クイックスタート: Azure PowerShell を使用して Private Link サービスを作成する

[アーティクル]
06/27/2023

自分のサービスを参照する Private Link サービスを作成してみましょう。 Private Link には、Azure Standard Load Balancer の背後にデプロイされたサービスやリソースへのアクセス権を付与することができます。サービスのユーザーは、各自の仮想ネットワークからプライベートにアクセスすることができます

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
Azure Cloud Shell または Azure PowerShell。

このクイックスタートの手順では、Azure Cloud Shell で Azure PowerShell コマンドレットを対話型で実行します。 Cloud Shell でコマンドを実行するには、コードブロックの右上隅にある [Cloudshell を開く] を選択します。 [コピー] を選択してコードをコピーし、続いて Cloud Shell に貼り付けて実行します。 Azure portal 内から Cloud Shell を実行することもできます。

また、Azure PowerShell をローカルにインストールしてコマンドレットを実行することもできます。この記事の手順では、バージョン 5.4.1 以降の Azure PowerShell モジュールが必要です。 Get-Module -ListAvailable Az を実行して、インストールされているバージョンを見つけます。アップグレードする必要がある場合は、Azure PowerShell モジュールの更新を参照してください。

PowerShell をローカルで実行する場合は、Connect-AzAccount を実行して Azure に接続します。

リソースグループを作成する

Azure リソースグループとは、Azure リソースのデプロイと管理に使用する論理コンテナーです。

New-AzResourceGroup を使用して、次のようにリソースグループを作成します。

New-AzResourceGroup -Name 'test-rg' -Location 'eastus2'

内部ロードバランサーを作成します。

このセクションでは、仮想ネットワークと内部 Azure Load Balancer を作成します。

仮想ネットワーク

このセクションでは、Private Link サービスにアクセスするロードバランサーのホストとなる仮想ネットワークとサブネットを作成します。

New-AzVirtualNetwork を使用して仮想ネットワークを作成します。

## Create backend subnet config ##
$subnet = @{
    Name = 'subnet-1'
    AddressPrefix = '10.0.0.0/24'
}
$subnetConfig = New-AzVirtualNetworkSubnetConfig @subnet 

## Create the virtual network ##
$net = @{
    Name = 'vnet-1'
    ResourceGroupName = 'test-rg'
    Location = 'eastus2'
    AddressPrefix = '10.0.0.0/16'
    Subnet = $subnetConfig
}
$vnet = New-AzVirtualNetwork @net

Standard ロードバランサーを作成する

このセクションでは、ロードバランサーの以下のコンポーネントを作成および構成する方法について説明します。

フロントエンド IP プールに対し、New-AzLoadBalancerFrontendIpConfig を使用して、次のようにフロントエンド IP を作成します。ロードバランサーでは、この IP で受信トラフィックを受け取ります。
ロードバランサーのフロントエンドから送信されるトラフィック用に、New-AzLoadBalancerBackendAddressPoolConfig でバックエンドアドレスプールを作成します。このプールが、バックエンド仮想マシンのデプロイ先となります。
バックエンド VM インスタンスの正常性を調べる正常性プローブを Add-AzLoadBalancerProbeConfig で作成します。
複数の VM に対してどのようにトラフィックを分散させるかを定義するロードバランサー規則を Add-AzLoadBalancerRuleConfig で作成します。
New-AzLoadBalancer を使用して、次のようにパブリックロードバランサーを作成します。

## Place virtual network created in previous step into a variable. ##
$vnet = Get-AzVirtualNetwork -Name 'vnet-1' -ResourceGroupName 'test-rg'

## Create load balancer frontend configuration and place in variable. ##
$lbip = @{
    Name = 'frontend'
    PrivateIpAddress = '10.0.0.4'
    SubnetId = $vnet.subnets[0].Id
}
$feip = New-AzLoadBalancerFrontendIpConfig @lbip

## Create backend address pool configuration and place in variable. ##
$bepool = New-AzLoadBalancerBackendAddressPoolConfig -Name 'backend-pool'

## Create the health probe and place in variable. ##
$probe = @{
    Name = 'health-probe'
    Protocol = 'http'
    Port = '80'
    IntervalInSeconds = '360'
    ProbeCount = '5'
    RequestPath = '/'
}
$healthprobe = New-AzLoadBalancerProbeConfig @probe

## Create the load balancer rule and place in variable. ##
$lbrule = @{
    Name = 'http-rule'
    Protocol = 'tcp'
    FrontendPort = '80'
    BackendPort = '80'
    IdleTimeoutInMinutes = '15'
    FrontendIpConfiguration = $feip
    BackendAddressPool = $bePool
}
$rule = New-AzLoadBalancerRuleConfig @lbrule -EnableTcpReset

## Create the load balancer resource. ##
$loadbalancer = @{
    ResourceGroupName = 'test-rg'
    Name = 'load-balancer'
    Location = 'eastus2'
    Sku = 'Standard'
    FrontendIpConfiguration = $feip
    BackendAddressPool = $bePool
    LoadBalancingRule = $rule
    Probe = $healthprobe
}
New-AzLoadBalancer @loadbalancer

ネットワークポリシーを無効にする

プライベートリンクサービスを仮想ネットワークに作成する前に、設定 privateLinkServiceNetworkPolicies を無効にする必要があります。

Set-AzVirtualNetwork を使用してネットワークポリシーを無効にします。

## Place the subnet name into a variable. ##
$subnet = 'subnet-1'

## Place the virtual network configuration into a variable. ##
$net = @{
    Name = 'vnet-1'
    ResourceGroupName = 'test-rg'
}
$vnet = Get-AzVirtualNetwork @net

## Set the policy as disabled on the virtual network. ##
($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq $subnet}).privateLinkServiceNetworkPolicies = "Disabled"

## Save the configuration changes to the virtual network. ##
$vnet | Set-AzVirtualNetwork

プライベートリンクサービスを作成する

このセクションでは、前の手順で作成した Standard Azure Load Balancer を使用するプライベートリンクサービスを作成します。

New-AzPrivateLinkServiceIpConfig を使用してプライベートリンクサービスの IP 構成を作成します。
New-AzPrivateLinkService を使用してプライベートリンクサービスを作成します。

## Place the virtual network into a variable. ##
$vnet = Get-AzVirtualNetwork -Name 'vnet-1' -ResourceGroupName 'test-rg'

## Create the IP configuration for the private link service. ##
$ipsettings = @{
    Name = 'ipconfig-1'
    PrivateIpAddress = '10.0.0.5'
    Subnet = $vnet.subnets[0]
}
$ipconfig = New-AzPrivateLinkServiceIpConfig @ipsettings

## Place the load balancer frontend configuration into a variable. ##
$par = @{
    Name = 'load-balancer'
    ResourceGroupName = 'test-rg'
}
$fe = Get-AzLoadBalancer @par | Get-AzLoadBalancerFrontendIpConfig

## Create the private link service for the load balancer. ##
$privlinksettings = @{
    Name = 'private-link-service'
    ResourceGroupName = 'test-rg'
    Location = 'eastus2'
    LoadBalancerFrontendIpConfiguration = $fe
    IpConfiguration = $ipconfig
}
New-AzPrivateLinkService @privlinksettings

プライベートリンクサービスが作成され、トラフィックを受信できるようになります。トラフィックフローを確認する場合は、ご利用のアプリケーションを Standard ロードバランサーの背後に構成します。

プライベートエンドポイントの作成

このセクションでは、プライベートリンクサービスをプライベートエンドポイントにマップします。仮想ネットワークには、プライベートリンクサービス用のプライベートエンドポイントが含まれています。この仮想ネットワークには、プライベートリンクサービスにアクセスするリソースが含まれています。

プライベートエンドポイント仮想ネットワークを作成する

New-AzVirtualNetwork を使用して仮想ネットワークを作成します。

## Create backend subnet config ##
$subnet = @{
    Name = 'subnet-pe'
    AddressPrefix = '10.1.0.0/24'
}
$subnetConfig = New-AzVirtualNetworkSubnetConfig @subnet 

## Create the virtual network ##
$net = @{
    Name = 'vnet-pe'
    ResourceGroupName = 'test-rg'
    Location = 'eastus2'
    AddressPrefix = '10.1.0.0/16'
    Subnet = $subnetConfig
}
$vnetpe = New-AzVirtualNetwork @net

エンドポイントと接続を作成する

前に作成したプライベートリンクサービスの構成を後で使用できるように変数に配置するには、Get-AzPrivateLinkService を使用します。
接続構成を作成するには、New-AzPrivateLinkServiceConnection を使用します。
エンドポイントを作成するには、New-AzPrivateEndpoint を使用します。

## Place the private link service configuration into variable. ##
$par1 = @{
    Name = 'private-link-service'
    ResourceGroupName = 'test-rg'
}
$pls = Get-AzPrivateLinkService @par1

## Create the private link configuration and place in variable. ##
$par2 = @{
    Name = 'connection-1'
    PrivateLinkServiceId = $pls.Id
}
$plsConnection = New-AzPrivateLinkServiceConnection @par2

## Place the virtual network into a variable. ##
$par3 = @{
    Name = 'vnet-pe'
    ResourceGroupName = 'test-rg'
}
$vnetpe = Get-AzVirtualNetwork @par3

## Create private endpoint ##
$par4 = @{
    Name = 'private-endpoint'
    ResourceGroupName = 'test-rg'
    Location = 'eastus2'
    Subnet = $vnetpe.subnets[0]
    PrivateLinkServiceConnection = $plsConnection
}
New-AzPrivateEndpoint @par4 -ByManualRequest

プライベートエンドポイント接続を承認する

このセクションでは、前の手順で作成した接続を承認します。

接続を承認するには、Approve-AzPrivateEndpointConnection を使用します。

## Place the private link service configuration into variable. ##
$par1 = @{
    Name = 'private-link-service'
    ResourceGroupName = 'test-rg'
}
$pls = Get-AzPrivateLinkService @par1

$par2 = @{
    Name = $pls.PrivateEndpointConnections[0].Name
    ServiceName = 'private-link-service'
    ResourceGroupName = 'test-rg'
    Description = 'Approved'
    PrivateLinkResourceType = 'Microsoft.Network/privateLinkServices'
}
Approve-AzPrivateEndpointConnection @par2

プライベートエンドポイントの IP アドレス

このセクションでは、ロードバランサーとプライベートリンクサービスに対応するプライベートエンドポイントの IP アドレスについて説明します。

IP アドレスを取得するには、Get-AzPrivateEndpoint を使用します。

## Get private endpoint and the IP address and place in a variable for display. ##
$par1 = @{
    Name = 'private-endpoint'
    ResourceGroupName = 'test-rg'
    ExpandResource = 'networkinterfaces'
}
$pe = Get-AzPrivateEndpoint @par1

## Display the IP address by expanding the variable. ##
$pe.NetworkInterfaces[0].IpConfigurations[0].PrivateIpAddress

❯ $pe.NetworkInterfaces[0].IpConfigurations[0].PrivateIpAddress
10.1.0.4

リソースをクリーンアップする

必要がなくなれば、Remove-AzResourceGroup コマンドを使用して、リソースグループやロードバランサー、その他のリソースを削除できます。

Remove-AzResourceGroup -Name 'test-rg'

次のステップ

このクイックスタートでは次の作業を行います。

仮想ネットワークと内部 Azure Load Balancer を作成しました。
Private Link サービスを作成しました。

Azure プライベートエンドポイントについてさらに学習するには、次の記事に進んでください。

クイックスタート: Azure PowerShell を使用してプライベートエンドポイントを作成する

次の方法で共有

クイックスタート: Azure PowerShell を使用して Private Link サービスを作成する

前提条件

リソースグループを作成する

内部ロードバランサーを作成します。

仮想ネットワーク

Standard ロードバランサーを作成する

ネットワークポリシーを無効にする

プライベートリンクサービスを作成する

プライベートエンドポイントの作成

プライベートエンドポイント仮想ネットワークを作成する

エンドポイントと接続を作成する

プライベートエンドポイント接続を承認する

プライベートエンドポイントの IP アドレス

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

クイックスタート: Azure PowerShell を使用して Private Link サービスを作成する

前提条件

リソース グループを作成する

内部ロード バランサーを作成します。

仮想ネットワーク

Standard ロード バランサーを作成する

ネットワーク ポリシーを無効にする

プライベート リンク サービスを作成する

プライベート エンドポイントの作成

プライベート エンドポイント仮想ネットワークを作成する

エンドポイントと接続を作成する

プライベート エンドポイント接続を承認する

プライベート エンドポイントの IP アドレス

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

リソースグループを作成する

内部ロードバランサーを作成します。

Standard ロードバランサーを作成する

ネットワークポリシーを無効にする

プライベートリンクサービスを作成する

プライベートエンドポイントの作成

プライベートエンドポイント仮想ネットワークを作成する

プライベートエンドポイント接続を承認する

プライベートエンドポイントの IP アドレス