仮想ネットワーク内のバックエンドストレージに対するプライベートネットワークアクセスを構成する

[アーティクル]
11/20/2024

Note

Basic、Standard、Enterprise プランは、2025 年 3 月中旬以降非推奨になり、廃止期間は 3 年間です。 Azure Container Apps に移行することをお勧めします。詳細については、「Azure Spring Apps の廃止のお知らせ」を参照してください。

Standard 従量課金と専用プランは、2024 年 9 月 30 日以降に非推奨になり、6 か月後に完全にシャットダウンされます。 Azure Container Apps に移行することをお勧めします。詳細については、「Azure Spring Apps の Standard 従量課金および専用プランを Azure Container Apps に移行する」を参照してください。

この記事の適用対象:✅ Standard ✅ Enterprise

この記事では、仮想ネットワーク内のアプリケーション用バックエンドストレージへのプライベートネットワークアクセスを構成する方法について説明します。

仮想ネットワークインジェクションを使用して Azure Spring Apps サービスインスタンスにアプリケーションがデプロイされた場合、そのサービスインスタンスでは、バックエンドストレージを使用して JAR ファイルやログなど、関連する資産を格納します。このバックエンドストレージへのトラフィックのルーティングは、既定の構成ではパブリックネットワーク経由で行われますが、プライベートストレージアクセス機能を有効にすることもできます。この機能を使用すると、プライベートネットワーク経由でトラフィックを送信できるので、セキュリティが強化され、場合によってはパフォーマンスが向上します。

Note

この機能は、Azure Spring Apps 仮想ネットワークによって挿入されたサービスインスタンスにのみ適用されます。

Azure Spring Apps サービスインスタンスに対してこの機能を有効にする場合は、事前にサービスランタイムサブネット内に少なくとも 2 つの使用可能な IP アドレスがあることを確認してください。

この機能を有効または無効にすると、それに応じてバックエンドストレージに対する DNS 解決が変更されます。短い時間、デプロイでは更新中に、バックエンドストレージへの接続を確立できなかったり、それらのエンドポイントを解決できなかったりする場合があります。

この機能を有効にすると、バックエンドストレージにはプライベートにアクセスできるだけなので、使用するアプリケーションを仮想ネットワーク内にデプロイする必要があります。

前提条件

Azure サブスクリプション。サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。
Azure CLI: バージョン 2.56.0 以上。
仮想ネットワークにデプロイされた既存の Azure Spring Apps サービスインスタンス。詳しくは、「仮想ネットワークに Azure Spring Apps をデプロイする」をご覧ください。

新しい Azure Spring Apps インスタンスを作成する際にプライベートストレージアクセスを有効にする

仮想ネットワーク内で Azure Spring Apps インスタンスを作成する場合、プライベートストレージアクセスを有効にするには、次のコマンドを使用して引数 --enable-private-storage-access true を渡します。詳しくは、「仮想ネットワークに Azure Spring Apps をデプロイする」をご覧ください。

az spring create \
    --resource-group "<resource-group>" \
    --name "<Azure-Spring-Apps-instance-name>" \
    --vnet "<virtual-network-name>" \
    --service-runtime-subnet "<service-runtime-subnet>" \
    --app-subnet "<apps-subnet>" \
    --location "<location>" \
    --enable-private-storage-access true

Azure Spring Apps インスタンス用のプライベートリンクリソースをホストするために、リソースグループがもう 1 つ、サブスクリプション内に作成されます。このリソースグループの名前は ap-res_{service instance name}_{service instance region} です。

リソースグループには、プライベートリンクリソースのセットが 2 つデプロイされていて、いずれも次の Azure リソースで構成されています。

バックエンドストレージアカウントのプライベートエンドポイントを表すプライベートエンドポイント。
サービスランタイムサブネット内にプライベート IP アドレスを保持するネットワークインターフェイス (NIC)。
仮想ネットワーク用にデプロイされたプライベート DNS ゾーン。この DNS ゾーン内のストレージアカウント用に DNS A レコードも作成されます。

重要

リソースグループは、Azure Spring Apps サービスによって完全に管理されています。これらのリソースグループ内のリソースを手動で削除または変更しないでください。

既存の Azure Spring Apps インスタンス用のプライベートストレージアクセスを有効または無効にする

プライベートストレージアクセスを有効または無効にするには、次のコマンドを使用して、既存の Azure Spring Apps インスタンスを更新します。

az spring update \
    --resource-group "<resource-group>" \
    --name "<Azure-Spring-Apps-instance-name>" \
    --enable-private-storage-access <true-or-false>

中央 DNS 解決を使用する

一元化された DNS 管理アーキテクチャについては、「Private Link と DNS の大規模な統合」のハブアンドスポークネットワークアーキテクチャで説明されています。このアーキテクチャでは、すべてのプライベート DNS ゾーンが、Azure Spring Apps サービスインスタンスとは異なる中央仮想ネットワークで一元的にデプロイおよび管理されます。このアーキテクチャを使っている場合は、DNS の設定を適切に構成すると、プライベートストレージアクセスに対する中央 DNS 解決を有効にできます。このセットアップにより、次のことが保証されます。

プライベートエンドポイントが作成されると、対応する DNS レコードが一元化されたプライベート DNS ゾーンに自動的に追加されます。
DNS レコードは、プライベートエンドポイントのライフサイクルに従って管理されます。つまり、プライベートエンドポイントが削除されると自動的に削除されます。

以下のセクションでは、中央仮想ネットワークにプライベート DNS ゾーン privatelink.blob.core.windows.net が既に設定されているものとして、Azure Policy を使って Azure Storage BLOB の中央 DNS 解決を有効にする方法について説明します。 Azure Storage ファイルや、Private Link をサポートする他の Azure サービスにも、同じ原則が当てはまります。

ポリシー定義

プライベート DNS ゾーンに加えて、カスタム Azure Policy 定義を作成する必要があります。詳しくは、「チュートリアル: カスタムポリシー定義の作成」をご覧ください。プライベートエンドポイントを作成すると、この定義によって、中央プライベート DNS ゾーンに必要な DNS レコードが自動的に作成されます。

サービス固有の groupId を使ってプライベートエンドポイントリソースを作成すると、次のポリシーがトリガーされます。 groupId は、このプライベートエンドポイントが接続する必要のあるリモートリソースまたはサービスから取得したグループの ID です。この例では、Azure Storage BLOB の groupId は blob です。他の Azure サービスの groupId について詳しくは、「Azure プライベートエンドポイントのプライベート DNS ゾーンの値」の表の「サブリソース」列をご覧ください。

次に、ポリシーは、プライベートエンドポイント内で privateDNSZoneGroup のデプロイをトリガーします。これにより、プライベートエンドポイントと、パラメーターとして指定されたプライベート DNS ゾーンが関連付けられます。次の例では、プライベート DNS ゾーンのリソース ID は /subscriptions/<subscription-id>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/privateDnsZones/privatelink.blob.core.windows.net です。

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Network/privateEndpoints"
        },
        {
          "value": "[contains(resourceGroup().name, 'ap-res_')]",
          "equals": "true"
        },
        {
          "count": {
            "field": "Microsoft.Network/privateEndpoints/privateLinkServiceConnections[*].groupIds[*]",
            "where": {
              "field": "Microsoft.Network/privateEndpoints/privateLinkServiceConnections[*].groupIds[*]",
              "equals": "blob"
            }
          },
          "greaterOrEquals": 1
        }
      ]
    },
    "then": {
      "effect": "deployIfNotExists",
      "details": {
        "type": "Microsoft.Network/privateEndpoints/privateDnsZoneGroups",
        "evaluationDelay": "AfterProvisioningSuccess",
        "roleDefinitionIds": [
          "/providers/Microsoft.Authorization/roleDefinitions/4d97b98b-1d4f-4787-a291-c67834d212e7"
        ],
        "deployment": {
          "properties": {
            "mode": "incremental",
            "template": {
              "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
              "contentVersion": "1.0.0.0",
              "parameters": {
                "privateDnsZoneId": {
                  "type": "string"
                },
                "privateEndpointName": {
                  "type": "string"
                },
                "location": {
                  "type": "string"
                }
              },
              "resources": [
                {
                  "name": "[concat(parameters('privateEndpointName'), '/deployedByPolicy')]",
                  "type": "Microsoft.Network/privateEndpoints/privateDnsZoneGroups",
                  "apiVersion": "2020-03-01",
                  "location": "[parameters('location')]",
                  "properties": {
                    "privateDnsZoneConfigs": [
                      {
                        "name": "storageBlob-privateDnsZone",
                        "properties": {
                          "privateDnsZoneId": "[parameters('privateDnsZoneId')]"
                        }
                      }
                    ]
                  }
                }
              ]
            },
            "parameters": {
              "privateDnsZoneId": {
                "value": "[parameters('privateDnsZoneId')]"
              },
              "privateEndpointName": {
                "value": "[field('name')]"
              },
              "location": {
                "value": "[field('location')]"
              }
            }
          }
        }
      }
    }
  },
  "parameters": {
    "privateDnsZoneId": {
      "type": "String",
      "metadata": {
        "displayName": "privateDnsZoneId",
        "description": null,
        "strongType": "Microsoft.Network/privateDnsZones"
      }
    }
  }
}

ポリシー割り当て

ポリシー定義をデプロイした後、Azure Spring Apps サービスのインスタンスをホストしているサブスクリプションでポリシーを割り当て、パラメーターとして中央プライベート DNS ゾーンを指定します。

中央プライベート DNS ゾーンと Azure Spring Apps サービスインスタンスは、異なるサブスクリプションでホストされている場合があります。その場合は、プライベート DNS ゾーン内のプライベートエンドポイント DNS レコードの作成と管理を担当する、DeployIfNotExists ポリシーの割り当てによって作成されたマネージド ID に、プライベート DNS ゾーンがホストされているサブスクリプションとリソースグループのプライベート DNS ゾーン共同作成者ロールを必ず割り当ててください。詳しくは、「Azure Policy を使って準拠していないリソースを修復する」の「マネージド ID を構成する」セクションをご覧ください。

構成を終えた後、プライベートストレージアクセス機能を有効または無効にすると、プライベートエンドポイントの DNS レコードが、対応するプライベート DNS ゾーンに自動的に登録され、プライベートエンドポイントが削除されると削除されます。

追加のコスト

Azure Spring Apps インスタンスでは、この機能に対して料金は発生しません。ただし、この機能をサポートする、サブスクリプション内でホストされているプライベートリンクリソースに対しては料金が発生します。詳細については、「Azure Private Link の価格」と「Azure DNS の価格」を参照してください。

カスタム DNS サーバーを使用します。

カスタムドメインネームシステム (DNS) サーバーを使用していて、Azure DNS IP 168.63.129.16 がアップストリーム DNS サーバーとして構成されていない場合、プライベート IP アドレスを解決するには、リソースグループ ap-res_{service instance name}_{service instance region} に表示されているプライベート DNS ゾーンのすべての DNS レコードを手動でバインドする必要があります。

次の方法で共有

仮想ネットワーク内のバックエンドストレージに対するプライベートネットワークアクセスを構成する

前提条件

新しい Azure Spring Apps インスタンスを作成する際にプライベートストレージアクセスを有効にする

既存の Azure Spring Apps インスタンス用のプライベートストレージアクセスを有効または無効にする

中央 DNS 解決を使用する

ポリシー定義

ポリシー割り当て

追加のコスト

カスタム DNS サーバーを使用します。

次のステップ

フィードバック

その他のリソース

次の方法で共有

仮想ネットワーク内のバックエンド ストレージに対するプライベート ネットワーク アクセスを構成する

前提条件

新しい Azure Spring Apps インスタンスを作成する際にプライベート ストレージ アクセスを有効にする

既存の Azure Spring Apps インスタンス用のプライベート ストレージ アクセスを有効または無効にする

中央 DNS 解決を使用する

ポリシー定義

ポリシー割り当て

追加のコスト

カスタム DNS サーバーを使用します。

次のステップ

フィードバック

その他のリソース

仮想ネットワーク内のバックエンドストレージに対するプライベートネットワークアクセスを構成する

新しい Azure Spring Apps インスタンスを作成する際にプライベートストレージアクセスを有効にする

既存の Azure Spring Apps インスタンス用のプライベートストレージアクセスを有効または無効にする