Azure ネットワーク セキュリティ境界 (NSP) を使用すると、仮想ネットワークの外部にデプロイされる App Configuration ストアなどの PaaS リソースの論理ネットワーク分離境界を定義できます。 既定では、ネットワーク セキュリティ境界は、境界内の PaaS リソースへのパブリック ネットワーク アクセスを制限します。 ただし、受信トラフィックと送信トラフィックの明示的なアクセス規則を構成できます。
App Configuration ストアをネットワーク セキュリティ境界に関連付けると、アクセス 規則を使用して受信トラフィックと送信トラフィックを制御したり、境界プロファイルを使用して複数の PaaS リソース間で共通の規則セットを共有したり、診断ログを介してネットワーク トラフィックを監視したりできます。 詳細については、「ネットワーク セキュリティ境界を使用する理由」を参照してください。
ネットワーク セキュリティ境界への移行
ネットワーク セキュリティ境界とのリソースの関連付けでは、 移行 と適用という 2 つのアクセス モードがサポート されます。 切り替えモードは、境界規則が一致しない場合に App Configuration ストアの既存のネットワーク アクセス 規則にフォールバックすることで、既存の接続を中断することなくネットワーク セキュリティ境界を採用できる一時的な中間ステップとして意図されています。 NSP をスムーズに導入するために移行モードを使用する方法については、Azure のネットワーク セキュリティ境界への移行に関するページを参照してください。 リソース関連付けのアクセス モードと App Configuration ストアのパブリック ネットワーク アクセス設定の相互作用の詳細については、「 新しいリソースをネットワーク セキュリティ境界に移動する」を参照してください。
ネットワーク セキュリティ境界を使用したネットワーク制限の適用
ネットワーク セキュリティ境界でネットワーク制限を適用するには、ネットワーク セキュリティ境界リソースの関連付けが強制モードになっていることを確認します。 このモードでは、App Configuration ストアは、App Configuration ストアのパブリック ネットワーク アクセス設定に関係なく、関連付けられているネットワーク セキュリティ境界プロファイルによって許可される受信要求と送信要求のみを許可します。
プライベート エンドポイント要求に関する考慮事項
有効な プライベート エンドポイント を介した App Configuration ストアへの受信要求は、境界の関連付けモードまたはプロファイルルールに関係なく、ネットワーク セキュリティ境界によって常に許可されます。
カスタマー マネージド キー暗号化に関する考慮事項
App Configuration ストアで customer マネージド キー暗号化 を使用している場合、App Configuration サービスはAzure Key Vault リソースと通信して暗号化キーにアクセスします。 ストアの送信要求が NSP 規則の対象である場合（パブリック ネットワーク アクセスがペリメーターによって保護されているorNSP の関連付けが Enforced モードである場合）、ペリメーターのアクセス規則では、Azure Key Vault リソースへの送信方向の通信を許可する必要があります。 App Configuration サービスが暗号化キーに引き続きアクセスできるようにするには、次のいずれかの方法でネットワーク セキュリティ境界を構成する必要があります。
- 同じセキュリティ境界: Azure Key Vault を App Configuration ストアと同じネットワーク セキュリティ境界に配置します。 両方のリソースが同じ境界内にある場合、それらの間の通信は自動的に許可されます。
-
FQDN ベースの送信アクセス規則: App Configuration ストアに関連付けられているネットワーク セキュリティ境界プロファイルに完全修飾ドメイン名 (FQDN) 送信アクセス規則を追加します。 この規則では、カスタマー マネージド キーを保持しているKey Vaultのエンドポイントを一覧表示する必要があります (たとえば、
mykeyvault.vault.azure.net)。
どちらの条件も満たされていない場合、App Configuration ストアは暗号化キーにアクセスできず、ストアへの要求は失敗します。
監視に関する考慮事項
App Configuration ストアで診断設定によって monitoring が有効になっている場合、ログの送信先 (Log Analytics ワークスペース、ストレージ アカウント、イベント ハブなど) は、App Configuration ストアと同じネットワーク セキュリティ境界に存在する必要があります。 FQDN ベースの送信アクセス規則は監視先には適用されないため、境界外の宛先は診断データを受信しません。
制限事項
- ネットワーク セキュリティ境界Azure App Configurationサポートは現在プライベート プレビュー段階であり、アクセスは一連のサブスクリプションに制限されています。
- プライベート プレビュー中は、App Configuration ストアを境界に関連付ける、関連付けの構成を表示するなどのネットワーク セキュリティ境界管理プレーン操作は、ARM テンプレートまたはAzure CLIを使用してのみ実行できます。 Azure CLIを使用して App Configuration ストアに関連付ける方法のチュートリアルについては、「Azure App Configurationをネットワーク セキュリティ境界に関連付ける」を参照してください。
- サブスクリプション ベースの受信アクセス規則など、特定のネットワーク セキュリティ境界機能は、 アクセス キー認証では機能しません。 Microsoft Entra ID認証を使用して、完全な NSP 機能を実現します。
- 現時点では、ネットワーク セキュリティ境界内の App Configuration ストアは、Azure Event Gridにイベントを送信できません。 App Configuration ストアに Azure App Configuration イベント サブスクリプションが構成されている場合、そのストアをネットワーク セキュリティ境界に関連付けることはできません。 同様に、ストアがネットワーク セキュリティ境界に関連付けられている場合、ストアのイベント サブスクリプションを有効にすることはできません。
- サブスクリプション ベースおよび IP ベースの受信アクセス規則は、ARM テンプレート、Bicep、Terraform などの deployment ツール を介して行われたデータ プレーン要求の元の呼び出し元には適用されません。 これらの要求はAzure Resource Managerによって App Configuration ストアに転送されるため、元の呼び出し元のサブスクリプションと IP アドレスは評価のために境界に渡されません。
Troubleshooting
機能アクセスエラー
Azure CLI
(BadRequest)この機能は、特定のサブスクリプションではまだ使用できません。 コード: BadRequest メッセージ: この機能は、特定のサブスクリプションではまだ使用できません
Azure Portal
リソースを関連付けませんでした。 この機能は、特定のサブスクリプションではまだ使用できません。
これらのエラーは、使用しているサブスクリプションが、現在プライベート プレビュー段階にあるAzure App Configurationのネットワーク セキュリティ境界機能にアクセスできないことを示しています。
RP 登録エラー
App Configuration ストアをストアとは異なるサブスクリプションのネットワーク セキュリティ境界に関連付ける場合は、ネットワーク セキュリティ境界のサブスクリプションに Microsoft.AppConfiguration リソース プロバイダーが登録されていることを確認する必要があります。 リソース プロバイダーが登録されていない場合は、関連付けを実行するときに次のエラーが表示されます。
ネットワーク セキュリティ境界のサブスクリプション '<SubscriptionId>' がリソース プロバイダー 'Microsoft を使用するように登録されていないため、操作を完了できません。AppConfiguration'。 リソース プロバイダーの登録手順については、 https://aka.ms/appconfig/NSPTroubleshooting を参照してください。
このエラーを解決するには、次の手順を実行します。
- ネットワーク セキュリティ境界のサブスクリプションに
Microsoft.AppConfigurationリソース プロバイダーを登録します。 - App Configuration ストアとネットワーク セキュリティ境界の間の関連付けを再試行します。
リソース プロバイダーへのサブスクリプションの登録の詳細については、「リソース プロバイダーの 登録」を参照してください。
カスタマー マネージド キーによる鍵アクセスのエラー
App Configuration ストアで カスタマー マネージド キー暗号化が使用されている場合、ストアをネットワーク セキュリティ境界に関連付けると、次のエラーが表示されることがあります。
要求されたネットワーク セキュリティ境界の関連付けは、構成ストアのカスタマー マネージド キーへのアクセスをブロックするため、適用できません。 カスタマー マネージド キーを使用する構成ストアの NSP の構成に関するガイダンスについては、 https://aka.ms/appconfig/NSPTroubleshooting を参照してください。
このエラーは、ネットワーク セキュリティ境界の構成によって、App Configuration ストアがカスタマー マネージド キーを保持するAzure Key Vaultに到達できない場合に発生します。 このエラーを解決するには、「カスタマー マネージド キー暗号化の管理で説明されているように、Key Vaultへのアクセスを許可するようにネットワーク セキュリティ境界を構成し、関連付けを再試行します。
関連するコンテンツ
- Azure ネットワーク セキュリティ境界とは何ですか?
Azure App Configuration - ネットワーク セキュリティ境界に関連付ける
- Azure のネットワーク セキュリティ境界への移行
