この記事では、既存のAzure Enclave仮想ネットワークサブネットを、新しいサブネットAzureVirtualEnclaveSubnetAzureVirtualEnclaveSubnet、またはお好みのサブネットに置き換える方法を案内します。 このステップはエンクレーブ作成後に早めに行うことが重要で、既存のサブネットにリソースが紐付けられないようにします。 既存のサブネットは、リソースが接続されていないまで削除できません。
Note
サイズ表の参考
サブネット サイズによって、サブネット内の使用可能な IP アドレスの数が決まります。
| サブネットのサイズ | 使用可能な IP |
|---|---|
| /29 | 3 |
| /28 | 11 |
| /27 | 二十七 |
| /26 | 59 |
| /25 | 123 |
| /24 | 251 |
サブネットの作成
Azureポータルでエンクレイブを開きます。
左メニューで 「管理 」を選択し、次に 「サブネット」を選択します。
+ Subnet を選択してサブネットフォームを開きます。
次の値を入力します。
- 名前:サブネットの目的を示す名前を入力します。 名前はエンクレーブ仮想ネットワーク内で一意でなければなりません。
-
IPv4:
10.0.0.0/26などのCIDR表記でアドレス範囲を入力します。 範囲はエンクレーブの仮想ネットワークアドレス空間内に収められ、他のサブネットと重複してはなりません。 展開予定のサービスとワークロードに十分なアドレスを提供するサイズを選びましょう。 Azureは各サブネットに5つのIPアドレスを予約しています。 - サブネット委任:このフィールドは空欄のままにしてください。Azureサービスで配布予定のサブネットが委託されていない限り。 委任が必要な場合は、そのサービスのドキュメントで指定されたサービスを選択します。 将来の作業量だけでサービスを選ぶのはやめましょう。
委任が必要なAzureサービスを選ばない場合は、委任なしでサブネットを作成してください。 例えば、チュートリアル1-2のApp Serviceサブネット「エンクレーブを作成」Azureエンクレイブコミュニティは、
Microsoft.Web/serverFarmsに委任されますが、他のリソースに使われる共通サブネットは委譲されません。保存を選びます。
サブネットの委任
エンクレーブ仮想ネットワークに新しいサブネットを作成すると、そのサブネットをAzureサービスに委任できます。 サブネット委任は、特定のサービス(例えば、自身のリソースをサブネットに注入しなければならないサービス)が使用するサブネットを指定し、そのサービスがサブネット内のサービス固有のリソースを管理するために必要な権限を与えます。 サブネットを作成または管理する際に、エンクレーブの Manage>Subnet 体験で委任を設定し、委任がエンクレーブの権威的な設定に記録されるようにしてください。
Note
Azureはサブネットごとに5つのIPアドレスを予約しており、委任されたサブネットはその委託されたサービス専用です。 委任されたサブネットは適切なサイズにしてください。 サイズ 表の参考を参照してください。
仮想ネットワークに対するエンクレイブ権限
Azure Enclaveはenclave仮想ネットワークを管理します。 仮想ネットワーク、そのサブネット、そして仮想ネットワークをエンクレーブ接続管理に接続するルーティングと構成を構築します。 エンクレイブがこの州を所有しているため、サブネットの作成や変更はエンクレイブの Manage 経験を通じてのみ可能です。
Warning
エンクレイブ仮想ネットワークに対して直接操作を行わないでください。 直接的な変更により、仮想ネットワークはAzure Enclave管理から離れ、エンクレーブ接続管理(エンクレーブエンドポイント、エンクレーブ接続、エンクレーブサブネット機能など)が壊れる可能性があります。 仮想ネットワークがドリフトした後、エンクレーブはもはや安定して照合できなくなり、エンクレーブのプロパティをエンクレーブの仮想ネットワークに合わせて同期させるために、特定のプロパティを持つARMテンプレートを通じてエンクレーブを再デプロイする必要があるかもしれません。
エンクレーブ仮想ネットワーク上で直接実行しないための操作には、以下の例が含まれますが、これらに限定されません。
- エンクレイブ体験外のサブネットの追加、削除、サイズ変更、または委任。
- 仮想ネットワークアドレス空間を変更すること。
- ルートテーブル、ネットワークセキュリティグループの関連付け、ピアリングの編集。
- その他の仮想ネットワークレベルの編集。
顧客が許可した運用例:DNSサーバー
エンクレーブ仮想ネットワーク上のDNSサーバーを変更することはサポートされており、エンクレーブが管理から離れることはありません。 エンクレーブ仮想ネットワークにカスタムDNSサーバーを設定し、ワークロードの名前解決を提供できます。 DNSサーバー設定以外にも、Azure Enclave管理体験を使って他の仮想ネットワークやサブネットの変更を行ってください。
