コミュニティは、ガバナンス、管理、セキュリティの目的で複数の エンクレーブ を安全かつ論理的にグループ化できる分離されたハブ ネットワークです。 コミュニティ所有者は、他のコミュニティまたはオンプレミス ネットワークが トランジット ハブ または コミュニティ エンドポイントを介して接続できるようにします。
コミュニティのアーキテクチャ
コミュニティには、以下の主要なAzure Enclave管理リソースおよびAzure Enclave展開リソースが含まれます。
- 分離されたAzure Virtual WAN ハブ ネットワーク。 デフォルトでは、これらのコミュニティは特定の認可されたMicrosoft サービス以外はインターネットとは接続されていません。
- Azure Firewall。 デフォルトでは、すべてのコミュニティはセキュリティ・バイ・デフォルトAzure Firewallで展開されており、すべてのコミュニティネットワークトラフィックはこのシステムを通じてルーティングされます。
- ログ分析ワークスペース。 デフォルトでは、すべてのコミュニティリソースがAzure Log Analyticsに統合されており、コミュニティ内のすべての活動が効果的に監視・記録・監査されます。 具体的には、コミュニティにデプロイされているすべてのリソースは、診断プラットフォーム ログをこの Log Analytics ワークスペースに送信します。
コミュニティ アドレス空間
コミュニティマネージャーは、既存のコミュニティに1つ以上のアドレス空間(接頭辞/8から/16の間の接頭辞)を追加することができます。 この操作はコミュニティがメンテナンスモードである必要はありませんが、Azure Firewallのルールを更新し、すべてのレンジで接続が維持されます。 すでに使用されているアドレス空間を完全に削除することはできません。 しかし、既存の範囲を完全に含むより広いアドレス空間を追加することで置き換え、割り当ての連続性を維持し、壊れやすい変更を避けることができます。
新しいエンクレーブを作成すると、Azureエンクレーブは、要求されたエンクレーブ サイズに対応できる最小の使用可能なコミュニティ アドレス空間を常に割り当てる IP アドレス管理戦略を使用します。 この方法では、断片化を最小限に抑え、大規模なエンクレーブデプロイなど、将来のニーズに合わせてより大きなアドレス範囲を保持します。 たとえば、より小さいエンクレーブを小さい適合アドレス空間に割り当てると、より大きな連続する範囲を必要とする将来の割り当てがブロックされるのを回避できます。
Note
プラットフォームはコミュニティ内に展開されたエンクレーブを管理するための権限 192.168.0.0/16 を確保しています。 これらのアドレス空間のいずれかでコミュニティを作成しないでください。そうするとAzure Enclave管理のエンクレーブ管理IPレンジと競合が発生します。
コミュニティで管理されるリソース グループ
コミュニティを作成すると、Azureエンクレーブ リソース プロバイダーによって、コミュニティマネージド リソース グループと呼ばれる別のリソース グループも作成および管理されます。 コミュニティで管理されるリソース グループの詳細については、Azure エンクレーブのベスト プラクティスに関するページを参照してください。
テンプレート
Azure Enclaveは、コミュニティの展開と設定を効率化するためのリソースモジュールテンプレートを提供します。 利用可能なモジュールや使用例については テンプレートドキュメント をご覧ください。
