App Service Environment のカスタムドメインサフィックス

[アーティクル]
05/07/2024

App Service Environment は、App Service アプリを大規模かつ安全に実行するために完全に分離された専用の環境を提供する、Azure App Service の機能です。 App Service Environment の既定のドメインサフィックスの DNS 設定では、アプリがその名前でのみアクセスできるように制限されることはありません。カスタムドメインサフィックスは、内部ロードバランサー (ILB) App Service Environment 機能です。この機能を通じ、独自のドメインサフィックスを使用して App Service Environment 内のアプリにアクセスできます。

App Service Environment がない場合は、App Service Environment v3 の作成方法に関するページを参照してください。

注意

この記事では、App Service Isolated v2 プランで使用される App Service Environment v3 の機能、利点、およびユースケースについて説明します。

カスタムドメインサフィックスは、App Service Environment によって使われるルートドメインを定義します。 Azure App Service のパブリック版では、すべての Web アプリの既定のルートドメインは azurewebsites.netです。 ILB App Service Environment の場合、既定のルートドメインは appserviceenvironment.net です。ただし、ILB App Service Environment はお客様の仮想ネットワークの内部にあるため、お客様は会社の内部仮想ネットワーク内で使用するのに適した既定のドメインに加えて、ルートドメインを使用できます。たとえば、Contoso Corporation という架空の企業では、Contoso の仮想ネットワーク内でのみ解決およびアクセス可能になるよう設計されたアプリに対して、internal-contoso.com という既定のルートドメインが使用されます。この仮想ネットワーク内のアプリにアクセスするには、APP-NAME.internal-contoso.com にアクセスします。

カスタムドメインサフィックスは App Service Environment 用です。この機能は、App Service のカスタムドメインバインドとは異なります。カスタムドメインバインドの詳細については、「既存のカスタム DNS 名を Azure App Service にマッピングする」を参照してください。

カスタムドメインサフィックスに使われる証明書に *.scm.CUSTOM-DOMAIN のサブジェクト代替名 (SAN) エントリが含まれる場合、scm サイトも APP-NAME.scm.CUSTOM-DOMAIN から到達できます。基本認証を使用して、カスタムドメイン経由でのみ scm にアクセスできます。シングルサインオンは、既定のルートドメインでのみ可能です。

以前のバージョンとは異なり、App Service Environment v3 上の App Services の FTPS エンドポイントには、既定のドメインサフィックスを使用してのみアクセスできます。

カスタムドメインサフィックスエンドポイントへの接続では、TLS ベースの接続用の Server Name Indication (SNI) を使う必要があります。

前提条件

App Service Environment v3 の ILB バリエーション。
有効な SSL/TLS 証明書は、.PFX 形式で Azure Key Vault に格納する必要があります。 App Service で証明書を使用する方法の詳細については、「Azure App Service で TLS/SSL 証明書を追加する」を参照してください。
証明書は 20 kb 未満である必要があります。

マネージド ID

マネージド ID は、SSL/TLS 証明書が格納されている Azure Key Vault に対する認証に使用されます。現在、App Service Environment に関連付けられているマネージド ID がない場合は、マネージド ID を構成する必要があります。

システム割り当てまたはユーザー割り当てのマネージド ID のどちらかを使用できます。ユーザー割り当てマネージド ID を作成するには、「ユーザー割り当てマネージド ID の管理」を参照してください。システム割り当てマネージド ID を使用したいものの、App Service Environment でこの ID がまだ割り当てられない場合は、カスタムドメインサフィックスポータルを使用すると効率的に作成できます。または、App Service Environment の [ID] ページに移動し、そこでマネージド ID を構成して割り当てることができます。

システム割り当てマネージド ID を有効にするには、[状態] を [オン] に設定します。

App Service Environment 用のシステム割り当てマネージド ID のサンプルのスクリーンショット。

ユーザー割り当てマネージド ID を割り当てるには、[追加] を選択し、使用するマネージド ID を見つけます。

App Service Environment 用のユーザー割り当てマネージド ID のサンプルのスクリーンショット。

App Service Environment にマネージド ID を割り当てた後、マネージド ID に Azure Key Vault に対する十分なアクセス許可があることを確認します。コンテナーアクセスポリシーまたは Azure のロールベースのアクセス制御を使用できます。

コンテナーアクセスポリシーを使用する場合、マネージド ID には少なくともキーコンテナーに対するシークレット "取得" のアクセス許可が必要です。

マネージド ID に関するキーコンテナーアクセスポリシーのサンプルのスクリーンショット。

Azure のロールベースのアクセス制御を使用してキーコンテナーへのアクセスを管理する場合は、少なくとも "キーコンテナーシークレットユーザー" ロールをマネージド ID に付与する必要があります。

マネージド ID に関するキーコンテナーのロールベースのアクセス制御のサンプルのスクリーンショット。

Certificate

カスタムドメインサフィックスの証明書は、Azure Key Vault に格納する必要があります。証明書は、.PFX 形式でアップロードし、20 kb 未満である必要があります。現時点では、.PEM 形式の証明書はサポートされていません。 App Service Environment では、ユーザーが選んだマネージド ID を使って証明書が取得されます。

証明書は、選択したカスタムドメイン名のワイルドカード証明書である必要があります。たとえば、internal-contoso.com には *.internal-contoso.com に対応する証明書が必要です。カスタムドメインサフィックスによって使われる証明書に、scm のサブジェクト代替名 (SAN) エントリ (例: *.scm.internal.contoso.com) が含まれている場合、カスタムドメインサフィックスを使って scm サイトを利用することもできます。

Azure Key Vault で証明書をローテーションする場合、App Service Environment は 24 時間以内に変更を取得します。

Key Vault へのネットワークアクセス

キーコンテナーには、パブリックにアクセスすることも、App Service Environment がデプロイされているサブネットからアクセスできるプライベートエンドポイントを介してアクセスすることもできます。プライベートエンドポイントを構成する方法については、「Key Vault を Azure Private Link と統合する」を参照してください。パブリックアクセスを使用する場合は、App Service Environment の送信 IP アドレスからのトラフィックのみを受け入れるように、キーコンテナーをセキュリティで保護できます。 App Service Environment では、キーコンテナーにアクセスするときに、プラットフォームの送信 IP アドレスをソースアドレスとして使用されます。 IP アドレスは、Azure portal の [IP アドレス] ページで確認できます。

Azure portal の [IP アドレス] ページのスクリーンショット。

Azure portal を使用してカスタムドメインサフィックスを構成する

Azure portal から、App Service Environment の [カスタムドメインサフィックス] ページに移動します。
カスタムドメイン名を入力します。
App Service Environment に対して定義するマネージド ID を選択します。システム割り当てまたはユーザー割り当てのマネージド ID のどちらかを使用できます。まだ行っていない場合は、マネージド ID を構成できます。マネージド ID は、カスタムドメインサフィックスのページから、マネージド ID 選択ボックスの [ID の追加] オプションを使って、直接構成できます。
カスタムドメインサフィックスの証明書を選択します。
1. キーコンテナーへのアクセスにプライベートエンドポイントを使用する場合、ネットワークアクセスがプライベートエンドポイントに制限されるため、ポータルインターフェイスを使用して証明書を選択することはできません。証明書の URL を手動で入力する必要があります。
ページの最上部で [保存] を選択します。構成の最新の更新を表示するには、ページを更新します。
カスタムドメインサフィックスの構成が設定されるまで数分かかります。ページの上部にある [最新の情報に更新] を選んで、状態を確認します。バナーが最新の進行状況で更新されます。完了すると、バナーにカスタムドメインサフィックスが構成されていることが示されます。

Azure Resource Manager を使用してカスタムドメインサフィックスを構成する

Azure Resource Manager テンプレートを使って App Service Environment のカスタムドメインサフィックスを構成するには、次のプロパティを含める必要があります。前提条件を満たしていること、マネージド ID と証明書にアクセスできること、Azure Key Vault に対する適切なアクセス許可があることを確かめます。

テンプレートに割り当てる前に、マネージド ID を構成し、それが存在することを確認する必要があります。マネージド ID の詳細については、マネージド ID の概要に関するページを参照してください。

ユーザー割り当てマネージド ID を使用する

"resources": [
{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/hostingEnvironments",
    "name": ...,
    "location": ...,
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/asev3-cdns-rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ase-cdns-managed-identity"
        }
    },
    "properties": {
        "customDnsSuffixConfiguration": {
            "dnsSuffix": "antares-test.net",
            "certificateUrl": "https://kv-sample-key-vault.vault.azure.net/secrets/wildcard-antares-test-net",
            "keyVaultReferenceIdentity": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/asev3-cdns-rg/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ase-cdns-managed-identity"
        },
        "internalLoadBalancingMode": "Web, Publishing",
        etc...
    }
}

システム割り当てマネージド ID を使用する

"resources": [
{
    "apiVersion": "2022-03-01",
    "type": "Microsoft.Web/hostingEnvironments",
    "name": ...,
    "location": ...,
    "identity": {
        "type": "SystemAssigned"
    }
    "properties": {
        "customDnsSuffixConfiguration": {
            "dnsSuffix": "antares-test.net",
            "certificateUrl": "https://kv-sample-key-vault.vault.azure.net/secrets/wildcard-antares-test-net",
            "keyVaultReferenceIdentity": "systemassigned"
        },
        "internalLoadBalancingMode": "Web, Publishing",
        etc...
    }
}

Azure Resource Explorer を使用してカスタムドメインサフィックスを構成する

既存の ILB App Service Environment は、Azure Resource Explorer を使って更新することもできます。

リソースエクスプローラーで、App Service Environment のノードに移動します (subscriptions>{サブスクリプション名}>resourceGroups>{リソースグループ名}>providers>Microsoft.Web>hostingEnvironments の順に移動)。次に、更新する特定の App Service Environment を選択します。
上部のツールバーで [読み取り/書き込み] を選び、リソースエクスプローラーで対話形式の編集をできるようにします。
[編集] ボタンを選び、Resource Manager テンプレートを編集できるようにします。
右側のペインの一番下までスクロールします。 [customDnsSuffixConfiguration] 属性は一番下にあります。
[dnsSuffix]、[certificateUrl]、[keyVaultReferenceIdentity] の値を入力します。
[ID] 属性に移動し、使用しているマネージド ID に関連付けられている詳細情報を入力します。
上部にある [PUT] ボタンを選び、App Service Environment に変更をコミットします。
[customDnsSuffixConfiguration] の [provisioningState]は、構成の更新状態を示します。

DNS の構成

カスタムドメインサフィックスを使って App Service Environment 内のアプリにアクセスするには、独自の DNS サーバーを構成するか、カスタムドメインの Azure プライベート DNS ゾーンで DNS を構成する必要があります。

独自の DNS サーバーを使用する場合は、以下のレコードを追加します。

カスタムドメインのゾーンを作成します。
そのゾーン内で、* に App Service Environment で使用される受信 IP アドレスを指し示す A レコードを作成します。
そのゾーン内で、@ に App Service Environment で使用される受信 IP アドレスを指し示す A レコードを作成します。
必要に応じて、App Service Environment によって使われるインバウンド IP アドレスを指し示す * A レコードを使って、scm サブドメイン用のゾーンを作成します

Azure DNS プライベートゾーンで DNS を構成するには、次の操作を行ってください。

カスタムドメイン用に名前が付けられた Azure DNS プライベートゾーンを作成します。次の例では、カスタムドメインは internal.contoso.com です。
そのゾーン内で、* に App Service Environment で使用される受信 IP アドレスを指し示す A レコードを作成します。
そのゾーン内で、@ に App Service Environment で使用される受信 IP アドレスを指し示す A レコードを作成します。
Azure DNS プライベートゾーンを App Service Environment の仮想ネットワークにリンクします。
必要に応じて、そのゾーン内で、*.scm に App Service Environment で使用される受信 IP アドレスを指し示す A レコードを作成します。

ドメインに DNS を構成する際の詳細情報については、「App Service Environmentを使用する」を参照してください。

Note

カスタムドメインサフィックス用の DNS を構成するだけでなく、App Service のすべての機能が期待どおりに機能するように、既定のドメインサフィックス用に DNS を構成することも検討する必要があります。

アプリにアクセスする

App Service Environment のカスタムドメインサフィックスと DNS を構成すると、App Service Environment のいずれかの App Service アプリの [カスタムドメイン] ページに移動し、アプリに割り当てられたカスタムドメインの追加を確認できます。

App Service Environment のカスタムドメインサフィックス機能が作成したアプリのサンプルカスタムドメインのスクリーンショット。

ILB App Service Environment 上のアプリは、構成したカスタムドメインまたは上記の画像にあるような既定のドメイン appserviceenvironment.net に移動することで、HTTPS 経由で安全にアクセスできます。既定の App Service Environment ドメインとカスタムドメインを使用してアプリにアクセスする機能は、App Service Environment v3 でのみサポートされる独自の機能です。

ただし、パブリックマルチテナントサービスで実行されているアプリと同様に、個々のアプリに対してカスタムホスト名を構成してから、各アプリに固有の SNI TLS/SSL 証明書バインドを構成することもできます。

トラブルシューティング

App Service プラットフォームでは、App Service Environment でキーコンテナーにアクセスできるかどうか、および証明書が有効かどうかが定期的に確認されます。マネージド ID、キーコンテナー、または App Service Environment のアクセス許可またはネットワーク設定が適切に設定されていないか、最近変更された場合、カスタムドメインサフィックスを構成することはできません。スクリーンショットに示されている例のようなエラーが表示されます。前提条件を調べて、必要なアクセス許可が構成されていることを確認してください。また、証明書が機能低下または期限切れであることを App Service プラットフォームが検出した場合も、同様のエラーメッセージが表示されます。

カスタムドメインサフィックスのサンプルエラーメッセージのスクリーンショット。

次のステップ

App Service Environment v3 の使用

App Service Environment v3 ネットワーク

チュートリアル:既存のカスタム DNS 名を Azure App Service にマップする

次の方法で共有

App Service Environment のカスタムドメインサフィックス