プライベートエンドポイントのネットワークポリシーを管理する

[アーティクル]
12/23/2024

既定では、仮想ネットワーク内のサブネットに対してネットワークポリシーは無効になっています。ユーザー定義ルートやネットワークセキュリティグループのサポートなどのネットワークポリシーを使用するには、サブネットに対してネットワークポリシーのサポートを有効にする必要があります。この設定は、サブネット内のプライベートエンドポイントにのみ適用され、サブネット内のすべてのプライベートエンドポイントに影響します。サブネット内の他のリソースについては、ネットワークセキュリティグループのセキュリティ規則に基づいてアクセスが制御されます。

ネットワークポリシーは、ネットワークセキュリティグループのみ、ユーザー定義ルートのみ、またはその両方に対して有効にすることができます。

ユーザー定義ルートに対してネットワークセキュリティポリシーを有効にする場合、仮想ネットワークアドレス空間のプレフィックス長以上のカスタムアドレスプレフィックス長 (サブネットマスク) を使用して、プライベートエンドポイントによって伝達される /32 の既定のルートを無効にすることができます。この機能は、プライベートエンドポイント接続要求がファイアウォールまたは仮想アプライアンスを確実に通過するようにしたい場合に役立つ可能性があります。それ以外の場合、/32 の既定のルートでは、プレフィックスの最長一致アルゴリズムに従って、トラフィックがプライベートエンドポイントに直接送信されます。

重要

プライベートエンドポイントルートを無効にするには、ユーザー定義ルートに、プライベートエンドポイントがプロビジョニングされている仮想ネットワークアドレス空間以下のサイズのプレフィックスが必要です。たとえば、ユーザー定義ルートの既定のルート (0.0.0.0/0) では、プライベートエンドポイントのアドレス空間よりも広い範囲が対象になるため、プライベートエンドポイントルートは無効になりません。プレフィックスの最長一致ルールでは、より限定的なアドレスプレフィックスの優先順位が高くなります。さらに、プライベートエンドポイントをホストするサブネットでネットワークポリシーが有効になっていることを確認します。

プライベートエンドポイントのネットワークポリシーを有効または無効にするには、次の手順を使用します。

Azure Portal
Azure PowerShell
Azure CLI
Azure Resource Manager テンプレート (ARM テンプレート)

以下の例では、myResourceGroup という名前のリソースグループ内でホストされている 10.1.0.0/24 という default サブネットを持つ myVNet という名前の仮想ネットワークの PrivateEndpointNetworkPolicies を有効または無効にする方法について説明します。

ネットワークポリシーを有効にする

プライベートエンドポイントのネットワークセキュリティグループおよびルートテーブルを構成するには、次の手順に従います。

Azure portal にサインインします。
ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 [仮想ネットワーク] を選択します。
[myVNet] を選択します。
myVNET の設定で、[サブネット] を選択します。
既定のサブネットを選択します。
[サブネットの編集] ペインの [プライベートエンドポイントのネットワークポリシー] で、必要に応じてネットワークセキュリティグループまたはルートテーブルのボックスをオンにします。
[保存] を選択します。

ポリシーを有効にするには、Get-AzVirtualNetwork、Set-AzVirtualNetworkSubnetConfig、および Set-AzVirtualNetwork を使用します。

$net = @{
    Name = 'myVNet'
    ResourceGroupName = 'myResourceGroup'
}
$vnet = Get-AzVirtualNetwork @net

$sub = @{
    Name = 'default'
    VirtualNetwork = $vnet
    AddressPrefix = '10.1.0.0/24'
    PrivateEndpointNetworkPoliciesFlag = 'Enabled'  # Can be either 'Disabled', 'NetworkSecurityGroupEnabled', 'RouteTableEnabled', or 'Enabled'
}
Set-AzVirtualNetworkSubnetConfig @sub

$vnet | Set-AzVirtualNetwork

ポリシーを有効にするには、az network vnet subnet update を使用します。 Azure CLI では、値 true または false のみをサポートします。ユーザー定義ルートまたはネットワークセキュリティグループに対してのみ、ポリシーを選択的に有効にすることはできません。

az network vnet subnet update \
  --disable-private-endpoint-network-policies false \
  --name default \
  --resource-group myResourceGroup \
  --vnet-name myVNet

このセクションでは、ARM テンプレートを使用して、サブネットのプライベートエンドポイントポリシーを有効にする方法について説明します。 privateEndpointNetworkPolicies で有効な値は、Disabled、NetworkSecurityGroupEnabled、RouteTableEnabled、Enabled です。

{ 
          "name": "myVNet", 
          "type": "Microsoft.Network/virtualNetworks", 
          "apiVersion": "2019-04-01", 
          "location": "WestUS", 
          "properties": { 
                "addressSpace": { 
                     "addressPrefixes": [ 
                          "10.1.0.0/16" 
                        ] 
                  }, 
                  "subnets": [ 
                         { 
                                "name": "default", 
                                "properties": { 
                                    "addressPrefix": "10.1.0.0/24", 
                                    "privateEndpointNetworkPolicies": "Enabled" 
                                 } 
                         } 
                  ] 
          } 
}

ネットワークポリシーを無効にする

Azure portal にサインインします。
ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 [仮想ネットワーク] を選択します。
[myVNet] を選択します。
myVNET の設定で、[サブネット] を選択します。
既定のサブネットを選択します。
[サブネットの編集] ペインの [プライベートエンドポイントのネットワークポリシー] で、[無効化] のボックスをオンにします。
[保存] を選択します。

ポリシーを無効にするには、Get-AzVirtualNetwork、Set-AzVirtualNetwork、および Set-AzVirtualNetworkSubnetConfig を使用します。

$net = @{
    Name = 'myVNet'
    ResourceGroupName = 'myResourceGroup'
}
$vnet = Get-AzVirtualNetwork @net

$sub = @{
    Name = 'default'
    VirtualNetwork = $vnet
    AddressPrefix = '10.1.0.0/24'
    PrivateEndpointNetworkPoliciesFlag = 'Disabled'
}
Set-AzVirtualNetworkSubnetConfig @sub

$vnet | Set-AzVirtualNetwork

ポリシーを無効にするには、az network vnet subnet update を使用します。

az network vnet subnet update \
  --disable-private-endpoint-network-policies true \
  --name default \
  --resource-group myResourceGroup \
  --vnet-name myVNet

このセクションでは、ARM テンプレートを使用して、サブネットのプライベートエンドポイントポリシーを無効にする方法について説明します。

{ 
          "name": "myVNet", 
          "type": "Microsoft.Network/virtualNetworks", 
          "apiVersion": "2019-04-01", 
          "location": "WestUS", 
          "properties": { 
                "addressSpace": { 
                     "addressPrefixes": [ 
                          "10.1.0.0/16" 
                        ] 
                  }, 
                  "subnets": [ 
                         { 
                                "name": "default", 
                                "properties": { 
                                    "addressPrefix": "10.1.0.0/24", 
                                    "privateEndpointNetworkPolicies": "Disabled" 
                                 } 
                         } 
                  ] 
          } 
}

重要

プライベートエンドポイントには、ネットワークポリシー機能、ネットワークセキュリティグループ、ユーザー定義ルートに関する制限があります。詳細については、制限に関するページを参照してください。

次のステップ

この攻略ガイドでは、Azure 仮想ネットワークでプライベートエンドポイントのネットワークポリシーを有効および無効にしました。 Azure portal、Azure PowerShell、Azure CLI、Azure Resource Manager テンプレートを使用して、プライベートエンドポイントのネットワークポリシーを管理する方法について学びました。

プライベートエンドポイントをサポートするサービスの詳細については、以下を参照してください。

プライベートエンドポイントとは

次の方法で共有

プライベートエンドポイントのネットワークポリシーを管理する

ネットワークポリシーを有効にする

ネットワークポリシーを無効にする

次のステップ

フィードバック

その他のリソース

次の方法で共有

プライベート エンドポイントのネットワーク ポリシーを管理する

ネットワーク ポリシーを有効にする

ネットワーク ポリシーを無効にする

次のステップ

フィードバック

その他のリソース

プライベートエンドポイントのネットワークポリシーを管理する

ネットワークポリシーを有効にする

ネットワークポリシーを無効にする