Azure のネットワーク セキュリティに関するベスト プラクティス

この記事では、お使いのネットワーク セキュリティを強化するための Azure のベスト プラクティスについて説明します。 MicrosoftはこれらのベストプラクティスをAzureネットワークの経験や、あなたのような組織の経験から導き出しています。

これらのベストプラクティスはコンセンサスによる意見であり、この記事執筆時点でのAzureプラットフォームの機能と機能セットを反映しています。 意見やテクノロジは時間の経過と同時に変化します。 Microsoftはこれらの変更を反映するためにこの記事を定期的に更新しています。

この記事は、ネットワークの場所に基づく暗黙的な信頼を排除する Microsoft の ゼロ トラスト セキュリティ モデルに合わせて説明します。 Azure Policy の適用に関する規範的なセキュリティ制御については、「 Microsoft Cloud Security Benchmark v2 - Network Security」を参照してください。

強力なネットワーク制御を使用する

Azure Virtual Machines (VM) およびアプライアンスを Azure Virtual Networks に配置することで、他のネットワーク デバイスに接続することができます。 つまり、仮想ネットワーク インターフェイス カードを仮想ネットワークに接続することで、ネットワーク対応デバイス間で TCP/IP ベースの通信を実行できるようになります。 Azure Virtual Network に接続された仮想マシンは、同じ仮想ネットワーク上、異なる仮想ネットワーク上、インターネット上、または独自のオンプレミス ネットワーク上のデバイスに接続できます。

ネットワークとそのセキュリティを計画する際には、次の集中管理を行いましょう:

  • ExpressRoute、仮想ネットワークおよびサブネットのプロビジョニング、IPアドレス指定などのコアネットワーク機能。
  • ネットワーク仮想アプライアンス機能などのネットワークセキュリティ要素のガバナンス。

一般的な管理ツール セットを使用してネットワークとネットワークのセキュリティを監視すると、両方の可視性が明確になります。 つまり、統合されたセキュリティ戦略では、人間の理解度と自動化の信頼性が高まるために、エラーが減少します。

  • 包括的なトラフィックの可視化には仮想ネットワークフローログを活用 しましょう仮想ネットワークフローログは、仮想ネットワーク全体で集中管理されたトラフィックの可視性を提供し、NSGフローログに代わってより広範な監視範囲を実現します。 詳細については、「 仮想ネットワーク フロー ログの概要」を参照してください。

サブネットを論理的にセグメント化する

Azure 仮想ネットワークは、オンプレミス ネットワーク上の LAN に似ています。 Azure 仮想ネットワークの背景にある考え方は、使用するすべての Azure 仮想マシンを配置できる単一のプライベート IP アドレス空間に基づいて、自分のネットワークを作成するということです。 使用可能なプライベート IP アドレス空間は、クラス A (10.0.0.0/8)、クラス B (172.16.0.0/12)、およびクラス C (192.168.0.0/16) の範囲です。

サブネットの論理的なセグメント化に関するベスト プラクティスは次のとおりです。

  • 0.0.0.0から255.255.255.255.255のように広い範囲の許可ルールを割り当てないでください。 トラブルシューティング手順を必ず設け、こうしたルールの設定を控えるか禁止してください。 このような許可ルールは、誤ったセキュリティに至り、多くの場合、レッド チームによって検出され、利用されます。

  • より大きなアドレス空間をサブネットに分割します。 CIDRベースのサブネット原則を使ってサブネットを作成しましょう。

  • サブネット間にネットワーク アクセス制御を作成します。 サブネット間のルーティングは自動的に行われるため、ルーティング テーブルを手動で構成する必要はありません。 デフォルトでは、Azure仮想ネットワーク上で作成したサブネット間にはネットワークアクセス制御はありません。 ネットワークセキュリティグループを使って、Azureサブネットへの未確認トラフィックを防ぎましょう。 ネットワーク セキュリティ グループ (NSG) は、シンプルでステートフルなパケット検査デバイスです。 NSGは5タプル方式(送信元IP、送信ポート、宛先IP、宛先ポート、プロトコル)を用いて、ネットワークトラフィックに対して許可または拒否ルールを作成します。 許可または拒否の対象は、単一の IP アドレス、複数の IP アドレス、またはサブネット全体との間のトラフィックとなります。

サブネット間のネットワーク アクセス制御にネットワーク セキュリティ グループを使用すると、同じセキュリティ ゾーンまたはロールに属するリソースを専用のサブネットに配置できます。

  • シンプルさと柔軟性を確保するために、小さな仮想ネットワークやサブネットは避けましょう。 多くの組織は当初の予定よりも多くのリソースを投入し、住所の再配分は労力集約的です。 小さなサブネットはセキュリティ価値が限定的であり、各サブネットにネットワークセキュリティグループをマッピングするとオーバーヘッドが増えます。 サブネットを広く定義し、成長に向けた柔軟性を確保しましょう。

  • アプリケーションセキュリティグループを定義することで、ネットワークセキュリティグループのルール管理を簡素化します。 将来的に変更されそうなIPアドレスのリストや、多くのネットワークセキュリティグループで使われる可能性があるもののためのアプリケーションセキュリティグループを定義してください。 アプリケーションセキュリティグループの名前を明確にして、他の人がその内容や目的を理解できるようにしましょう。

ゼロ トラスト アプローチを採用する

境界ベースのネットワークは、ネットワーク内のすべてのシステムが信頼されているという前提で動作します。 しかし、現在の従業員は、さまざまなデバイスとアプリを使用して任意の場所から組織のリソースにアクセスするため、境界セキュリティ制御は意味を成さなくなっています。 リソースにアクセスできる人物のみに注目しているアクセス制御ポリシーでは不十分です。 セキュリティと生産性のバランスをうまく取るために、セキュリティ管理者は、リソースが "どのように" アクセスされるかも考慮する必要があります。

攻撃者が信頼できる境界内の単一のエンドポイントを侵害した後、短時間でネットワーク全体に攻撃を展開する可能性があるという、侵害に対する脆弱性が存在するため、ネットワークを従来の防御から進化させる必要があります。 ゼロ トラスト ネットワークでは、境界内のネットワークの場所に基づく信頼という概念が排除されています。 代わりに、ゼロ トラスト アーキテクチャでは、デバイスとユーザーの信頼の要求を使用して、組織のデータとリソースへのアクセスを制御します。 新しい構想では、アクセス時に信頼を検証するゼロ トラスト アプローチが採用されています。

ベスト プラクティスは次のとおりです。

  • デバイス、アイデンティティ、保証、ネットワーク位置などに基づいてリソースに条件付きアクセスを提供します。Microsoft Entra 条件付きアクセスは、必要な条件に基づく自動アクセス制御の決定を実装することで、適切なアクセス制御を適用するのを支援します。 詳細については、「条件付きアクセスを使用して Azure 管理へのアクセスを管理する」を参照してください。

  • ワークフロー承認後のみポートアクセスを有効にしてください。 Microsoft Defender for CloudでジャストインタイムVMアクセスを活用し、Azure VMへの受信トラフィックをロックダウンし、攻撃へのリスクを減らしつつ、必要に応じてVMへの接続を簡単にできるようにします。 詳細については、「just-in-time VM access in Microsoft Defender for Cloud」を参照してください。

  • Azure Bastionを使って、パブリックIPアドレスを公開したり、受信ポートを開けたりせずに安全なリモートVMアクセスを行えます。Azure BastionはTLS経由でAzureポータルを通じて、仮想マシンに対して安全なRDP/SSH接続を提供します。 Azure Bastion Developer SKUは現在、35以上のAzureリージョンで追加料金なしで利用可能となり、開発・テストシナリオに最適です。 このSKUにより、ジャンプボックスやVMをインターネットに露出させる必要がなくなり、攻撃対象を減らしつつ管理者アクセスを効率化します。 本番ワークロードには、ホストのスケーリングやセッション録画などの追加機能を得るために、StandardまたはPremium SKUにアップグレードしましょう。 「クイック スタート: Azure Bastion Developer に接続して開始する」を参照してください。

  • 特権タスクを実行するための一時的な権限を付与します。 この慣行により、権限が切れた後に悪意あるまたは不正なユーザーがアクセスするのを防ぎます。 ユーザーがアクセスを必要とする時のみ許可してください。 Microsoft Entra Privileged Identity Managementやサードパーティのソリューションでジャストインタイムアクセスを用いて、特権タスクの実行権限を付与します。

ゼロ トラストとは、ネットワーク セキュリティにおける次の発展段階です。 サイバー攻撃の状態によって、組織は、"侵害を前提とする" ように考え方を変化させていますが、このアプローチを制限すべきではありません。 ゼロ トラスト ネットワークは、組織のデータとリソースを保護するのと同時に、従業員の生産性を時間も場所も方法も問わずに向上させることができるテクノロジを使用することで、組織が最新のワークプレースを構築できるようにします。

ルーティングの動作を制御する

Azure Virtual Network 上に仮想マシンを配置した場合、その VM を同じ仮想ネットワーク上にある他の VM に接続することができます。他の VM が異なるサブネット上にある場合でも同様です。 デフォルトのシステムルートがこの通信を可能にします。 これらの既定のルートでは、同じ仮想ネットワーク上にある VM に対して、相互接続およびインターネットとの接続の開始が許可されています (インターネットの場合はインターネットへの送信のみ)。

デフォルトのシステムルートは多くの展開シナリオで有用ですが、時には展開用のルーティング設定をカスタマイズしたい場合もあります。 特定の接続先に到達するように次ホップ アドレスを構成できます。

仮想ネットワーク用のセキュリティアプライアンスを展開する際は 、ユーザー定義 ルートを設定しましょう。 この推奨事項は後のセクション「重要なAzureサービスリソースは仮想ネットワークからのみ保護してください」に掲載されています。

注

ユーザー定義のルートは必須ではありません。通常は既定のシステム ルートで動作します。

仮想ネットワーク アプライアンスを使用する

ネットワーク セキュリティ グループとユーザー定義のルーティングでは、OSI モデルのネットワーク層とトランスポート層で一定のネットワーク セキュリティ対策を提供できます。 しかし、場合によっては、より上位のスタックでセキュリティを有効にする必要があります。 そのような場合は、Azureパートナーが提供する仮想ネットワークセキュリティアプライアンスを展開してください。

Azure ネットワーク セキュリティ アプライアンスを使用すると、ネットワーク レベルの制御で提供されるよりも強力なセキュリティを実現できます。 仮想ネットワーク セキュリティ アプライアンスのネットワーク セキュリティ機能には、次のようなものがあります。

  • ファイアウォール
  • 侵入検出/侵入防止
  • 脆弱性の管理
  • アプリケーションの制御
  • ネットワーク ベースの異常検出
  • Web フィルタリング
  • ウイルス対策
  • ボットネットからの保護

利用可能な Azure Virtual Network セキュリティ アプライアンスを見つける場合は、Azure Marketplace に移動し、"security" や "network security" で検索してください。

セキュリティ ゾーン用の境界ネットワークをデプロイする

境界ネットワーク (別名 DMZ) は、資産とインターネットの間に追加のセキュリティ層を提供する物理的または論理的なネットワーク セグメントです。 境界ネットワークの端にある特殊なネットワーク アクセス制御デバイスでは、ご利用の仮想ネットワークへの必要なトラフィックのみが許可されます。

境界ネットワークは、Azure Virtual Network の端にあるデバイスでのネットワーク アクセス制御の管理、監視、ログ記録、レポート作成に集中できるため便利です。 境界ネットワークは、通常は分散型サービス拒否 (DDoS) 防止、侵入検出/侵入防止システム (IDS/IPS)、ファイアウォール ルールとポリシー、Web フィルタリング、ネットワーク マルウェア対策などを有効にする場所です。 ネットワーク セキュリティ デバイスは、インターネットと Azure Virtual Network の間に配置され、両方のネットワークに対するインターフェイスが備わっています。

これは周辺ネットワークの基本的な設計ですが、バック・トゥ・バック、トライホーム、マルチホームなど多くの異なる設計が存在します。

前述のゼロ トラストコンセプトに基づき、すべての高セキュリティ展開にペリメーターネットワークを使用することを検討し、Azureリソースのネットワークセキュリティとアクセス制御のレベルを強化しましょう。 Azure またはサードパーティのソリューションを使用して、自分の資産とインターネットの間に追加のセキュリティ層を用意できます。

  • Azure のネイティブ コントロール。 Azure FirewallおよびAzure Web Application Firewallは、完全なステートフルファイアウォール・アズ・ア・サービス、組み込みの高可用性、制限のないクラウドスケーラビリティ、FQDNフィルタリング、OWASPコアルールセットのサポート、簡単な設定と設定など、基本的なセキュリティ上の利点を提供します。
  • サードパーティの提供物。 Azure Marketplace で、次世代ファイアウォール (NGFW) や、使い慣れたセキュリティ ツールや強化されたレベルのネットワーク セキュリティを提供する他のサード パーティ製品を検索してください。 構成が複雑になる可能性がありますが、サードパーティ製品で、既存の機能とスキルセットを使用できる可能性があります。

DDoS 攻撃から保護する

DDoS 保護は、パブリック エンドポイントを圧倒する前に、帯域幅消費型攻撃とプロトコル攻撃の影響を軽減することで、インターネットに接続するワークロードの可用性を維持するのに役立ちます。

  • 公開リソースを持つ仮想ネットワークでDDoSネットワーク保護を有効にしてください。 公共IPリソースをホストする仮想ネットワークにDDoSネットワーク保護を適用し、重要なワークロードが常時稼働する適応チューニングと応答の恩恵を受けられるようにしましょう。 詳細については、Azure DDoS Protection の概要に関する記事を参照してください。
  • あなたの公共の曝露に合ったDDoS対策プランを選びましょう。 仮想ネットワーク内の複数のパブリックIPリソースを保護する必要がある場合はDDoSネットワーク保護を使い、少数のパブリックIPアドレスに対してターゲットを絞る保護が必要な場合はDDoS IP保護を検討してください。 詳細については、Azure DDoS Protection の概要に関する記事を参照してください。
  • ウェブアプリケーションファイアウォールでDDoS保護を重ねる。 DDoS対策とAzure Web Application Firewallを組み合わせて、レイヤー3および4のボリューム攻撃やプロトコル攻撃に対応するとともに、レイヤー7のウェブトラフィックも検査します。 詳細については、Azure DDoS Protection の概要に関する記事を参照してください。
  • DDoS診断とアラートをインシデント対応に活用しましょう。 DDoSテレメトリを監視ツールにストリーミングし、アラートを設定してセキュリティチームが攻撃を調査し、迅速に対策を確認できるようにします。 詳細については、Azure DDoS Protection の概要に関する記事を参照してください。

多くの組織で、ハイブリッド IT ルートが選ばれています。 ハイブリッド IT では、企業の情報資産の一部が Azure 上に存在し、それ以外がオンプレミスに残されています。 多くの場合、サービスのコンポーネントの一部が Azure で実行され、他のコンポーネントはオンプレミスに残されます。

ハイブリッド IT シナリオでは、通常、なんらかの種類のクロスプレミス接続が使用されます。 クロスプレミス接続を使用することで、企業ではそのオンプレミス ネットワークを Azure Virtual Network に接続できます。 以下の 2 つのクロスプレミス接続ソリューションを利用できます。

  • サイト対サイト VPN。 信頼性の高い確立されたテクノロジですが、接続はインターネット経由で行われます。 帯域幅は、最大約 1.25 Gbps に制限されています。 サイト対サイト VPN は、一部のシナリオで推奨される選択肢です。
  • Azure ExpressRoute。 店舗をまたぐ接続には ExpressRoute をご利用ください。 ExpressRouteは、接続プロバイダーによってプライベート接続を通じて、オンプレミスネットワークをMicrosoftクラウドへ拡張するのを支援します。 ExpressRoute では、Azure、Microsoft 365、Dynamics 365 などの Microsoft クラウド サービスへの接続を確立できます。 ExpressRoute は、オンプレミスの場所または Microsoft Exchange ホスティング プロバイダーとの間の専用 WAN リンクです。 この接続は通信会社接続なので、データはインターネット経由で移動しないため、インターネット通信のリスクにさらされません。

ExpressRoute 接続の場所は、ファイアウォールの容量、スケーラビリティ、信頼性、およびネットワーク トラフィックの可視性に影響する可能性があります。 既存の(オンプレミス)ネットワークでExpressRouteをどこで終端するかを特定しましょう。 次のようにすることができます。

  • ファイアウォールの外側で終了します (境界ネットワーク パラダイム)。 この推奨事項は、トラフィックの可視化が必要な場合、データセンターの隔離という既存のプラクティスを続行する必要がある場合、または単に Azure 上にエクストラネット リソースを配置する場合に使用してください。
  • ファイアウォールの内側で終了します (ネットワーク拡張パラダイム)。 このオプションがデフォルトの推奨事項です。 それ以外の場合は、Azureを別のデータセンターとして扱ってください。

アップタイムとパフォーマンスを最適化する

サービスがダウンしていると情報にアクセスできません。 データを使用できないほどパフォーマンスが低下している場合、データをアクセス不能と見なすことができます。 セキュリティの観点からは、サービスの稼働時間とパフォーマンスが最適であることを確認しましょう。

可用性とパフォーマンスを向上させるために広く使用され、効果的な手法として、負荷分散があります。 ロードバランシングは、サービスの一部であるサーバー間でネットワークトラフィックを分散させます。 例えば、ロード バランシングを使用して、サービスの一部である複数のフロントエンド Web サーバーにトラフィックを分散します。

このトラフィック分散により、ウェブサーバーの一つが利用不能になると、ロードバランサーはそのサーバーへのトラフィック送信を停止し、まだオンラインのサーバーにリダイレクトします。 負荷分散はパフォーマンスの向上にも役立ちます。要求を処理するときのプロセッサ、ネットワーク、メモリのオーバーヘッドが負荷分散サーバー全体に分散されるためです。

サービスに応じて可能な限り負荷分散を活用してください。 Azure Virtual Network レベルとグローバル レベルの両方でのシナリオを以下に示します。また、各レベルの負荷分散オプションについても説明します。

シナリオ:次のようなアプリケーションがあります。

  • 同じユーザー/クライアントのセッションからの要求が同じバックエンド仮想マシンに到達する必要がある。 この例として、ショッピング カート アプリや Web メール サーバーなどがあります。
  • セキュリティで保護された接続のみが受け入れられるため、サーバーへの暗号化されていない通信は受け入れられない。
  • 実行時間の長い同じ TCP 接続で複数の HTTP 要求を、異なるバックエンド サーバーにルーティングまたは負荷分散する必要がある。

負荷分散オプション:HTTP Web トラフィック ロード バランサーである、Azure Application Gateway を使用します。 Application Gateway では、ゲートウェイでのエンド ツー エンド TLS 暗号化と TLS 終了がサポートされています。 その後、Web サーバーは暗号化と暗号化解除のオーバーヘッドから負担を受けず、トラフィックは暗号化されていない状態でバックエンド サーバーに流れる可能性がありますが、バックエンドの機密性が重要な場合、エンド ツー エンド TLS は安全な既定値のままです。

シナリオ:Azure 仮想ネットワークに配置されたサーバー間で、インターネットからの着信接続の負荷分散を行う必要があります。 「シナリオとは、次のような場合です。」

  • インターネットからの着信要求を受け入れるステートレス アプリケーションがある。
  • スティッキー セッションや TLS オフロードを必要としない。 スティッキー セッションは、サーバーアフィニティを実現するために、アプリケーション負荷分散で使用される方法です。

負荷分散オプション:Azure portal を使用して、外部ロード バランサーを作成します。これにより、複数の VM 全体に着信要求を分散し、より高いレベルの可用性を提供することができます。

シナリオ:インターネット上にないVMからの接続をロードバランスする必要があります。 負荷分散で受け入れられるのは、ほとんどの場合、SQL Server インスタンスや内部 Web サーバーなど、Azure Virtual Network 上のデバイスで開始された接続です。 負荷分散オプション:Azure portal を使用して、内部ロード バランサーを作成します。これにより、複数の VM 全体に着信要求を分散し、より高いレベルの可用性を提供することができます。

シナリオ:グローバル負荷分散が必要です。理由は次のとおりです。

  • 複数の地域に広く分散し、可能な限り高い稼働時間(可用性)を必要とするクラウドソリューションを持つこと。
  • データセンター全体が利用不可となった場合でも、サービスを利用できるようにするために、可能な限り高いレベルのアップタイムが必要である。

負荷分散オプション:Azure Traffic Manager を使用します。 Traffic Manager を使用すると、ユーザーの場所に基づいてサービスへの接続を負荷分散できます。

たとえば、ユーザーが EU からサービスに要求を行った場合、その接続が EU のデータセンター内にあるサービスに転送されます。 Traffic Manager グローバル負荷分散のこの処理によって、パフォーマンスも向上します。遠く離れたデータセンターに接続するよりも、最寄りのデータセンターに接続する方が、高速になるためです。

仮想マシンへのRDPおよびSSHアクセスを無効にしてください

Azure Virtual Machines へのアクセスには、リモート デスクトップ プロトコル (RDP) と Secure Shell (SSH) プロトコルを使用できます。 これらのプロトコルにより、遠隔地からの管理 VM が有効になります。これらは、データセンター コンピューティングにおける標準プロトコルです。

これらのプロトコルをインターネット経由で使用すると、攻撃者がブルート フォース手法を使って Azure Virtual Machines へのアクセス権を取得できるという潜在的なセキュリティの問題が生じます。 攻撃者がアクセス権を取得すると、VM を起点として仮想ネットワーク上の他のマシンを侵害したり、Azure の外部にあるネットワーク接続されたデバイスを攻撃したりすることができます。

インターネットからAzure仮想マシンへの直接RDPおよびSSHアクセスを無効にしてください。 インターネットからの直接RDPやSSHアクセスを無効にした後は、他のオプションを使ってこれらのVMにアクセスし、リモート管理を行ってください。

シナリオ:1 人のユーザーがインターネット経由で Azure 仮想ネットワークに接続できます。 オプション:ポイント対サイト VPN は、リモート アクセス VPN によるクライアント/サーバー接続の別名です。 ポイント・トゥ・サイト接続が確立された後、ユーザーはRDPまたはSSHを使って、ポイント・トゥ・サイトVPNを通じて接続したAzure仮想ネットワーク上のVMに接続できます。 この接続は、ユーザーがそれらのVMにアクセスする権限を持っていることを前提としています。

ユーザーは VM に接続する前に 2 回認証を受ける必要があるため、ポイント対サイト VPN は RDP や SSH による直接接続よりも安全です。 最初に、ユーザーは、ポイント対サイト VPN 接続を確立するために認証を受ける (および承認される) 必要があります。 次に、ユーザーは、RDP または SSH セッションを確立するために認証を受ける (および承認される) 必要があります。

シナリオ:オンプレミス ネットワーク上のユーザーは、Azure 仮想ネットワーク上の VM に接続することができます。 オプション:サイト間 VPN は、インターネット経由でネットワーク全体を別のネットワークに接続します。 サイト間 VPN を使用すると、オンプレミス ネットワークを Azure Virtual Network に接続できます。 オンプレミス ネットワーク上のユーザーは、サイト間 VPN 接続を介して RDP または SSH プロトコルを使用して接続します。 インターネット経由での RDP または SSH による直接アクセスを許可する必要はありません。

シナリオ:専用 WAN リンクを使用して、サイト間 VPN に似た機能を提供します。 オプション:ExpressRoute を使用します。 ExpressRouteはサイト間VPNに似た機能を提供します。 主な違いは次のとおりです。

  • 専用 WAN リンクではインターネットを経由しません。
  • 一般的には専用 WAN リンクの方が安定性とパフォーマンスに優れています。

重要なAzureサービスリソースは仮想ネットワークからのみ保護してください

Azure Private Linkを使って、仮想ネットワーク内のプライベートエンドポイントを通じてAzure PaaSサービス(Azure StorageやSQL Databaseなど)にアクセスしましょう。 プライベートエンドポイントは、重要なAzureサービスリソースへのアクセスを仮想ネットワークに制限します。 仮想ネットワークから Azure サービスへのトラフィックは常に、Microsoft Azure のバックボーン ネットワーク上に残ります。 仮想ネットワークを公共インターネットに露出させる必要はもはやAzure PaaSサービスを利用する必要はなくなりました。

Azure Private Link には次のような利点があります。

  • Azureサービスリソースのセキュリティを強化しましょう。 Azure Private Linkを使うことで、プライベートエンドポイントを使ってAzureサービスリソースを仮想ネットワークに安全に保護できます。 サービスリソースを仮想ネットワーク内のプライベートエンドポイントに保護することで、リソースへの公共インターネットアクセスを排除し、仮想ネットワーク内のプライベートエンドポイントからのトラフィックのみを許可することでセキュリティが向上します。
  • Azureプラットフォーム上でAzureサービスリソースにプライベートアクセスできます。 プライベートエンドポイントを使ってAzureのサービスに仮想ネットワークを接続します。 パブリックIPアドレスは必要ありません。 Private Link プラットフォームは、Azureバックボーン ネットワーク経由でコンシューマーとサービス間の接続を処理します。
  • オンプレミスおよびピア接続ネットワークからサービスにアクセスできます。 Azure上で動作するサービスは、ExpressRouteのプライベートピアリング、VPNトンネル、ピアードされた仮想ネットワークを通じてプライベートエンドポイントを使ってオンプレミスからアクセスできます。 ExpressRoute Microsoft ピアリングを構成したり、インターネットを経由してサービスに到達したりする必要はありません。 Private Link を使用すれば、Azure にワークロードを安全に移行することができます。
  • データ漏洩から守る。 プライベートエンドポイントはサービス全体ではなく、PaaSリソースのインスタンスにマッピングされます。 コンシューマーは特定のリソースにのみ接続でき、サービス内の他のリソースへのアクセスはブロックされます。 このマッピングはデータ漏洩リスクからの保護を提供します。
  • 地域を超えてプライベートアクセスを拡大しましょう。 他の地域で稼働中のサービスにプライベート接続しましょう。 コンシューマーの仮想ネットワークはリージョン A にあり、リージョン B のサービスに接続できます。
  • プライベートエンドポイントの展開と運用を簡素化します。 仮想ネットワークでAzureリソースをIPファイアウォールを通じて保護するために、もはや予約されたパブリックIPアドレスは必要ありません。 プライベートエンドポイントを設定するのにNATやゲートウェイデバイスは必要ありません。 プライベートエンドポイントはシンプルなワークフローで設定され、サービス側ではAzureサービスリソース上での接続リクエストも簡単に管理できます。 Azure Private Linkは、異なるMicrosoft Entraテナントに属する消費者やサービス向けに動作します。
  • プライベートエンドポイントを有効にした後、パブリックネットワークアクセスを無効にしてください。 サービスが対応している場合は、プライベートエンドポイントの接続性を検証した後、パブリックネットワークアクセスをオフにして、リソースが承認されたプライベートパスを通るトラフィックのみを受け付けるようにしましょう。 詳細については、「Azure Private Linkを参照してください。
  • サービスごとにプライベートDNSゾーンを設計しましょう。 各Azureサービスごとに推奨されるプライベートDNSゾーンを使用し、そのゾーンをプライベートエンドポイントをホストする仮想ネットワークに接続することで、名前解決が一貫性を保ちます。 詳細については、「Azure プライベート エンドポイントのプライベート DNS ゾーンの値」を参照してください。
  • サポートされているプライベートエンドポイントサブネットにはNSGを適用してください。 プライベートエンドポイントのネットワークポリシーを有効にし、ホストサブネット上でNSGを使って、サポートシナリオに対して東西方向およびインバウンドフィルタリング要件を強制します。 詳細については、「プライベート エンドポイントのネットワーク ポリシーを管理する」を参照してください。
  • 管理されたネットワーク隔離にはNetwork Security Perimeterを使いましょう。 IPベースの制限に頼らず、公共への露出を減らす新しい管理型隔離境界が必要な場合は、Network Security Perimeterを評価してください。 詳細については、「 ネットワーク セキュリティ境界の概念」を参照してください。

プライベート エンドポイントと、プライベート エンドポイントを使用できるAzure サービスとリージョンの詳細については、「Azure Private Linkを参照してください。

次のステップ

  • Last updated on