネットの概要

非公開でサブネットを作成すると、そのサブネット上の仮想マシンは既定の送信アクセスを使用してパブリックエンドポイントに接続できなくなります。
プライベートサブネット上の VM は、明示的な送信接続を使用してインターネット (または Microsoft 内のすべてのパブリックエンドポイント) に引き続きアクセスできます。

メモ

特定のサービスは、明示的なエグレス方法がないプライベートサブネット内の仮想マシンでは機能しません (例: Windows ライセンス認証と Windows 更新プログラム)。

プライベートサブネットを構成する方法

Azure portal での手動構成手順 (ウィザードなし)

Azure Portalを開きます。
[仮想ネットワーク] に移動します。
変更するサブネットを含む仮想ネットワークを選択します。
左側のメニューで、[サブネット] を選択 します。
プライベートにするサブネットを選択します。
[既定の送信アクセス] 設定を見つけます。
既定の送信アクセスを [無効] に設定します。
保存を選びます。

これにより、サブネットプロパティが明示的に設定されます。

defaultOutboundAccess = false

これにより、Azure はこのサブネット内の仮想マシンに既定の送信パブリック IP を割り当てなくなります。

次のスクリプトは、リソースグループと仮想ネットワークの名前を取得し、各サブネットをループしてプライベートサブネットを有効にします。

$resourceGroupName = ""
$vnetName = ""
 
$vnet = Get-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name $vnetName
 
foreach ($subnet in $vnet.Subnets) {
    if ($subnet.DefaultOutboundAccess -eq $null) {
        $subnet.DefaultOutboundAccess = $false
        Write-Output "Set 'defaultoutboundaccess' to \$false for subnet: $($subnet.Name)"
    } 
    elseif ($subnet.DefaultOutboundAccess -eq $false) {
        # Output message if the value is already $false
        Write-Output "already private for subnet: $($subnet.Name)"
    }
}
Set-AzVirtualNetwork -VirtualNetwork $vnet

az network vnet subnet update でサブネットを更新し、--default-outboundを "false" に設定します

az network vnet subnet update --resource-group rgname --name subnetname --vnet-name vnetname --default-outbound false

パラメーターの値 defaultOutboundAccess "false" に設定します

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "vnetName": {
      "type": "string",
      "defaultValue": "testvm-vnet"
    },
    "subnetName": {
      "type": "string",
      "defaultValue": "default"
    },
    "subnetPrefix": {
      "type": "string",
      "defaultValue": "10.1.0.0/24"
    },
    "vnetAddressPrefix": {
      "type": "string",
      "defaultValue": "10.1.0.0/16"
    }
  },
  "resources": [
    {
      "type": "Microsoft.Network/virtualNetworks",
      "apiVersion": "2023-11-01",
      "name": "[parameters('vnetName')]",
      "location": "westus2",
      "properties": {
        "addressSpace": {
          "addressPrefixes": [
            "[parameters('vnetAddressPrefix')]"
          ]
        },
        "subnets": [
          {
            "name": "[parameters('subnetName')]",
            "properties": {
              "addressPrefix": "[parameters('subnetPrefix')]",
              "defaultoutboundaccess": false
            }
          }
        ]
      }
    }
  ]
}

重要

サブネットの変更 (非プライベートからプライベート、または逆のいずれか) をネットワークインターフェイスに有効にするには、既存の仮想マシンを 停止して割り当てを解除 する必要があります。

プライベートサブネットの制限事項

Windows などの仮想マシンオペレーティングシステムをアクティブ化または更新するには、明示的な送信接続方法が必要です。
ユーザー定義ルート (UDR) を使用する構成では、Internetを持つ構成済みのルートプライベートサブネットで中断されます。
- 一般的な例として、UDR を使用してアップストリームネットワーク仮想アプライアンス/ファイアウォールにトラフィックを誘導し、検査をバイパスする特定の Azure サービスタグの例外があります。これを行うには、次ホップの種類が Internetのサービスタグへのルートを構成します。このシナリオでは、次の構成を行います。
  - 次ホップの種類が仮想アプライアンスである宛先 0.0.0.0/0 の既定のルートは、一般的なケースで適用されます。
  - NVA/ファイアウォールをバイパスするために、サービスタグの宛先に対して次ホップの種類Internetが指定された 1 つ以上のルートが構成されます。これらの宛先への接続元に対して明示的な送信接続方法も構成されていない限り、既定の送信アクセスはプライベートサブネットでは使用できないため、これらの宛先への接続の試行は失敗します。
- この制限は、 VirtualNetworkServiceEndpoint別の次ホップの種類を使用するサービスエンドポイントの使用には適用されません。「Virtual Network サービスエンドポイント」を参照してください。
仮想マシンは、明示的な送信方法なしで、プライベートサブネット内の同じリージョン内の Azure Storage アカウントに引き続きアクセスできます。エグレス接続を制御するには、NSG が推奨されます。
プライベートサブネットは、PaaS サービスのホストに使用される委任されたサブネットまたはマネージドサブネットには適用されません。これらのシナリオでは、送信接続は個々のサービスによって管理されます。詳細については、サービス固有のドキュメントを参照してください。

重要

ロードバランサーバックエンドプールが IP アドレスによって構成されている場合、継続的な既知の問題により、既定の送信アクセスが使用されます。アウトバウンドのニーズが厳しい既定の構成とアプリケーションのセキュリティ保護のためには、ロードバランサーのバックエンドプール内の VM に NAT ゲートウェイを関連付け、トラフィックをセキュリティで保護します。詳細については、既存の既知の問題に関する記事を参照してください。

明示的な送信メソッドを追加する

Virtual machines のサブネットに NAT ゲートウェイを関連付ける。これは、ほとんどのシナリオで推奨される方法であることに注意してください。
アウトバウンド規則で構成された標準ロードバランサーを関連付ける。
Standard パブリック IP を仮想マシンのネットワークインターフェイスのいずれかに関連付けます。
ファイアウォールまたはネットワーク仮想アプライアンス (NVA) を仮想ネットワークに追加し、ユーザー定義ルート (UDR) を使用してトラフィックをポイントします。

仮想マシンスケールセットに柔軟なオーケストレーションモードを使用する

フレキシブルスケールセットは、既定でセキュリティによって保護されています。フレキシブルスケールセットを使用して作成されたインスタンスには、既定の送信アクセス IP が関連付けられていないため、明示的な送信方法が必要です。詳細については、仮想マシンスケールセットのフレキシブルオーケストレーションモードに関するページをご覧ください

FAQ: 既定の送信 IP アラートのクリア

VM に既定の送信 IP があることを示すアラートが表示されるのはなぜですか?

既定の送信 IP が VM/仮想マシンスケールセットインスタンスに割り当てられているかどうかを追跡する NIC レベルのパラメーター (defaultOutboundConnectivityEnabled) があります。これは、この状態にフラグを設定する VM/仮想マシンスケールセットの Azure portal バナーを生成するために使用されます。サブスクリプションに関するこの情報を含む特定の Azure Advisor の推奨事項もあります。既定の送信 IP が割り当てられている仮想マシンまたは仮想マシンスケールセットを表示する場合は、次の手順に従います。

Azure portal の検索バーに「Advisor」と入力し、表示されたらこのオプションを選択します。
[オペレーショナルエクセレンス] を選択する
推奨事項「既定の送信を無効にする明示的な送信方法を追加する」または「仮想マシンスケールセットの既定の送信を無効にする明示的な送信方法を追加する」を探します (これらは 2 つの異なる項目であることに注意してください)
これらのいずれかが存在する場合は、それぞれの推奨事項名を選択すると、既定の送信が有効になっているすべての仮想 machnes/Virtual Machine Scale Set インスタンスのネットワークインターフェイスカード (NIC) が表示されます。

このアラートをクリアするにはどうすればよいですか?

フラグ付き VM/仮想マシンスケールセットには、送信の明示的な方法を使用する必要があります。さまざまなオプションについては、上記のセクションを参照してください。
サブネットをプライベートにして、新しい既定の送信 IP が作成されないようにする必要があります。
NIC レベルのパラメーターとフラグに変更を反映してクリアするには、サブネット内のフラグが設定された該当する仮想マシンをすべて停止し、割り当てを解除する必要があります (これは逆の場合にも当てはまります。サブネットレベルのパラメーターを false に設定した後にマシンに既定の送信 IP を指定するには、仮想マシンの停止と割り当て解除が必要です)。

既に送信の明示的な方法を使用しているのに、このアラートが表示されるのはなぜですか?

場合によっては、NAT Gateway や、NVA/ファイアウォールにトラフィックを送信する UDR などの明示的な送信方法が構成されている場合でも、既定の送信 IP が非プライベートサブネット内の仮想マシンに割り当てられることがあります。これは、明示的な方法が削除されない限り、既定の送信 IP がエグレスに使用されることを意味するわけではありません。既定の送信 IP を完全に削除する (およびアラートを削除する) には、サブネットをプライベートにし、仮想マシンを停止して割り当てを解除する必要があります。

FAQ: プライベートサブネットへの既定の動作変更

プライベートサブネットを既定にすることは何を意味し、どのように実装されますか?

2026 年 3 月 31 日以降にリリースされた API バージョンでは、新しい VNET のサブネットの defaultOutboundAccess プロパティが既定で "false" に設定されます。この変更により、サブネットは既定でプライベートになり、それらのサブネット内の仮想マシンの既定の送信 IP が生成されません。 (Azure portal では、既定では既定でプライベートとしてサブネットが既定で設定されています)。この動作は、他のすべての構成方法 (ARM テンプレート、PowerShell、CLI) に適用されます。以前のバージョンの ARM テンプレート (または古いバージョンを指定できる Terraform などのツール) では、引き続き defaultOutboundAccess が null に設定され、送信アクセスが暗黙的に許可されます。

既存の VNET と仮想マシンはどうなりますか? 既存の VNET で作成された新しい仮想マシンはどうでしょうか。

既存の VNET に対する変更は行われません。つまり、サブネットがプライベートになるように手動で変更されない限り、既存の仮想マシンとこれらの VNET 内に新しく作成された仮想マシンの両方で、既定の送信 IP アドレスが生成され続けます。

新しい仮想ネットワークのデプロイについてインフラストラクチャは既定の送信 IP に依存しており、現時点ではプライベートサブネットに移動する準備ができていません。

その場合でも、サポートされている任意の方法 (ARM テンプレート、ポータル、CLI、PowerShell) を使用して、サブネットを非プライベートとして構成できます。これにより、既定の送信 IP に依存し、プライベートサブネットにまだ移行する準備ができていないインフラストラクチャの互換性が確保されます。プライベートサブネットが既に有効になっていて、仮想マシンの既定の送信を使用するように切り替える場合は、サブネットをプライベートにしないように変更してから、仮想マシンで停止/割り当て解除を実行する必要があることに注意してください。

次のステップ

Azure の送信接続の詳細については、次を参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-09-10