コミュニティ エンドポイントとは

community endpointとは、コミュニティ境界外のプライベートネットワークへのエンクレーブ通信を可能にする信頼できる目的地やトランジットハブ接続の集合体です。

コミュニティエンドポイントに関連付けられたエンクレーブ接続により、 source enclave はコミュニティエンドポイント内で定義された宛先に接続できます。 これらのエンドポイントは、Azure エンクレーブのネットワーク分離境界を維持しながら、エンクレーブが外部サービスと通信するための制御されたメカニズムを提供します。

Azure Firewallのネットワークルールはコミュニティエンドポイントを強制し、エンクレーブからのアウトバウンド接続が明示的に定義されガバナンスされることを保証します。

コミュニティ エンドポイントのアーキテクチャ

コミュニティ エンドポイントを介して外部リソースに接続するコミュニティを示す図。

このアーキテクチャでは、次のことを行います。

  1. enclaveがアウトバウンド接続を開始します。
  2. 交通は community endpointを経由してルーティングされます。
  3. 申請は、この Azure Firewall network rulesと照合して評価されます。
  4. ルールが一致する場合は、宛先への接続が許可されます。

このモデルにより、エンクレーブからのすべてのアウトバウンドトラフィックが中央集権的なポリシー執行を通過することを保証します。

コミュニティ エンドポイントルールの種類

コミュニティ エンドポイントでは、エンクレーブを外部リソースに接続する方法を定義する複数の規則の種類がサポートされています。

  • IP AddressエンクレーブからコミュニティのVirtual WAN外の特定のIPアドレスへのトラフィックを有効にします。

  • Fully Qualified Domain Name (FQDN) エンクレーブから信頼ドメイン名(例: portal.azure.com)へのトラフィックを有効化します。
    FQDNルールは TCP and UDP protocolsをサポートしているため、静的IPアドレスではなくDNS経由でエンドポイントを公開するサービスに接続できます。

  • FQDN Tagエンクレーブから既知のMicrosoft Azureサービス(FQDN tags、例えばAzurePortal)へのトラフィックを可能にします。

  • Service TagエンクレーブからAzureサービスへのトラフィックをAzure Service Tagsで可能にします。 サービスタグは特定のAzureサービス向けのIPアドレスプレフィックスのグループを表し、セキュリティルールの作成を簡素化します。 Service Tagを使うと、Azureが基礎となるIPアドレスの範囲が変わるたびに自動的に維持されるため、サービスのIPアドレスが変更された際にルールを手動で更新する必要はありません。

    一般的なサービス タグは次のとおりです。

    • AzureCloud- すべてのAzureデータセンターの IP アドレス
    • AzureStorage - Azure Storage サービスの IP アドレス
    • AzureKeyVault- Azure Key Vault サービスの IP アドレス
    • AzureActiveDirectory- Microsoft Entra ID サービス IP アドレス
    • AzureMonitor- Azure Monitor サービス IP アドレス
    • Sql - Azure SQL Database サービスの IP アドレス

    使用可能なサービス タグの完全な一覧については、「Virtual Networkサービス タグ」を参照してください。

  • Private Network 既存の transit hub 接続を通じてエンクレーブから外部プライベートネットワークへのトラフィックを可能にします。 プライベートネットワークルールを作成する前に、トランジットハブが存在していなければなりません。

一般的なサービスのコミュニティ エンドポイント

Azure Enclaveは、多くの組織が必要とする共通サービスのコミュニティエンドポイント作成をサポートします。 管理者は、頻繁に使われるAzureやMicrosoft サービス向けにエンドポイントを設定でき、手動のファイアウォールルール設定を必要とせずに接続性の有効化を簡単にできます。

一般的なサービス エンドポイントには、次への接続が含まれます。

  • Azure管理サービス - ポータル、Resource Manager、および管理 API
  • Microsoft 更新サービス - Windows UpdateおよびMicrosoft更新エンドポイント
  • Azure監視サービス - Azure Monitor、Log Analytics、Application Insights
  • ID サービス - Microsoft Entra ID の認証および認可エンドポイント
  • 証明書サービス - 証明書失効リスト (CRL) エンドポイントとオンライン証明書状態プロトコル (OCSP) エンドポイント

事前構成済みの共通サービス エンドポイントを使用すると、いくつかの利点があります。

  • 簡略化された構成 - 個々の IP アドレスまたは FQDN を手動で識別して構成する必要はありません
  • 自動更新 - エンドポイントはAzureによって維持され、サービス アドレスの変更に伴って更新されます
  • ベスト プラクティスとの整合性 - 事前構成されたエンドポイントは、Microsoft が推奨する接続パターンに従います
  • 管理オーバーヘッドの削減 - 送信接続規則に必要な継続的なメンテナンスを最小限に抑えます

コミュニティの共通サービス エンドポイントを有効にするには、「コミュニティ エンドポイントの作成」を参照してください。

FQDN ネットワーク規則

コミュニティエンドポイントはFQDN-based Azure Firewall network rulesのためのTCP and UDP protocolsをサポートします。 この機能により、エンクレーブは、管理者が静的 IP アドレス一覧を維持する必要なく、ドメイン ベースの宛先に接続できます。

コミュニティエンドポイントルールがFQDN destinationを指定するとAzure Firewall、ルール評価時にドメイン名を関連するIPアドレスに解決します。 その後、プロトコルや宛先ポートなどの構成済みのルール パラメーターに基づいて、トラフィックが許可または拒否されます。

FQDN ベースの規則を使用すると、いくつかの利点があります。

  • IP アドレスの代わりにドメイン名を使用してファイアウォール規則の管理を簡略化します
  • サービス支援 dynamic or frequently changing IP ranges
  • より簡単に接続できる SaaS platforms and Azure platform services
  • 大規模なAzure エンクレーブデプロイのスケーラビリティが向上します

ルールの評価はAzure Firewall動作に依存するため、コミュニティ エンドポイント接続は、標準のAzure Firewallルールの処理とフィルター処理ロジックに従います。

詳細については、次のAzure Firewallドキュメントを参照してください。

  • Last updated on