Azure Private Linkでセキュア接続

Microsoft 365・Azureカテゴリを表すパンダのイラスト Microsoft 365・Azure
2025.10.03

Azure Private Linkは、Azure Virtual Network (VNet) からAzure PaaSサービスへのプライベート接続を可能にし、パブリックインターネットへのデータ漏洩リスクを排除する。

Azure Private Linkによるセキュアなプライベート接続の確立

アーキテクチャ

Azure Private Linkは、Private EndpointとPrivate Link Serviceの二つの主要コンポーネントで構成される。Private Endpointは、PaaSサービス（例: Azure Storage Account, Azure SQL Database）をVNet内のプライベートIPアドレスにマッピングし、VNet内からのアクセスを可能にする。この構成では、サービスへのトラフィックはMicrosoft Azureバックボーンネットワーク内を流れ、インターネットには露出しない。DNS解決にはPrivate DNS Zoneが利用され、PaaSサービスのパブリックFQDNをPrivate EndpointのプライベートIPアドレスに解決する。

graph TD
    subgraph mermaid_group_1["Azure Virtual Network (VNet)"]
        A["Client VM/App Service"] --> B("Private Endpoint Subnet")
        B -->|"Private IP"| C("Private Endpoint")
    end

    subgraph mermaid_group_6["Azure Private DNS Zone"]
        D["Private DNS Zone(#quot;e.g., privatelink.blob.core.windows.net#quot;)"]
        D -->|"DNS Resolution"| C
    end

    subgraph mermaid_group_11["Azure PaaS Service"]
        E["Azure Storage Account (Blob)"]
        C -->|"Private Connectivity"| E
    end

    A -->|"Service Request"| D
    D -->|"Resolves FQDN"| C
    C -->|"Secure Private Path"| E

    style A fill:#e0f2f7,stroke:#333,stroke-width:2px,color:#000
    style B fill:#d0e0f0,stroke:#333,stroke-width:2px,color:#000
    style C fill:#a0d0e0,stroke:#333,stroke-width:2px,color:#000
    style D fill:#c0e0f0,stroke:#333,stroke-width:2px,color:#000
    style E fill:#f0f8ff,stroke:#333,stroke-width:2px,color:#000
    linkStyle 0 stroke:#006699,stroke-width:2px,color:#000,fill:none;
    linkStyle 1 stroke:#006699,stroke-width:2px,color:#000,fill:none;
    linkStyle 2 stroke:#006699,stroke-width:2px,color:#000,fill:none;
    linkStyle 3 stroke:#006699,stroke-width:2px,color:#000,fill:none;
    linkStyle 4 stroke:#006699,stroke-width:2px,color:#000,fill:none;

設定手順

Azure Storage Account (Blob) へのPrivate Endpoint設定を例示する。

  1. リソースグループ、VNet、サブネットの作成:

    RESOURCE_GROUP="my-private-link-rg"
LOCATION="eastus"
VNET_NAME="my-vnet"
SUBNET_NAME="my-private-endpoint-subnet"
STORAGE_ACCOUNT_NAME="myprivatelinkstorage12345"

az group create --name $RESOURCE_GROUP --location $LOCATION
az network vnet create \
  --resource-group $RESOURCE_GROUP \
  --name $VNET_NAME \
  --address-prefix 10.0.0.0/16 \
  --location $LOCATION

az network vnet subnet create \
  --resource-group $RESOURCE_GROUP \
  --vnet-name $VNET_NAME \
  --name $SUBNET_NAME \
  --address-prefix 10.0.0.0/24 \
  --disable-private-endpoint-network-policies true # Private Endpoint Network Policiesを無効化

  2. ストレージアカウントの作成:

    az storage account create \
  --name $STORAGE_ACCOUNT_NAME \
  --resource-group $RESOURCE_GROUP \
  --location $LOCATION \
  --sku Standard_LRS \
  --kind StorageV2

  3. Private DNS Zoneの作成とVNetリンク:

    PRIVATE_DNS_ZONE_NAME="privatelink.blob.core.windows.net"

az network private-dns zone create \
  --resource-group $RESOURCE_GROUP \
  --name $PRIVATE_DNS_ZONE_NAME

az network private-dns link vnet create \
  --resource-group $RESOURCE_GROUP \
  --zone-name $PRIVATE_DNS_ZONE_NAME \
  --name "my-vnet-link" \
  --virtual-network $VNET_NAME \
  --registration-enabled false

  4. Private Endpointの作成:

    PRIVATE_ENDPOINT_NAME="my-storage-pe"
CONNECTION_NAME="my-storage-pe-connection"

az network private-endpoint create \
  --resource-group $RESOURCE_GROUP \
  --name $PRIVATE_ENDPOINT_NAME \
  --location $LOCATION \
  --vnet-name $VNET_NAME \
  --subnet $SUBNET_NAME \
  --private-connection-resource-id "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP/providers/Microsoft.Storage/storageAccounts/$STORAGE_ACCOUNT_NAME" \
  --group-ids blob \
  --connection-name $CONNECTION_NAME \
  --with-private-dns-zone $PRIVATE_DNS_ZONE_NAME

    --with-private-dns-zone パラメータを使用することで、Private DNS Zoneとの統合が自動的に行われる。

運用監視

  • 可観測性: Private LinkリソースはAzure Monitorと統合される。診断設定を構成し、Private Endpointの接続状態、関連するネットワークインターフェースのトラフィックログをLog Analytics Workspaceに送信する。
  • ログ: Azure Storage Accountなどの接続先PaaSサービス側でも、Private Endpoint経由のアクセスログが取得可能。Resource ManagerログやActivity LogでPrivate Endpointの作成・更新イベントを監視する。NSGフローログを有効化し、Private Endpointサブネットのネットワークトラフィックを分析する。
  • SLA/バックアップ/DR: Private Link自体に直接的なSLAは定義されていないが、接続先Azure PaaSサービスのSLAに準拠する。Private Linkはステートレスなネットワーク接続サービスであるため、バックアップやDRの対象とはならない。接続先のPaaSサービスのデータバックアップやDR戦略を確立する。

セキュリティ

  • アイデンティティと権限境界 (Entra ID/RBAC):
    • Private Endpointの作成、管理、Private DNS Zoneの管理には、Azure Entra IDのユーザー/サービスプリンシパルに対して適切なAzure RBACロールを割り当てる。具体的には、Network Contributor ロールがVNet、Private Endpoint、Private DNS Zoneの管理に必要な権限を提供する。PaaSサービスへのPrivate Endpoint接続を承認するには、Contributor または該当サービスの専用ロール（例: Storage Blob Data Contributor）が必要となる。
    • 最小権限の原則に基づき、必要な権限のみを付与する。
  • 条件付きアクセス (CA): 管理者がAzure Portal経由でPrivate Linkリソースを管理する場合、Entra IDの条件付きアクセスポリシーを使用して、信頼されたデバイスからのアクセスや多要素認証 (MFA) を要求することで、管理プレーンのセキュリティを強化する。
  • ネットワークセキュリティグループ (NSG): Private EndpointがデプロイされるサブネットにNSGを適用し、Private Endpointへのインバウンド/アウトバウンドトラフィックを細かく制御する。これにより、VNet内の特定のワークロードのみがPrivate Endpoint経由でPaaSサービスにアクセスできるよう制限できる。
  • Azure Defender for Cloud: ネットワークセキュリティ推奨事項を監視し、Private Endpointに関連する潜在的な脅威や設定不備を検出する。例えば、Private Endpointが関連付けられているVNet内の構成の不備を指摘することが可能。

コスト

Private Linkのコストは、主に以下の要素によって決定される。

  • Private Endpoint時間料: Private Endpointがプロビジョニングされている時間に対して課金される。SKUによる差異は通常ない。
  • データ処理料: Private Endpointを通じて転送されるデータ量（GB単位）に対して課金される。送信データと受信データの両方に適用される場合がある。
  • Private DNS Zone料金: プライベートDNSゾーンのホストゾーン数と、ゾーンに対するDNSクエリ数に基づいて課金される。

コスト最適化:

  • スケジューリング: Private Link自体はリソースの停止やスケールダウンの概念がないため、直接的なスケジューリングによるコスト最適化は限定的。
  • リザーブドインスタンス/プラン: Private Linkはリザーブドインスタンスの対象ではない。接続先のPaaSサービス（例: Azure SQL Databaseの予約容量）で利用可能な場合は検討する。
  • ライセンス: Private Linkは独立したライセンスモデルを持たない。
  • データ転送の最適化: 不要なデータ転送を削減し、データ処理料を抑制する。例えば、VNet内でのデータ処理を最大化する。
  • 統合Private Endpoint: 複数のPaaSサービスを同じVNet内の同じPrivate Endpointサブネットに統合することで、ネットワーク管理の複雑さを減らし、潜在的にネットワークリソースの最適化を図る。

落とし穴

  • Private DNS Zone設定の不備: 最も一般的な問題は、Private DNS ZoneのVNetリンク忘れや、DNSレコードが正しく登録されていないこと。これにより、FQDNがパブリックIPに解決され、期待されるプライベート接続が確立されない。
  • ネットワークセキュリティグループ (NSG) の構成ミス: Private Endpointサブネットに適用されたNSGが、Private Endpointへの必要なトラフィックをブロックしてしまうことがある。最低限、VNetからのインバウンドトラフィックを許可する必要がある。
  • オンプレミスからのDNS解決: ExpressRouteやVPN Gateway経由でオンプレミスからPrivate Endpointに接続する場合、オンプレミスのDNSサーバーからPrivate DNS Zoneへの転送設定（Conditional Forwarder）が必要になる。
  • Private Endpoint Network Policiesの無効化忘れ: Private Endpointサブネットでは、Private Endpoint Network Policiesを無効化する必要がある。これは、NSGやUDRがPrivate Endpointに適用されないようにするためである。
  • 既存サービスへの影響: 既存のパブリックIPベースのサービスにPrivate Endpointを追加すると、DNS解決がプライベートIPに切り替わるため、クライアントアプリケーションがその変更に対応できるか確認が必要。

まとめ

Azure Private Linkは、Azure PaaSサービスへのセキュアかつプライベートな接続経路を提供し、ネットワークセキュリティとデータ漏洩対策を大幅に強化する。適切なアーキテクチャ設計、詳細な設定、継続的な運用監視、そして強固なセキュリティ対策を組み合わせることで、エンタープライズレベルのセキュアなクラウド環境を実現する上で不可欠な要素である。コストと潜在的な落とし穴を理解し、計画的に導入を進めることが成功の鍵となる。

文書情報

記事タイトル
Azure Private Linkでセキュア接続
作成日
更新日
Source URL
https://papanda925.com/?p=3309

ライセンス: 本記事のうち、当サイトが権利を有する本文・自作図表は、特記なき限り CC BY 4.0 で利用できます。生成AIを活用して作成・編集した内容を含みます。コードについて、別途ライセンス表示またはリンク先GitHubリポジトリのライセンスがある場合は、その条件を優先します。引用・第三者資料・画像・商標等は本ライセンスの対象外です。 利用ポリシー

タイトルとURLをコピーしました