Azure Container Apps 環境 (プレビュー) でプライベートエンドポイントを使用する

[アーティクル]
11/19/2024

この記事では、プライベートエンドポイントを使用して、パブリックインターネットに公開せずに Azure Container Apps に安全にアクセスする方法について説明します。

プライベートエンドポイントでは、仮想ネットワーク (VNet) のプライベート IP アドレスが使用されます。このエンドポイントは、Azure Private Link を使用するサービスにプライベートかつ安全に接続します。

Azure Container Apps のプライベートエンドポイントでは、インバウンドの HTTP トラフィックのみがサポートされています。 TCP トラフィックはサポートされていません。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。
- 持っていない場合は、無料で作成できます。

コンテナーアプリを作成する

最初に Azure portal にサインインします。

上部の検索バーで「コンテナーアプリ」を検索します。
検索結果でコンテナーアプリを選択します。
[作成] ボタンを選択します。

[基本] タブの [コンテナーアプリの作成] ページで、次の値を入力します。

設定	アクション
サブスクリプション	Azure サブスクリプションを選択します。
Resource group	[新規作成] を選択し、「my-container-apps」と入力します。
コンテナーアプリ名	「my-container-app」と入力します。
デプロイソース	[コンテナーイメージ] を選択します。
リージョン	[米国中部] を選択します。

[Container Apps 環境の作成] フィールドで、[新規作成] リンクを選択します。
[基本] タブの [Container Apps 環境の作成] タブで、次の値を入力します。

設定値

環境名「my-environment」と入力します。

ゾーン冗長性 [無効] を選択します
[ネットワーク] タブを選択して仮想ネットワーク (VNet) を作成します。既定では、パブリックネットワークアクセスが有効になっており、プライベートエンドポイントは無効になっています。
パブリックネットワークアクセスを無効にする
[Use your own virtual network] (自分の仮想ネットワークを使用する) を [いいえ] に設定します。既存の VNet を使用することもできますが、プライベートエンドポイントはワークロードプロファイル環境でのみサポートされており、最小 CIDR 範囲が /27 以上のサブネットが必要です。サブネットのサイズ設定の詳細については、「ネットワークアーキテクチャの概要」を参照してください。
[プライベートエンドポイントを有効にする] を [いいえ] に設定します。
[プライベートエンドポイント名] を my-private-endpoint に設定します。
[プライベートエンドポイント仮想ネットワーク] フィールドで、[新規作成] リンクを選択します。
[仮想ネットワークの作成] ページで、[仮想ネットワーク] を my-private-endpoint-vnet に設定します。 [OK] を選択します。
[プライベートエンドポイント仮想ネットワークサブネット] フィールドで、[新規作成] リンクを選択します。
[サブネットの作成] ページで、[サブネット名] を my-private-endpoint-vnet-subnet に設定します。 [OK] を選択します。
[DNS] を [Azure プライベート DNS ゾーン] に設定します。
［作成］ を選択します
[基本] タブの [コンテナーアプリの作成] ページで、[次へ : コンテナー]> を選択します。
[コンテナー] タブの [コンテナーアプリの作成] ページで、[クイックスタートイメージを使用する] を選択します。
ページの下部にある [レビューと作成] を選択します。

エラーが見つからなかった場合は、 [作成] ボタンが有効になります。

エラーが発生した場合は、エラーが含まれているタブに赤い点が表示されます。適切なタブに移動します。エラーを含むフィールドは赤で強調表示されます。すべてのエラーを修正したら、 [確認と作成] をもう一度選択します。
［作成］ を選択します

"デプロイが進行中です" というメッセージを含むページが表示されます。デプロイが正常に完了すると、"デプロイが完了しました" というメッセージが表示されます。

コンテナーアプリエンドポイントを参照すると、コンテナーアプリ環境でパブリックアクセスが無効になっているため、ERR_CONNECTION_CLOSED が表示されます。代わりに、プライベートエンドポイントを使用してコンテナーアプリにアクセスします。

設定	値
環境名	「my-environment」と入力します。
ゾーン冗長性	[無効] を選択します

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。
- 持っていない場合は、無料で作成できます。
最新バージョンの Azure CLI。最新バージョンを実行していることを確認するには、次のコマンドを実行します。
```
az upgrade
```
Azure CLI 用の Azure Container Apps 拡張機能の最新バージョン。最新バージョンを実行していることを確認するには、次のコマンドを実行します。
```
az extension add --name containerapp --upgrade --allow-preview true
```
Note

2024 年 5 月以降、Azure CLI 拡張機能では、既定でプレビュー機能が有効になりません。 Container Apps のプレビュー機能にアクセスするには、--allow-preview true を使用して Container Apps 拡張機能をインストールします。

前提条件とセットアップの詳細については、「クイックスタート: containerapp up を使用して最初のコンテナーアプリをデプロイする」を参照してください。

環境変数の設定

以下の環境変数を設定します。

RESOURCE_GROUP="my-container-apps"
LOCATION="centralus"
ENVIRONMENT_NAME="my-environment"
CONTAINERAPP_NAME="my-container-app"
VNET_NAME="my-custom-vnet"
SUBNET_NAME="my-custom-subnet"
PRIVATE_ENDPOINT="my-private-endpoint"
PRIVATE_ENDPOINT_CONNECTION="my-private-endpoint-connection"
PRIVATE_DNS_ZONE="privatelink.${LOCATION}.azurecontainerapps.io"
DNS_LINK="my-dns-link"

Azure リソースグループの作成

コンテナーアプリのデプロイに関連するサービスを整理するためのリソースグループを作成します。

az group create \
    --name $RESOURCE_GROUP \
    --location $LOCATION

仮想ネットワークの作成

Azure Container Apps 環境では、コンテナーアプリのグループを囲むセキュリティ保護された境界が作成されます。同じ環境にデプロイされた Container Apps は、同じ仮想ネットワークにデプロイされ、同じ Log Analytics ワークスペースにログを書き込みます。

コンテナーアプリ環境に関連付ける Azure 仮想ネットワーク (VNet) を作成します。 VNet には、環境のデプロイに使用できるサブネットが必要です。既存の VNet を使用することもできますが、プライベートエンドポイントはワークロードプロファイル環境でのみサポートされており、最小 CIDR 範囲が /27 以上のサブネットが必要です。サブネットのサイズ設定の詳細については、「ネットワークアーキテクチャの概要」を参照してください。
```
az network vnet create \
    --resource-group $RESOURCE_GROUP \
    --name $VNET_NAME \
    --location $LOCATION \
    --address-prefix 10.0.0.0/16
```

VNet に関連付け、プライベートエンドポイントを含むサブネットを作成します。

az network vnet subnet create \
    --resource-group $RESOURCE_GROUP \
    --vnet-name $VNET_NAME \
    --name $SUBNET_NAME \
    --address-prefixes 10.0.0.0/21

サブネット ID を取得します。これを使用してプライベートエンドポイントを作成します。

SUBNET_ID=$(az network vnet subnet show \
    --resource-group $RESOURCE_GROUP \
    --vnet-name $VNET_NAME \
    --name $SUBNET_NAME \
    --query "id" \
    --output tsv)

環境の作成

前の手順でデプロイした VNet を使用して Container Apps 環境を作成します。プライベートエンドポイントは、新しい環境向けの既定の種類であるワークロードプロファイル環境でのみサポートされています。
```
az containerapp env create \
    --name $ENVIRONMENT_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION
```

環境 ID を取得します。これを使用して環境を構成します。

ENVIRONMENT_ID=$(az containerapp env show \
    --resource-group $RESOURCE_GROUP \
    --name $ENVIRONMENT_NAME \
    --query "id" \
    --output tsv)

環境のパブリックネットワークアクセスを無効にします。これはプライベートエンドポイントを有効にするために必要です。
```
az containerapp env update \
    --id $ENVIRONMENT_ID \
    --public-network-access Disabled
```

プライベートエンドポイントの作成

以前に作成した環境とサブネットにプライベートエンドポイントを作成します。

az network private-endpoint create \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --name $PRIVATE_ENDPOINT \
    --subnet $SUBNET_ID \
    --private-connection-resource-id $ENVIRONMENT_ID \
    --connection-name $PRIVATE_ENDPOINT_CONNECTION \
    --group-id managedEnvironments

プライベート DNS ゾーンを構成する

プライベートエンドポイントの IP アドレスを取得します。これを使用して、プライベート DNS ゾーンに DNS レコードを追加します。

PRIVATE_ENDPOINT_IP_ADDRESS=$(az network private-endpoint show \
    --name $PRIVATE_ENDPOINT \
    --resource-group $RESOURCE_GROUP \
    --query 'customDnsConfigs[0].ipAddresses[0]' \
    --output tsv)

環境の既定のドメインを取得します。これを使用して、プライベート DNS ゾーンに DNS レコードを追加します。

DNS_RECORD_NAME=$(az containerapp env show \
    --id $ENVIRONMENT_ID \
    --query 'properties.defaultDomain' \
    --output tsv | sed 's/\..*//')

プライベート DNS ゾーンを作成します。

az network private-dns zone create \
    --resource-group $RESOURCE_GROUP \
    --name $PRIVATE_DNS_ZONE

VNet とプライベート DNS ゾーンの間のリンクを作成します。

az network private-dns link vnet create \
    --resource-group $RESOURCE_GROUP \
    --zone-name $PRIVATE_DNS_ZONE \
    --name $DNS_LINK \
    --virtual-network $VNET_NAME \
    --registration-enabled false

プライベート DNS ゾーンにプライベートエンドポイントのレコードを追加します。

az network private-dns record-set a add-record \
    --resource-group $RESOURCE_GROUP \
    --zone-name $PRIVATE_DNS_ZONE \
    --record-set-name $DNS_RECORD_NAME \
    --ipv4-address $PRIVATE_ENDPOINT_IP_ADDRESS

コンテナーアプリをデプロイする

お使いの環境にコンテナーアプリをデプロイします。このコンテナーアプリは単にクイックスタートイメージを使用します。

コンテナーアプリエンドポイントを参照すると、コンテナーアプリ環境でパブリックアクセスが無効になっているため、ERR_CONNECTION_CLOSED が表示されます。代わりに、プライベートエンドポイントを使用してコンテナーアプリにアクセスします。

az containerapp up \
    --name $CONTAINERAPP_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT_NAME \
    --image mcr.microsoft.com/k8se/quickstart:latest \
    --target-port 80 \
    --ingress external \
    --query properties.configuration.ingress.fqdn

プライベートエンドポイント接続を検証する

このセクションでは、プライベートエンドポイントを使用して定義したコンテナーアプリにアクセスできるように、VNet に関連付けられた仮想マシンを作成します。

仮想マシン (VM) の作成

最初に Azure portal にサインインします。

上部の検索バーで「仮想マシン」を検索します。
検索結果から [仮想マシン] を選択します。
［作成］ を選択します

[仮想マシンの作成] ページの [基本] タブで、次の値を入力します。

設定	アクション
サブスクリプション	Azure サブスクリプションを選択します。
リソースグループ	[my-container-apps] を選択します。
仮想マシン名	「azurevm」と入力します。
リージョン	[米国中部] を選択します。
可用性のオプション	[インフラストラクチャ冗長は必要ありません] を選択します。
セキュリティの種類	[Standard] を選択します。
Image	[Windows Server 2022 Datacenter: Azure Edition - x64 Gen2] を選びます。
ユーザー名	「azureuser」と入力します。
Password	パスワードを入力します。
パスワードの確認	パスワードをもう一度入力します。
パブリック受信ポート	[なし] を選択します。

[ネットワーク] タブで、次の値を入力します。

設定	アクション
仮想ネットワーク	my-private-endpoint-vnet を選択します。
Subnet	my-private-endpoint-vnet-subnet (10.0.0.0/23) を選択します。
パブリック IP	[なし] を選択します。
NIC ネットワークセキュリティグループ	[Advanced] \(詳細設定) を選択します。

[確認および作成] を選択します。
［作成］ を選択します

環境変数の設定

以下の環境変数を設定します。

VM_NAME="azurevm"
VM_ADMIN_USERNAME="azureuser"

仮想マシン (VM) の作成

次のコマンドを実行します。

az vm create \
    --resource-group $RESOURCE_GROUP \
    --name $VM_NAME \
    --image Win2022Datacenter \
    --public-ip-address "" \
    --vnet-name $VNET_NAME \
    --subnet $SUBNET_NAME \
    --admin-username $VM_ADMIN_USERNAME

このコマンドを実行すると、VM の管理者パスワードの入力を求められます。

管理者のユーザー名は 1 から 20 文字にする必要があります。

管理者パスワードには次のような要件があります。

12 から 123 文字の長さにする必要があります
次のうちの 3 つを含める必要があります: 1 つの小文字、1 つの大文字、1 つの数字、および 1 つの特殊文字。

接続をテストする

最初に Azure portal にサインインします。
上部の検索バーで作成した VM を検索し、検索結果から選択します。
VM の [概要] ページで [接続] を選択した後、[Bastion で接続] を選択します。
[Bastion] ページで、[Bastion のデプロイ] を選択します。
VM を作成したときに使用したユーザー名とパスワードにユーザー名と VM パスワードを設定します。
[接続] を選択します。
接続後、VM で PowerShell を実行します。

PowerShell で次のコマンドを実行します。 <プレースホルダー> は実際の値に置き換えてください。

nslookup <CONTAINER_APP_ENDPOINT>

出力は次の例のようになり、<PLACEHOLDERS> は使用する値に置き換えられます。

Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    <ENVIRONMENT_DEFAULT_DOMAIN>.privatelink.<LOCATION>.azurecontainerapps.io

Address:  10.0.0.4
Aliases:  <CONTAINER_APP_ENDPOINT>

VM でブラウザーを開きます。
コンテナーアプリエンドポイントにブラウザーでアクセスします。クイックスタートコンテナーアプリイメージの出力が表示されます。

リソースをクリーンアップする

このアプリケーションを引き続き使用しない場合は、my-container-apps リソースグループを削除できます。これにより、Azure Container Apps インスタンスと関連するすべてのサービスが削除されます。また、Container Apps サービスによって自動的に作成され、カスタムネットワークコンポーネントを含むリソースグループも削除されます。

注意事項

次のコマンドを実行すると、指定されたリソースグループとそれに含まれるすべてのリソースが削除されます。指定したリソースグループにこのガイドの範囲外のリソースが存在する場合、それらも削除されます。

az group delete --name $RESOURCE_GROUP

次の方法で共有

Azure Container Apps 環境 (プレビュー) でプライベートエンドポイントを使用する

前提条件

コンテナーアプリを作成する

前提条件

環境変数の設定

Azure リソースグループの作成

仮想ネットワークの作成

環境の作成

プライベートエンドポイントの作成

プライベート DNS ゾーンを構成する

コンテナーアプリをデプロイする

プライベートエンドポイント接続を検証する

仮想マシン (VM) の作成

環境変数の設定

仮想マシン (VM) の作成

接続をテストする

リソースをクリーンアップする

フィードバック

その他のリソース

次の方法で共有

Azure Container Apps 環境 (プレビュー) でプライベート エンドポイントを使用する

前提条件

コンテナー アプリを作成する

前提条件

環境変数の設定

Azure リソース グループの作成

仮想ネットワークの作成

環境の作成

プライベート エンドポイントの作成

プライベート DNS ゾーンを構成する

コンテナー アプリをデプロイする

プライベート エンドポイント接続を検証する

仮想マシン (VM) の作成

環境変数の設定

仮想マシン (VM) の作成

接続をテストする

リソースをクリーンアップする

関連するコンテンツ

フィードバック

その他のリソース

Azure Container Apps 環境 (プレビュー) でプライベートエンドポイントを使用する

コンテナーアプリを作成する

Azure リソースグループの作成

プライベートエンドポイントの作成

コンテナーアプリをデプロイする

プライベートエンドポイント接続を検証する