エンクレーブ接続を使用すると、ネットワーク トラフィックは、コミュニティ境界内で定義されたエンクレーブと信頼された宛先の間を流れます。 すべてのエンクレーブ接続の宛先は、エンクレーブ エンドポイントまたはコミュニティ エンドポイントです。 エンクレーブ接続を使用すると、エンクレーブ内のリソースは、(エンクレーブ エンドポイントを介して) 別のエンクレーブ内で実行されているサービスとデータにアクセスしたり、コミュニティ レベルで定義された信頼できるプライベートまたはパブリックの宛先 (コミュニティ エンドポイント経由) にアクセスしたりできます。
エンクレーブ接続では、トランジット ハブ接続を介してエンクレーブ内のリソースへのセキュリティで保護されたパブリック アクセスを有効にすることもできます。 このような場合、トランジット ハブが接続のソースになり、エンクレーブ エンドポイントが宛先になります。
エンクレーブ接続のアーキテクチャ
エンクレーブ接続の種類
エンクレーブ接続では、複数のソースと宛先の構成がサポートされます。
エンクレーブ間接続
あるエンクレーブ内のリソースを、同じコミュニティ内の別のエンクレーブ内のリソースに接続します。 エンクレーブ間接続により、ネットワーク境界を維持しながら、分離されたワークロード間で安全な通信が可能になります。
エンクレーブからコミュニティへのエンドポイント接続
エンクレーブ内のリソースを、コミュニティ エンドポイントで定義されている外部の宛先に接続します。 コミュニティ エンドポイントを使用すると、次に対する制御された送信アクセスが有効になります。
- パブリック インターネットの宛先 (IP、FQDN、FQDN タグ、またはサービス タグルールを使用)
- 外部プライベート ネットワーク (トランジット ハブ接続経由)
トランジット ハブからエンクレーブへの接続
外部ネットワークからエンクレーブ内のリソースへの受信接続を有効にします。 トランジット ハブは接続ソースとして機能し、オンプレミス ネットワークやその他のAzure仮想ネットワークからのトラフィックがエンクレーブ ワークロードに到達できるようにします。
この接続設定を行うと、以下のことができます:
- オンプレミスの場所間でトラフィックをルーティングする - コミュニティ Virtual WANを介して複数の VPN 接続または ExpressRoute 接続を接続する
- スポーク間通信を有効にする - 異なるトランジット ハブにピアリングされた仮想ネットワーク間のトラフィックを許可する
トランジット ハブの相互接続では、次のようなシナリオがサポートされます。
- 複数の地域オフィスが一元化されたAzure環境を通じて通信する必要がある
- 個別の仮想ネットワークを持つ異なるAzure サブスクリプションには接続が必要です
- ハイブリッド接続パターンでは、ExpressRoute と VPN 接続の間でトラフィックが流れる必要があります
トランジット ハブからトランジット ハブへの接続を作成するには、両方のトランジット ハブが同じコミュニティ内に存在する必要があります。 接続により、構成されたルーティングとファイアウォール規則に基づいて双方向トラフィック フローが有効になります。
接続のセキュリティ
複数のネットワークセキュリティ層がすべてのエンクレイブ接続を管理し、隔離と制御を維持しています:
- Azure Firewallルール - トラフィックはコミュニティ レベルのファイアウォール ポリシーに対して評価されます
- ネットワーク セキュリティ グループ - エンクレーブ レベルのネットワーク セキュリティ グループ (NSG) は、追加のトラフィック フィルタリングを提供します
テンプレート
テンプレートのドキュメントを参照する
