Mesh Cloud Scripting のインフラストラクチャと管理

[アーティクル]
08/14/2024

概要

この記事では、Mesh Clouding のインフラストラクチャと管理のさまざまな側面について説明します。これには、Cloud Scripting プロジェクトをビルドして発行するときに Azure サブスクリプションにデプロイされるサービスが含まれます。

配置されたリソース

Mesh Cloud Scripting は、クラウドで実行される .NET ベースのアプリで構成されます。顧客の Azure サブスクリプションにデプロイされた Mesh Cloud Scripting クラウドインフラストラクチャには、次の Azure リソースが含まれています。

App Service プラン: Web アプリを実行できるコンピューティングクラスターを表します。また、1 つ以上の異なる Web アプリを実行することもできます。
Azure VNet: App Service インスタンスがデプロイされ、相互に通信できるようにする仮想ネットワークのリソースです。
Azure Web アプリインスタンス: 特定の VM で実行されている Web アプリのインスタンスを表します。
Azure ストレージアカウント: 公開済みコンテンツと Azure Web アプリインスタンスに関する情報を保持します。次の 2 つのコンポーネントに分割されています。
1. Mesh Cloud Scripting Service Blob Storage: Mesh Uploader でアップロードされた Mesh Cloud Scripting Service Blob を保持します。
2. Orleans Membership Table: Orleans Silo インスタンスのライブネスに関する情報を保持します。
Log Analytics ワークスペース: App Service で実行している Mesh Cloud Scripting Service から出力されたログを保持します。
Application Insights: アプリケーションパフォーマンス監視 (APM) 機能を提供します。 APM ツールは、開発からテスト、そして実稼働に至るまでのアプリケーション監視に役立ちます。

App Service プラン

App Service プランでは、Web アプリの実行を可能にする一連のコンピューティングリソースを定義します。

特定のリージョン (西ヨーロッパなど) の App Service プランを作成する場合、一連のコンピューティングリソースはそのリージョンで対応するプランに対して作成されます。この App Service プランに入れたアプリは、App Service プランで定義されたとおりにこれらのコンピューティングリソースで実行されます。各 App Service プランは以下を定義します。

オペレーティングシステム (Windows、Linux)
リージョン (米国西部、米国東部など)
VM インスタンスの数
VM インスタンスのサイズ (小、中、大)
価格レベル (Free、Shared、Basic、Standard、Premium、PremiumV2、PremiumV3、Isolated、IsolatedV2)

詳細については、App Service プランのドキュメントを参照してください。

App Service プランの Mesh ツールキットの既定のリソース設定

SKU 名: P1v2
SKU レベル: PremiumV2
SKU 容量: 1
種類: Linux
予約済み: True

Mesh Cloud Scripting Services のコンテキストでは、App Service プランがコンピューティングコンポーネントです。これは自動的にスケーリングされ、異なるインスタンスが相互に通信する方法 (ネットワーク) を処理できます。 Mesh Cloud Scripting Services を実行および管理するアプリケーションである CloudHost は、現時点では Docker イメージとして提供されているため、Linux ベースのプランを使用します。 Premium プランは、実稼働のワークロードにより適しています。

既定値の詳細については、App Service プランリソースの Bicep および ARM のテンプレートリファレンスを参照してください。

App Service

Azure App Service は、Web アプリケーション、REST API、およびモバイルバックエンドをホストするための HTTP ベースのサービスです。 App Service は、セキュリティ、負荷分散、自動スケーリング、自動管理などの Microsoft Azure の機能をアプリケーションに追加します。 App Service では、使用した Azure コンピューティングリソースに応じて課金されます。 使用するコンピューティングリソースは、アプリが実行されている "App Service プラン" によって決まります。

詳細については、App Service のドキュメントを参照してください。

Mesh ツールキットの既定のリソース設定 - App Service

httpsOnly: True
alwaysOn: True
vnetPrivatePorts Count: 2
vnetRouteAllEnabled: True
vnetName: 既定の Virtual Network 名

既定値の詳細については、App Service プランリソースの Bicep および ARM のテンプレートリファレンスを参照してください。

Virtual Network

Azure Virtual Network は、Azure 内のプライベートネットワークの基本的な構成要素です。仮想ネットワークでは、Azure Virtual Machines (VM) などのさまざまな種類の Azure リソースから、他の Azure リソース、インターネット、オンプレミスのネットワークと安全に通信することができます。仮想ネットワークは、独自のデータセンターで運用する従来のネットワークに似ています。 Azure Virtual Network によって、スケール、可用性、分離性など、Azure のインフラストラクチャの追加の利点が提供されます。

詳細については、Virtual Network のドキュメントを参照してください。

Mesh Toolkit の既定のリソース設定 - Virtual Network

AddressSpace addressPrefixes: 10.0.0.0/16
Subnet addressPrefix: 10.0.0.0/24
サブネット委任名: delegation
Subnet Delegations サービス名: Microsoft.Web/serverFarms

既定値の詳細については、Virtual Network リソースの Bicep および ARM のテンプレートリファレンスを参照してください。

ストレージアカウント

Azure ストレージアカウントには、すべての Azure Storage データオブジェクト (BLOB、ファイル、キュー、テーブル) が含まれます。このストレージアカウントでは、世界中のどこからでも HTTP または HTTPS 経由でアクセスできる Azure Storage データ用の一意の名前空間が提供されます。ストレージアカウント内のデータは、持続性があり、高可用性で、セキュリティ保護されており、非常にスケーラブルです。

詳細については、ストレージアカウントのドキュメントを参照してください。

Mesh Toolkit の既定のリソース設定: ストレージアカウント

SKU Name: Standard_LRS
Kind: StorageV2

既定値の詳細については、ストレージアカウントリソースの「Bicep および ARM のテンプレートリファレンス」をご覧ください。

Log Analytics ワークスペース

Log Analytics ワークスペースは、Azure Monitor、および Microsoft Sentinel や Microsoft Defender for Cloud などの他の Azure サービスからのログデータ用の固有の環境です。これは、Azure portal のツールであり、Azure Monitor Logs ストア内のデータに対するログクエリの編集と実行に使用します。

詳細については、Log Analytics ワークスペースのドキュメントを参照してください。

Mesh Toolkit の既定のリソース設定 - Log Analytics ワークスペース

forceCmkForQuery: false
retentionInDays: 30
SKU 名: PerGB2018
dailyQuotaGb: 2GB

既定値の詳細については、ワークスペースリソースの Bicep および ARM のテンプレートリファレンスを参照してください。

Application Insights

Application Insights は Azure Monitor の拡張機能であり、アプリケーションパフォーマンス監視 (APM) 機能を提供します。 APM ツールは、次の方法で、開発、テスト、運用環境からアプリケーションを監視するのに役立ちます。

アプリケーションのパフォーマンスを事前に理解します。アプリケーション実行データを事後に確認して、インシデントの原因を特定します。アプリケーションのアクティビティと正常性を記述するメトリックとアプリケーションテレメトリデータの収集に加えて、Application Insights を使用してアプリケーショントレースログデータを収集して格納することができます。

詳細については、Application Insights のドキュメントを参照してください。

Mesh Toolkit の既定のリソース設定 - Application Insights

種類: Web
Request_Source: rest
WorkspaceResourceId: 既定の Log Analytics ワークスペースの ID。

既定値の詳細については、Virtual Network リソースの Bicep および ARM のテンプレートリファレンスを参照してください。

Mesh Cloud Scripting Services インフラストラクチャの図

Mesh Cloud Scripting Services インフラストラクチャを示している図

各コンポーネントを経由するトラフィックフロー

クライアント <-> AppService インスタンス: クライアント要求/応答 (接続要求、クラウドスクリプト通知など)。

App Service インスタンス: ライブネスを判断するための TCP ping メッセージ。

App Service インスタンス <-> LogAnalytics/AppInsights: アプリケーションテレメトリ (アプリケーションログ)。

App Service インスタンス <-> Membership Table: 各 App Service インスタンスに関するライブネス情報。

App Service インスタンス <-> Blob Storage: クラウドで実行されているクラウドスクリプトの zip。

リソースプロバイダーの登録

登録するサービス:

Microsoft.Web
Microsoft.Storage
Microsoft.Network
Microsoft.Insights
Microsoft.OperationalInsights

ノート

エラーに関するヘルプが必要な場合は、「リソースプロバイダー登録エラー」を参照してください。
Azure のドキュメントで説明されているように、サービスの登録はサブスクリプションレベルで行われます。つまり、さまざまなリソースグループに対してサービスを登録する必要はありません。

Mesh Cloud Scripting Service デプロイのアクセス制御

開発者は、デプロイに使用できる電子メールアカウントを持っている必要があります。新規のアカウントでも既存のアカウントでもかまいません。
Azure セキュリティグループを使用してアクセス制御を管理する場合は、このグループ (「Mesh Cloud Scripting Services Developers」など) を作成します。 Microsoft 365 グループの種類と比較した Azure セキュリティグループの詳細については、「グループとグループメンバーシップの詳細」を参照してください。
開発者が Azure サブスクリプションにアクセスする方法を決定します。この方法は、開発者がディレクトリのネイティブメンバーであるか、ゲストユーザーであるかによって決まります。
1. アクセス制御を簡単に管理する場合は、上記の手順 2 で作成した Azure セキュリティグループにネイティブメンバーを追加できます。
2. ゲストユーザーは Azure サブスクリプションに追加することも、Azure セキュリティグループに追加することもできます (上記の手順 2 を参照)。
ゲストユーザーの詳細については、「Azure portal での B2B コラボレーションユーザーの追加」を参照してください。

アクセス制御に関する推奨事項

Azure で Mesh Cloud Scripting Services クラウドインフラストラクチャをプロビジョニングするためのアクセス権を開発者に付与する方法について、いくつかの推奨事項を次に示します。これらの推奨事項は、アクセス制御の制限ポリシーによって異なります。

Mesh Cloud Scripting Services 用にプロビジョニングされたサブスクリプション全体で、開発者に共同作成者ロールを付与します。
Mesh Cloud Scripting Services クラウドインフラストラクチャのデプロイ用の専用リソースグループを作成し、開発者にこのリソースグループの共同作成者ロールを付与します。これは、2 番目の前提条件で作成した Azure セキュリティグループ (つまり「Mesh Cloud Scripting Services Developers」) を使用して行うことができます。すべてのリソースを管理するためのフルアクセス権が付与されますが、Azure RBAC でのロールの割り当て、Azure Blueprints における割り当ての管理、イメージギャラリーの共有は許可されません。

Mesh Cloud Scripting Services クラウドインフラストラクチャの作成と管理に必要な最小限のアクセス許可を持つ Azure 内のカスタムロールを作成します。

このロールは、2 番目の前提条件で作成した Azure セキュリティグループ (すなわち、「Mesh Cloud Scripting Services Develpers」) に直接割り当てることができます。

作成するカスタムロールに対して推奨されるアクセス許可を次に示します。

カスタムロールを選択するページの画面。

アップロードする JSON ファイルは次のようになります**。

{
"id": "88888-8888-8888-888-8888888",
    "properties": {
        "roleName": "MeshCloudScriptingServiceDeployer",
        "description": "Grants access to Mesh Cloud Scripting Services resources",
        "assignableScopes": [
            "/subscriptions/{subscriptionID}"
        ],
        "permissions": [
            {
                "actions": [
                    "*/read",
                    "Microsoft.Authorization/*/read",
                    "Microsoft.ClassicCompute/virtualMachines/extensions/*",
                    "Microsoft.ClassicStorage/storageAccounts/listKeys/action",
                    "Microsoft.Compute/virtualMachines/extensions/*",
                    "Microsoft.HybridCompute/machines/extensions/write",
                    "Microsoft.Insights/alertRules/*",
                    "Microsoft.Insights/autoscalesettings/*",
                    "Microsoft.Insights/components/*",
                    "Microsoft.Insights/diagnosticSettings/*",
                    "Microsoft.Insights/generateLiveToken/read",
                    "Microsoft.Insights/metricAlerts/*",
                    "Microsoft.Insights/scheduledqueryrules/*",
                    "Microsoft.Insights/topology/read",
                    "Microsoft.Insights/transactions/read",
                    "Microsoft.Insights/webtests/*",
                    "Microsoft.Network/*",
                    "Microsoft.OperationalInsights/*",
                    "Microsoft.OperationsManagement/*",
                    "Microsoft.ResourceHealth/availabilityStatuses/read",
                    "Microsoft.Resources/deployments/*",
                    "Microsoft.Resources/subscriptions/resourcegroups/deployments/*",
                    "Microsoft.Resources/subscriptions/resourceGroups/read",
                    "Microsoft.Storage/storageAccounts/*",
                    "Microsoft.Support/*",
                    "Microsoft.Web/certificates/*",
                    "Microsoft.Web/hostingEnvironments/Join/Action",
                    "Microsoft.Web/listSitesAssignedToHostName/read",
                    "Microsoft.Web/serverFarms/join/action",
                    "Microsoft.Web/serverFarms/*",
                    "Microsoft.Web/sites/*"
                ],
                "notActions": [],
                "dataActions": [],
                "notDataActions": []
            }
        ]
    }
}

Note

MeshCloudScriptingServiceDeployer カスタムロールでは、ユーザーはリソースグループの作成は許可されていません。ユーザーにリソースグループの作成を許可する場合は、Microsoft.Resources/subscriptions/resourcegroups/write permissions も必要です。

Mesh Cloud Scripting Services のクォータ制限

Mesh Cloud Scripting Services インフラストラクチャは、Premium App Service Linux プラン (P1V2) を利用します。 Mesh Cloud Scripting Service のデプロイ中に発生する可能性がある App Service の制限は次のとおりです。

リソース	Premium (P1V2)
Azure App Service プランあたりの Web、モバイル、または API アプリ数	無制限
App Service プラン	リソースグループあたり 100

Note

アプリとストレージのクォータは、特に明記されていない限り、App Service プランごとの数字です。

Note

これらのマシンでホストできるアプリの実際の数は、アプリのアクティビティ、マシンインスタンスのサイズ、対応するリソース使用量によって異なります。

"このリージョンのサブスクリプションのクォータは 0 PremiumV2 インスタンスです。別のリージョンまたは SKU を選択してみてください。" というエラーメッセージが表示された場合は、「Azure サブスクリプションの制限とクォータ」を参照してください。

古い Mesh Cloud Scripting サービスをクリーンアップする

古い Mesh Cloud Scripting サービスまたは未使用の Mesh Cloud Scripting サービスがある場合、次の手順に従って Mesh Cloud Scripting リソースを見つけて削除します。

Azure Portal にログインします。
[すべてのリソース] タブに移動します。
[すべてのリソース] ページで、次の手順を実行します。

a. 適切なサブスクリプションを選択します。

b. タグ EnvironmentName を使用してフィルターを追加します。

c. 削除する環境に一致するリソースを見つけます。
手順 3C で見つかった各リソースの名前の横に表示されている省略記号をクリックし、ドロップダウンで [削除] をクリックして、古い Mesh Cloud Scripting サービスをクリーンアップします。または、このリソースの削除に関する記事で説明するように、Azure CLI を使用して、リソースを名前で削除することもできます。

次のステップ

Cloud Scripting のトラブルシューティング

次の方法で共有

Mesh Cloud Scripting のインフラストラクチャと管理

概要

配置されたリソース

App Service プラン

App Service

Virtual Network

ストレージアカウント

Log Analytics ワークスペース

Application Insights

Mesh Cloud Scripting Services インフラストラクチャの図

各コンポーネントを経由するトラフィックフロー

リソースプロバイダーの登録

Mesh Cloud Scripting Service デプロイのアクセス制御

アクセス制御に関する推奨事項

Mesh Cloud Scripting Services のクォータ制限

古い Mesh Cloud Scripting サービスをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

Mesh Cloud Scripting のインフラストラクチャと管理

概要

配置されたリソース

App Service プラン

App Service

Virtual Network

ストレージ アカウント

Log Analytics ワークスペース

Application Insights

Mesh Cloud Scripting Services インフラストラクチャの図

各コンポーネントを経由するトラフィック フロー

リソース プロバイダーの登録

Mesh Cloud Scripting Service デプロイのアクセス制御

アクセス制御に関する推奨事項

Mesh Cloud Scripting Services のクォータ制限

古い Mesh Cloud Scripting サービスをクリーンアップする

次のステップ

フィードバック

その他のリソース

ストレージアカウント

各コンポーネントを経由するトラフィックフロー

リソースプロバイダーの登録