Azure Backup のプライベートエンドポイントの作成と使用 (V1 エクスペリエンス)

[アーティクル]
04/16/2024

この記事では、Azure Backup のプライベートエンドポイントを作成するプロセスと、プライベートエンドポイントによってリソースのセキュリティが維持しやすくなるシナリオに関する情報を提供します。

注意

Azure Backup では、プライベートエンドポイントを作成するための新しいエクスペリエンスが提供されるようになりました。詳細については、こちらを参照してください。

開始する前に

プライベートエンドポイントの作成に進む前に、前提条件とサポートされるシナリオを確認してください。

これらの詳細は、コンテナーのプライベートエンドポイントを作成する前に満たす必要がある制限事項と条件を理解するのに役立ちます。

Backup 用のプライベートエンドポイントの作成の概要

このセクションでは、ご自身の仮想ネットワーク内に Azure Backup 用のプライベートエンドポイントを作成して使用するステップを説明します。

重要

このドキュメントに示されているのと同じ順序で手順に従うことを強くお勧めします。そうしないと、コンテナーにプライベートエンドポイントを使用するための互換性がなくなり、新しいコンテナーを使ってプロセスをやり直すことが必要になる可能性があります。

Recovery Services コンテナーを作成する

Backup 用のプライベートエンドポイントは、項目が保護されていない (または、以前に保護または登録を試みた項目がない) Recovery Services コンテナーに対してのみ作成できます。開始するには、新しいコンテナーを作成することをお勧めします。新しいコンテナーの作成の詳細については、「Recovery Services コンテナーを作成して構成する」を参照してください。

Azure Resource Manager クライアントを使用してコンテナーを作成する方法については、こちらのセクションを参照してください。これにより、マネージド ID が既に有効になっているコンテナーが作成されます。

コンテナーへのパブリックネットワークアクセスを拒否する

パブリックネットワークからのアクセスを拒否するようにコンテナーを構成できます。

次の手順に従います。

[値]>[ネットワーク] に移動します。
[パブリックアクセス] タブで、[拒否] を選択して、パブリックネットワークからアクセスできないようにします。
注意
- アクセスを拒否してもコンテナーにアクセスすることはできますが、プライベートエンドポイントを含まないネットワークとの間でデータをやり取りすることはできません。詳細については、Azure Backup のプライベートエンドポイントの作成に関するページを参照してください。
- リージョン間の復元が有効になっているコンテナーでは、パブリックアクセスの拒否は現在サポートされていません。
[適用] を選択して変更を保存します。

コンテナーのマネージド ID を有効にする

マネージド ID を使用すると、コンテナーでプライベートエンドポイントを作成して使用できます。このセクションでは、ご自身のコンテナーのマネージド ID を有効にする方法について説明します。

ご自身の Recovery Services コンテナー ->[ID] の順に移動します。
[状態] を [On] に変更し、 [保存] を選択します。
オブジェクト ID が生成されます。これがコンテナーのマネージド ID です。

Note

マネージド ID は、いったん有効にしたら (一時的にであっても) 無効にしないでください。マネージド ID を無効にすると、動作に一貫性がなくなる可能性があります。

必要なプライベートエンドポイントを作成するためのアクセス許可をコンテナーに付与する

Azure Backup に必要なプライベートエンドポイントを作成するには、コンテナー (コンテナーのマネージド ID) に次のリソースグループへのアクセス許可が必要です。

対象の VNet が含まれているリソースグループ
プライベートエンドポイントが作成されるリソースグループ
プライベート DNS ゾーンが含まれているリソースグループ (詳細については、こちらで説明しています)

これら 3 つのリソースグループの共同作成者ロールをコンテナー (マネージド ID) に付与することをお勧めします。次の手順では、特定のリソースグループに対してこれを実行する方法について説明します (これは、3 つのリソースグループそれぞれに対して実行する必要があります)。

リソースグループに移動し、左側のバーの [アクセス制御 (IAM)] に移動します。
[アクセス制御] に移動したら、 [ロールの割り当てを追加する] に進みます。
[ロールの割り当ての追加] ウィンドウで、 [ロール] として [共同作成者] を選択し、コンテナーの名前を [プリンシパル] として使用します。コンテナーを選択し、完了したら [保存] を選択します。

より詳細なレベルでアクセス許可を管理するには、「ロールとアクセス許可を手動で作成する」を参照してください。

Azure Backup のプライベートエンドポイントを作成する

このセクションでは、コンテナーのプライベートエンドポイントを作成する方法について説明します。

上記で作成したコンテナーに移動し、左側のナビゲーションバーの [プライベートエンドポイント接続] に移動します。上部にある [+ プライベートエンドポイント] を選択して、このコンテナーの新しいプライベートエンドポイントの作成を開始します。
[プライベートエンドポイントの作成] のプロセスに入ったら、プライベートエンドポイント接続を作成するための詳細を指定する必要があります。
1. [基本] :プライベートエンドポイントの基本的な詳細を入力します。リージョンは、バックアップするコンテナーおよびリソースと同じである必要があります。
2. リソース:このタブでは、接続を作成する対象の PaaS リソースを選択する必要があります。目的のサブスクリプションのリソースの種類から、 [Microsoft.RecoveryServices/vaults] を選択します。完了したら、 [リソース] として Recovery Services コンテナーの名前を選択し、AzureBackup を [対象サブリソース] としてします。
3. 構成:[構成] では、プライベートエンドポイントを作成する仮想ネットワークとサブネットを指定します。これは、VM が存在する Vnet です。
  
  プライベートに接続するには、目的の DNS レコードが必要です。ネットワークの設定に応じて、以下のいずれかを選択することができます。
  - プライベートエンドポイントをプライベート DNS ゾーンを統合する: 統合する場合は、 [はい] を選択します。
  - カスタム DNS サーバーを使用する: ご自分の DNS サーバーを使用する場合は、 [いいえ] を選択します。
  これらの両方の DNS レコードの管理については、後で説明します。
4. 必要に応じて、プライベートエンドポイントのタグを追加できます。
5. 詳細の入力が完了したら、 [確認および作成] に進みます。検証が完了したら、 [作成] を選択してプライベートエンドポイントを作成します。

プライベートエンドポイントを承認する

プライベートエンドポイントを作成しているユーザーが Recovery Services コンテナーの所有者でもある場合、上記で作成したプライベートエンドポイントは自動承認されます。それ以外の場合、プライベートエンドポイントが使用できるようになるには、その前にコンテナーの所有者によって承認される必要があります。このセクションでは、Azure portal を使用してプライベートエンドポイントを手動で承認する方法について説明します。

Azure Resource Manager クライアントを使用してプライベートエンドポイントを承認する方法については、「Azure Resource Manager クライアントを使用したプライベートエンドポイントの手動による承認」を参照してください。

Recovery Services コンテナーで、左側のバーの [プライベートエンドポイント接続] に移動します。
承認するプライベートエンドポイントを選択します。
上部バーにある [承認] を選択します。エンドポイント接続を拒否または削除する場合は、 [拒否] または [削除] を選択することもできます。

DNS レコードの管理

前述のように、プライベートに接続するには、プライベート DNS ゾーンまたはサーバーに目的の DNS レコードが必要です。プライベートエンドポイントを Azure プライベート DNS ゾーンと直接統合することも、カスタム DNS サーバーを使用してネットワークの設定に基づいてこれを実現することもできます。これは、次の 3 つのサービスすべてで行う必要があります: Backup、BLOB、キュー。

また、DNS ゾーンまたはサーバーが、プライベートエンドポイントを含むものとは異なるサブスクリプションに存在する場合は、「DNS サーバーまたは DNS ゾーンが別のサブスクリプションに存在する場合に DNS エントリを作成する」も参照してください。

プライベートエンドポイントを Azure プライベート DNS ゾーンと統合する場合

プライベートエンドポイントとプライベート DNS ゾーンを統合することを選択した場合は、必要な DNS レコードが Azure Backup によって追加されます。使用されているプライベート DNS ゾーンは、プライベートエンドポイントの [DNS 構成] で表示できます。これらの DNS ゾーンが存在しない場合は、プライベートエンドポイントの作成時に自動的に作成されます。

注意

コンテナーに割り当てられたマネージド ID には、Azure プライベート DNS ゾーンに DNS レコードを追加するためのアクセス許可が必要です。

ただし、次に示すように、仮想ネットワーク (バックアップ対象のリソースを含む) が 3 つすべてのプライベート DNS ゾーンと適切にリンクされていることを確認する必要があります。

Azure プライベート DNS ゾーンの DNS 構成

Note

プロキシサーバーを使用している場合、プロキシサーバーをバイパスするか、プロキシサーバー経由でバックアップを実行できます。プロキシサーバーのバイパス方法については、次のセクションに進んでください。プロキシサーバーを使用してバックアップする方法については、Recovery Services コンテナーのプロキシサーバーセットアップの詳細に関するページを参照してください。

プライベート DNS ゾーン内の仮想ネットワークリンクを検証する

上記のそれぞれのプライベート DNS ゾーン (Backup、BLOB、キュー) に対して、次の手順を行います。

左側のナビゲーションバーで、それぞれの [仮想ネットワークリンク] オプションに移動します。
次に示すように、プライベートエンドポイントを作成した仮想ネットワークのエントリを確認できます。
エントリが表示されない場合は、仮想ネットワークのリンクを、それを持っていないすべての DNS ゾーンに追加します。

カスタム DNS サーバーまたはホストファイルを使用する場合

カスタム DNS サーバーを使用している場合は、バックアップサービス、BLOB、キューの FQDN に条件付きフォワーダーを使用して、DNS 要求を Azure DNS (168.63.129.16) にリダイレクトできます。 Azure DNS はこれを Azure プライベート DNS ゾーンにリダイレクトします。このようなセットアップでは、こちらのセクションで説明されているように、Azure プライベート DNS ゾーンの仮想ネットワークリンクが存在することを確認します。

次の表に、Azure Backup に必要な Azure プライベート DNS ゾーンの一覧を示します。

ゾーンサービス

privatelink.<geo>.backup.windowsazure.com バックアップ

privatelink.blob.core.windows.net BLOB

privatelink.queue.core.windows.net キュー
Note

上のテキストで、<geo> はリージョンコードを示します (たとえば、米国東部と北ヨーロッパはそれぞれ eus と ne)。リージョンコードについては、次の一覧を参照してください。
カスタム DNS サーバーまたはホストファイルを使用していて、Azure プライベート DNS ゾーンのセットアップがない場合は、プライベートエンドポイントに必要な DNS レコードを DNS サーバーまたはホストファイルに追加する必要があります。
- バックアップサービス用: 作成したプライベートエンドポイントに移動し、[DNS の構成] に移動します。次に、バックアップ用 DNS ゾーンの "タイプ A" レコードとして表示される各 FQDN と IP のエントリを追加します。
  
  名前解決にホストファイルを使用している場合は、形式 <private ip><space><backup service privatelink FQDN> に従って、各 IP および FQDN のホストファイルで対応するエントリを作成します。
- BLOB とキュー用: Azure Backup が、マネージド ID のアクセス許可を使用して、BLOB とキューのプライベートエンドポイントを作成します。 BLOB とキューのプライベートエンドポイントは標準の名前付けパターンに従って、<the name of the private endpoint>_ecs または <the name of the private endpoint>_prot で始まり、末尾にそれぞれ _blob と _queue が付きます。
  
  上記のパターンに従って Azure Backup によって作成されたプライベートエンドポイントに移動し、[DNS の構成] に移動します。次に、バックアップ用 DNS ゾーンの "タイプ A" レコードとして表示される各 FQDN と IP のエントリを追加します。
  
  名前解決にホストファイルを使用している場合は、形式 <private ip><space><blob/queue FQDN> に従って、各 IP および FQDN のホストファイルで対応するエントリを作成します。

ゾーン	サービス
`privatelink.<geo>.backup.windowsazure.com`	バックアップ
`privatelink.blob.core.windows.net`	BLOB
`privatelink.queue.core.windows.net`	キュー

注意

Azure Backup は、バックアップデータ用のコンテナーに新しいストレージアカウントを割り当てる場合があるため、拡張機能またはエージェントはそれぞれのエンドポイントにアクセスする必要があります。登録とバックアップ後に DNS レコードを追加する方法の詳細については、Backup 用のプライベートエンドポイントを使用する方法に関するガイダンスを参照してください。

Backup 用のプライベートエンドポイントを使用する

ご自身の VNet 内のコンテナー用に作成したプライベートエンドポイントが承認されたら、バックアップと復元を実行するためにそれらの使用を開始できます。

重要

続行する前に、ドキュメントに記載された前述のすべての手順を確実に完了してください。まとめると、次のチェックリストの手順を完了している必要があります。

(新しい) Recovery Services コンテナーを作成しました
システム割り当てマネージド ID をコンテナーで使用できるようにしました
コンテナーのマネージド ID に、関連するアクセス許可を割り当てました
コンテナーのプライベートエンドポイントを作成しました
プライベートエンドポイントを承認しました (自動承認されない場合)
すべての DNS レコードが適切に追加されていることを確認します (以下のセクションで説明するカスタムサーバーの BLOB とキューのレコードは除く)

VM の接続を確認する

ロックダウンされたネットワーク内の VM で、次のことを確認します。

VM が Microsoft Entra ID にアクセスできる必要があります。
VM からバックアップ URL (xxxxxxxx.privatelink.<geo>.backup.windowsazure.com) で nslookup を実行して、接続を確保する。これにより、仮想ネットワークに割り当てられたプライベート IP が返されます。

バックアップの構成

上記のチェックリストを確認し、アクセスが正常に完了したら、コンテナーへのワークロードのバックアップを引き続き構成できます。カスタム DNS サーバーを使用している場合は、最初のバックアップを構成した後で使用可能な BLOB およびキューの DNS エントリを追加する必要があります。

最初の登録後の BLOB とキューの DNS レコード (カスタム DNS サーバーとホストファイルの場合のみ)

プライベートエンドポイントが有効になっているコンテナーに少なくとも 1 つのリソースのバックアップを構成した後、次に示すように、BLOB とキューに必要な DNS レコードを追加します。

リソースグループに移動し、作成したプライベートエンドポイントを検索します。
自分が指定したプライベートエンドポイント名以外に、2 つのプライベートエンドポイントが作成されていることがわかります。これらは、<the name of the private endpoint>_ecs で始まり、それぞれに _blob と _queue のサフィックスが付けられています。
これらのプライベートエンドポイントに移動します。 2 つのプライベートエンドポイントそれぞれの DNS 構成オプションで、FQDN および IP アドレスを持つレコードが表示されます。前に説明したものに加えて、これらの両方をカスタム DNS サーバーに追加します。ホストファイルを使用している場合は、次の形式に従って、各 IP および FQDN のホストファイルで対応するエントリを作成します。

<private ip><space><blob service privatelink FQDN>
<private ip><space><queue service privatelink FQDN>

上記に加えて、最初のバックアップの後に必要なもう 1 つのエントリがあります。これについては後で説明します。

Azure VM でのワークロードのバックアップと復元 (SQL と SAP HANA)

プライベートエンドポイントが作成され、承認されたら、クライアント側でプライベートエンドポイントを使用するために必要な変更はありません (SQL 可用性グループを使用している場合については、このセクションの後半で説明します)。セキュリティで保護されたネットワークからコンテナーへのすべての通信とデータ転送は、プライベートエンドポイントを介して実行されます。ただし、サーバー (SQL または SAP HANA) がボールトに登録された後にそのプライベートエンドポイントを削除した場合は、コンテナーをボールトに再登録する必要があります。それらに対する保護を停止する必要はありません。

最初のバックアップ後の BLOB の DNS レコード (カスタム DNS サーバーとホストファイルの場合のみ)

最初のバックアップを実行した後に (条件付きの転送を行わずに) カスタム DNS サーバーを使用していると、バックアップが失敗するおそれがあります。その場合は、以下の手順を行ってください。

リソースグループに移動し、作成したプライベートエンドポイントを検索します。
前に説明した 3 つのプライベートエンドポイントとは別に、<the name of the private endpoint>_prot から始まる名前で、_blob のサフィックスが付いている、4 番目のプライベートエンドポイントが表示されます。
この新しいプライベートエンドポイントに移動します。 DNS 構成オプションには、FQDN と IP アドレスを含むレコードが表示されます。前に説明したものに加えて、これらをプライベート DNS サーバーに追加します。

ホストファイルを使用している場合は、次の形式に従って、各 IP および FQDN のホストファイルで対応するエントリを作成します。

<private ip><space><blob service privatelink FQDN>

Note

この時点で、VM から nslookup を実行して、コンテナーのバックアップとストレージの URL で実行したときにプライベート IP アドレスに解決できるようになります。

SQL 可用性グループを使用する場合

SQL 可用性グループ (AG) を使用する場合は、次に示すように、カスタム AG DNS で条件付き転送をプロビジョニングする必要があります。

ドメインコントローラーにサインインします。
DNS アプリケーションの下で、必要に応じて、3 つすべての DNS ゾーン (Backup、BLOB、キュー) の条件付きフォワーダーをホスト IP 168.63.129.16 またはカスタム DNS サーバーの IP アドレスに追加します。次のスクリーンショットは、Azure ホスト IP に転送する場合を示しています。独自の DNS サーバーを使用している場合は、お使いの DNS サーバーの IP に置き換えます。

MARS エージェントと DPM サーバーを使用したバックアップと復元

MARS エージェントを使用してオンプレミスのリソースをバックアップする場合は、オンプレミスのネットワーク (バックアップ対象のリソースが含まれている) が Azure VNet (コンテナーのプライベートエンドポイントが含まれている) と確実にピアリングされているようにしてください。これにより、コンテナーを使用できるようになります。その後、MARS エージェントをインストールして、ここで詳しく説明しているように、バックアップを構成できます。ただし、バックアップ用のすべての通信が、ピアリングされたネットワークのみを介して行われるようにする必要があります。

MARS エージェントの登録後にそのボールト用のプライベートエンドポイントを削除した場合は、コンテナーをボールトに再登録する必要があります。それらに対する保護を停止する必要はありません。

Note

プライベートエンドポイントは、"DPM サーバー 2022 (10.22.123.0)" 以降でのみサポートされます。
プライベートエンドポイントは、"DPM サーバー 2022 MABS V4 (14.0.30.0)" 以降でのみサポートされます。

プライベートエンドポイントを削除する

プライベートエンドポイントを削除する方法については、こちらのセクションを参照してください。

関連トピック

Azure Resource Manager クライアントを使用して Recovery Services コンテナーを作成する

Azure Resource Manager クライアントを使用して、Recovery Services コンテナーを作成し、そのマネージド ID を有効にすることができます (後で説明するように、マネージド ID の有効化は必ず行う必要があります)。これを行うサンプルを次に示します。

armclient PUT /subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/Vaults/<vaultname>?api-version=2017-07-01-preview @C:\<filepath>\MSIVault.json

上記の JSON ファイルには、次の内容が含まれています。

要求 JSON:

{
  "location": "eastus2",
  "name": "<vaultname>",
  "etag": "W/\"datetime'2019-05-24T12%3A54%3A42.1757237Z'\"",
  "tags": {
    "PutKey": "PutValue"
  },
  "properties": {},
  "id": "/subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/Vaults/<vaultname>",
  "type": "Microsoft.RecoveryServices/Vaults",
  "sku": {
    "name": "RS0",
    "tier": "Standard"
  },
  "identity": {
    "type": "systemassigned"
  }
}

応答 JSON:

{
   "location": "eastus2",
   "name": "<vaultname>",
   "etag": "W/\"datetime'2020-02-25T05%3A26%3A58.5181122Z'\"",
   "tags": {
     "PutKey": "PutValue"
   },
   "identity": {
     "tenantId": "<tenantid>",
     "principalId": "<principalid>",
     "type": "SystemAssigned"
   },
   "properties": {
     "provisioningState": "Succeeded",
     "privateEndpointStateForBackup": "None",
     "privateEndpointStateForSiteRecovery": "None"
   },
   "id": "/subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/Vaults/<vaultname>",
   "type": "Microsoft.RecoveryServices/Vaults",
   "sku": {
     "name": "RS0",
     "tier": "Standard"
   }
 }

Note

この例で Azure Resource Manager クライアントを使用して作成されたコンテナーは、システム割り当てマネージド ID を使用して既に作成されています。

リソースグループに対するアクセス許可の管理

コンテナーのマネージド ID には、プライベートエンドポイントが作成されるリソースグループと仮想ネットワークにおいて、次のアクセス許可が必要です。

Microsoft.Network/privateEndpoints/* これは、リソースグループ内のプライベートエンドポイントで CRUD を実行するために必要です。リソースグループに割り当てられている必要があります。
Microsoft.Network/virtualNetworks/subnets/join/action これは、プライベート IP がプライベートエンドポイントに接続される仮想ネットワークに対して必要です。
Microsoft.Network/networkInterfaces/read これは、プライベートエンドポイント用に作成されたネットワークインターフェイスを取得するために、リソースグループに対して必要です。
プライベート DNS ゾーン共同作成者ロール: このロールは既に存在し、Microsoft.Network/privateDnsZones/A/* および Microsoft.Network/privateDnsZones/virtualNetworkLinks/read のアクセス許可を付与するために使用できます。

次のいずれかの方法を使用して、必要なアクセス許可を持つロールを作成できます。

ロールとアクセス許可を手動で作成する

次の JSON ファイルを作成し、セクションの最後にある PowerShell コマンドを使用してロールを作成します。

//PrivateEndpointContributorRoleDef.json

{
  "Name": "PrivateEndpointContributor",
  "Id": null,
  "IsCustom": true,
  "Description": "Allows management of Private Endpoint",
  "Actions": [
    "Microsoft.Network/privateEndpoints/*",
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000"
  ]
}

//NetworkInterfaceReaderRoleDef.json

{
  "Name": "NetworkInterfaceReader",
  "Id": null,
  "IsCustom": true,
  "Description": "Allows read on networkInterfaces",
  "Actions": [
    "Microsoft.Network/networkInterfaces/read"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000"
  ]
}

//PrivateEndpointSubnetContributorRoleDef.json

{
  "Name": "PrivateEndpointSubnetContributor",
  "Id": null,
  "IsCustom": true,
  "Description": "Allows adding of Private Endpoint connection to Virtual Networks",
  "Actions": [
    "Microsoft.Network/virtualNetworks/subnets/join/action"
  ],
  "NotActions": [],
  "AssignableScopes": [
    "/subscriptions/00000000-0000-0000-0000-000000000000"
  ]
}

 New-AzRoleDefinition -InputFile "PrivateEndpointContributorRoleDef.json"
 New-AzRoleDefinition -InputFile "NetworkInterfaceReaderRoleDef.json"
 New-AzRoleDefinition -InputFile "PrivateEndpointSubnetContributorRoleDef.json"

スクリプトを使用する

Azure portal で Cloud Shell を開始し、PowerShell ウィンドウで [ファイルのアップロード] を選択します。
次のスクリプトをアップロードします。VaultMsiPrereqScript
ホームフォルダー (例: cd /home/user) に移動します。
次のスクリプトを実行します。
```
./VaultMsiPrereqScript.ps1 -subscription <subscription-Id> -vaultPEResourceGroup <vaultPERG> -vaultPESubnetResourceGroup <subnetRG> -vaultMsiName <msiName>
```
パラメーターは次のとおりです。
- subscription: コンテナーのプライベートエンドポイントが作成されるリソースグループと、コンテナーのプライベートエンドポイントが接続されるサブネットを持つ SubscriptionId
- vaultPEResourceGroup: コンテナーのプライベートエンドポイントが作成されるリソースグループ
- vaultPESubnetResourceGroup: プライベートエンドポイントの参加先となるサブネットのリソースグループ
- vaultMsiName: コンテナーの MSI の名前 (VaultName と同じ)
認証を完了すると、スクリプトによって上記で指定されたサブスクリプションのコンテキストが取得されます。テナントに存在しない場合は適切なロールが作成され、コンテナーの MSI にロールが割り当てられます。

Azure PowerShell を使用してプライベートエンドポイントを作成する

プライベートエンドポイントの自動承認

$vault = Get-AzRecoveryServicesVault `
        -ResourceGroupName $vaultResourceGroupName `
        -Name $vaultName

$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
        -Name $privateEndpointConnectionName `
        -PrivateLinkServiceId $vault.ID `
        -GroupId "AzureBackup"  

$vnet = Get-AzVirtualNetwork -Name $vnetName -ResourceGroupName $VMResourceGroupName
$subnet = $vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq '<subnetName>'}


$privateEndpoint = New-AzPrivateEndpoint `
        -ResourceGroupName $vmResourceGroupName `
        -Name $privateEndpointName `
        -Location $location `
        -Subnet $subnet `
        -PrivateLinkServiceConnection $privateEndpointConnection `
        -Force

Azure Resource Manager クライアントを使用したプライベートエンドポイントの手動による承認

GetVault を使用して、ご自身のプライベートエンドポイントのプライベートエンドポイント接続 ID を取得します。
```
armclient GET /subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/vaults/<vaultname>?api-version=2017-07-01-preview
```
これにより、プライベートエンドポイント接続 ID が返されます。接続 ID の最初の部分を次のように使用して、接続の名前を取得できます。

privateendpointconnectionid = {peName}.{vaultId}.backup.{guid}

次のサンプルに示すように、プライベートエンドポイント接続 ID (および必要に応じて プライベートエンドポイント名) を応答から取得し、次の JSON および Azure Resource Manager URI 内でそれを置き換えて、状態を "Approved、Rejected、Disconnected" のいずれかに変更します。

armclient PUT /subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/Vaults/<vaultname>/privateEndpointConnections/<privateendpointconnectionid>?api-version=2020-02-02-preview @C:\<filepath>\BackupAdminApproval.json

JSON:

{
"id": "/subscriptions/<subscriptionid>/resourceGroups/<rgname>/providers/Microsoft.RecoveryServices/Vaults/<vaultname>/privateEndpointConnections/<privateendpointconnectionid>",
"properties": {
    "privateEndpoint": {
    "id": "/subscriptions/<subscriptionid>/resourceGroups/<pergname>/providers/Microsoft.Network/privateEndpoints/pename"
    },
    "privateLinkServiceConnectionState": {
    "status": "Disconnected",  //choose state from Approved/Rejected/Disconnected
    "description": "Disconnected by <userid>"
    }
}
}

プライベートエンドポイントを使用して Recovery Services コンテナー用のプロキシサーバーを設定する

Azure VM またはオンプレミスのマシン用のプロキシサーバーを構成するには、次の手順を実行します。

プロキシサーバーからアクセスする必要がある次のドメインを追加します。

サービス	ドメイン名	Port
Azure Backup	*.backup.windowsazure.com	443
Azure Storage	.blob.core.windows.net .queue.core.windows.net *.blob.storage.azure.net	443
Microsoft Entra ID 「Microsoft 365 Common および Office Online」のセクション 56 および 59 に記載されている更新されたドメイン URL。	.msftidentity.com、.msidentity.com、account.activedirectory.windowsazure.com、accounts.accesscontrol.windows.net、adminwebservice.microsoftonline.com、api.passwordreset.microsoftonline.com、autologon.microsoftazuread-sso.com、becws.microsoftonline.com、clientconfig.microsoftonline-p.net、companymanager.microsoftonline.com、device.login.microsoftonline.com、graph.microsoft.com、graph.windows.net、login.microsoft.com、login.microsoftonline.com、login.microsoftonline-p.com、login.windows.net、logincert.microsoftonline.com、loginex.microsoftonline.com、login-us.microsoftonline.com、nexus.microsoftonline-p.com、passwordreset.microsoftonline.com、provisioningapi.microsoftonline.com 20.190.128.0/18、40.126.0.0/18、2603:1006:2000::/48、2603:1007:200::/48、2603:1016:1400::/48、2603:1017::/48、2603:1026:3000::/48、2603:1027:1::/48、2603:1036:3000::/48、2603:1037:1::/48、2603:1046:2000::/48、2603:1047:1::/48、2603:1056:2000::/48、2603:1057:2::/48 .hip.live.com、.microsoftonline.com、.microsoftonline-p.com、.msauth.net、.msauthimages.net、.msecnd.net、.msftauth.net、.msftauthimages.net、*.phonefactor.net、enterpriseregistration.windows.net、management.azure.com、policykeyservice.dc.ad.msft.net	該当する場合。

プロキシサーバー内でこれらのドメインへのアクセスを許可し、プロキシサーバーが作成された VNET にプライベート DNS ゾーン (*.privatelink.<geo>.backup.windowsazure.com、*.privatelink.blob.core.windows.net、*.privatelink.queue.core.windows.net) をリンクするか、それぞれの DNS エントリと共にカスタム DNS サーバーを使用します。

プロキシサーバーが実行されている VNET と、プライベートエンドポイント NIC が作成された VNET をピアリングする必要があります。これにより、プロキシサーバーがプライベート IP に要求をリダイレクトできるようになります。
Note

上のテキストで、<geo> はリージョンコードを示します (たとえば、米国東部と北ヨーロッパはそれぞれ eus と ne)。リージョンコードについては、次の一覧を参照してください。

次の図は、必須の DNS エントリを含むプライベート DNS ゾーンに VNet がリンクされているプロキシサーバーがあるセットアップ (Azure プライベート DNS ゾーンの使用) を示しています。プロキシサーバーには独自のカスタム DNS サーバーを含めることもでき、上記のドメインは条件付きで 168.63.129.16 に転送できます。 DNS 解決にカスタム DNS サーバー/ホストファイルを使用している場合、DNS エントリの管理と保護の構成に関するセクションを参照してください。

DNS サーバーまたは DNS ゾーンが別のサブスクリプションに存在する場合に DNS エントリを作成する

このセクションでは、サブスクリプションに存在する DNS ゾーン、またはハブアンドスポークトポロジなど、Recovery Services コンテナーのプライベートエンドポイントを含むものとは異なるリソースグループを使用するケースについて説明します。プライベートエンドポイント (および DNS エントリ) の作成に使用されるマネージド ID には、プライベートエンドポイントが作成されるリソースグループに対してのみアクセス許可があるため、必須の DNS エントリも追加で必要になります。 DNS エントリを作成するには、次の PowerShell スクリプトを使用します。

Note

必要な結果を得るには、以下で説明するプロセス全体を参照してください。プロセスは、2 回繰り返す必要があります (初回検出中に 1 回 (通信ストレージアカウントに必要な DNS エントリを作成するため) と、初回バックアップ中に 1 回 (バックエンドストレージアカウントに必要な DNS エントリを作成するため))。

手順 1: 必須の DNS エントリを取得する

PrivateIP.ps1 スクリプトを使用して、作成する必要があるすべての DNS エントリを一覧表示します。

Note

構文内の subscription は、コンテナーのプライベートエンドポイントが作成されるサブスクリプションを示しています。

スクリプトを使用するための構文

./PrivateIP.ps1 -Subscription "<VaultPrivateEndpointSubscriptionId>" -VaultPrivateEndpointName "<vaultPrivateEndpointName>" -VaultPrivateEndpointRGName <vaultPrivateEndpointRGName> -DNSRecordListFile dnsentries.txt

サンプル出力

ResourceName                                                                 DNS                                                                       PrivateIP
<vaultId>-ab-pod01-fc1         privatelink.eus.backup.windowsazure.com         10.12.0.15
<vaultId>-ab-pod01-fab1        privatelink.eus.backup.windowsazure.com         10.12.0.16
<vaultId>-ab-pod01-prot1       privatelink.eus.backup.windowsazure.com         10.12.0.17
<vaultId>-ab-pod01-rec2        privatelink.eus.backup.windowsazure.com         10.12.0.18
<vaultId>-ab-pod01-ecs1        privatelink.eus.backup.windowsazure.com         10.12.0.19
<vaultId>-ab-pod01-id1         privatelink.eus.backup.windowsazure.com         10.12.0.20
<vaultId>-ab-pod01-tel1        privatelink.eus.backup.windowsazure.com         10.12.0.21
<vaultId>-ab-pod01-wbcm1       privatelink.eus.backup.windowsazure.com         10.12.0.22
abcdeypod01ecs114        privatelink.blob.core.windows.net       10.12.0.23
abcdeypod01ecs114        privatelink.queue.core.windows.net      10.12.0.24
abcdeypod01prot120       privatelink.blob.core.windows.net       10.12.0.28
abcdeypod01prot121       privatelink.blob.core.windows.net       10.12.0.32
abcdepod01prot110       privatelink.blob.core.windows.net       10.12.0.36
abcdeypod01prot121       privatelink.blob.core.windows.net       10.12.0.30
abcdeypod01prot122       privatelink.blob.core.windows.net       10.12.0.34
abcdepod01prot120       privatelink.blob.core.windows.net       10.12.0.26

手順 2: DNS エントリを作成する

上記に対応する DNS エントリを作成します。使用している DNS の種類に基づいて、DNS エントリを作成するための代替手段が 2 つあります。

ケース 1: カスタム DNS サーバーを使用している場合は、上記のスクリプトからレコードごとにエントリを手動で作成し、FQDN (ResourceName.DNS) が VNET 内のプライベート IP に解決されることを確認する必要があります。

ケース 2: Azure プライベート DNS ゾーンを使用している場合は、CreateDNSEntries.ps1 スクリプトを使用してプライベート DNS ゾーンに DNS エントリを自動的に作成できます。次の構文では、subscription にプライベート DNS ゾーンが存在します。

スクリプトを使用するための構文

/CreateDNSEntries.ps1 -Subscription <PrivateDNSZoneSubId> -DNSResourceGroup <PrivateDNSZoneRG> -DNSRecordListFile dnsentries.txt

プロセス全体の概要

この回避策を使用して Recovery Services コンテナーのプライベートエンドポイントを正しく設定するには、次の作業が必要です。

コンテナーのプライベートエンドポイントを作成します (この記事で既に説明したとおり)。
検出をトリガーします。通信ストレージアカウントの DNS エントリが存在しないため、SQL/HANA の検出は UserErrorVMInternetConnectivityIssue で失敗します。
スクリプトを実行して DNS エントリを取得し、このセクションで前述した通信ストレージアカウントの対応する DNS エントリを作成します。
検出を再度トリガーします。今回は、検出に成功します。
バックアップをトリガーします。このセクションで前述したように、バックエンドストレージアカウントの DNS エントリが存在しないため、SQL/HANA と MARS のバックアップが失敗する可能性があります。
スクリプトを実行して、バックエンドストレージアカウントの DNS エントリを作成します。
バックアップを再度トリガーします。今回は、バックアップが成功します。

よく寄せられる質問

既存の Recovery Services コンテナーのプライベートエンドポイントを作成できますか?

いいえ。プライベートエンドポイントは、新しい Recovery Services コンテナーに対してのみ作成できます。そのため、コンテナーには、保護されている項目があってはなりません。実際に、プライベートエンドポイント作成前にコンテナーに項目を保護することはできません。

コンテナーに項目を保護しようとしましたが失敗し、コンテナーには保護された項目がまだ含まれていません。このコンテナーのプライベートエンドポイントを作成できますか?

いいえ。コンテナーに項目を保護しようとしたことが過去にあってはなりません。

バックアップと復元のためにプライベートエンドポイントを使用しているコンテナーがあります。保護されているバックアップ項目がある場合でも、このコンテナーのプライベートエンドポイントを後で追加または削除できますか?

はい。コンテナーのプライベートエンドポイントと、そのコンテナーに保護されているバックアップ項目を既に作成済みの場合、必要に応じて、後でプライベートエンドポイントを追加または削除できます。

Azure Backup のプライベートエンドポイントを Azure Site Recovery にも使用することはできますか?

いいえ。Backup のプライベートエンドポイントは、Azure Backup にのみ使用できます。 Azure Site Recovery 用の新しいプライベートエンドポイントを作成する必要があります (そのサービスでサポートされている場合)。

この記事にある手順の 1 つを実行しないまま続行し、データソースを保護しました。それでもプライベートエンドポイントを使用できますか?

記事の手順に従わずに項目の保護まで続行した場合、コンテナーでプライベートエンドポイントを使用できなくなる可能性があります。このため、項目の保護に進む前に、このチェックリストを参照することをお勧めします。

Azure プライベート DNS ゾーンや統合されたプライベート DNS ゾーンを使用するのではなく、独自の DNS サーバーを使用できますか?

はい。独自の DNS サーバーを使用できます。ただし、このセクションで提示されているように、必要なすべての DNS レコードを確実に追加してください。

この記事の手順に従った後に、使用しているサーバーで追加の手順を実行する必要がありますか?

この記事で詳しく説明されているプロセスに従った後、バックアップと復元にプライベートエンドポイントを使用するために追加の作業を行う必要はありません。

次のステップ

Azure Backup のセキュリティ機能に関する記事を確認します。

次の方法で共有

Azure Backup のプライベート エンドポイントの作成と使用 (V1 エクスペリエンス)

開始する前に

Backup 用のプライベート エンドポイントの作成の概要

Recovery Services コンテナーを作成する

コンテナーへのパブリック ネットワーク アクセスを拒否する

コンテナーのマネージド ID を有効にする

必要なプライベート エンドポイントを作成するためのアクセス許可をコンテナーに付与する

Azure Backup のプライベート エンドポイントを作成する

プライベート エンドポイントを承認する

DNS レコードの管理

プライベート エンドポイントを Azure プライベート DNS ゾーンと統合する場合

プライベート DNS ゾーン内の仮想ネットワーク リンクを検証する

カスタム DNS サーバーまたはホスト ファイルを使用する場合

Backup 用のプライベート エンドポイントを使用する

VM の接続を確認する

バックアップの構成

最初の登録後の BLOB とキューの DNS レコード (カスタム DNS サーバーとホスト ファイルの場合のみ)

Azure VM でのワークロードのバックアップと復元 (SQL と SAP HANA)

最初のバックアップ後の BLOB の DNS レコード (カスタム DNS サーバーとホスト ファイルの場合のみ)

SQL 可用性グループを使用する場合

MARS エージェントと DPM サーバーを使用したバックアップと復元

プライベート エンドポイントを削除する

関連トピック

Azure Resource Manager クライアントを使用して Recovery Services コンテナーを作成する

リソース グループに対するアクセス許可の管理

ロールとアクセス許可を手動で作成する

スクリプトを使用する

Azure PowerShell を使用してプライベート エンドポイントを作成する

プライベート エンドポイントの自動承認

Azure Resource Manager クライアントを使用したプライベート エンドポイントの手動による承認

プライベート エンドポイントを使用して Recovery Services コンテナー用のプロキシ サーバーを設定する

DNS サーバーまたは DNS ゾーンが別のサブスクリプションに存在する場合に DNS エントリを作成する

手順 1: 必須の DNS エントリを取得する

手順 2: DNS エントリを作成する

プロセス全体の概要

よく寄せられる質問

既存の Recovery Services コンテナーのプライベート エンドポイントを作成できますか?

コンテナーに項目を保護しようとしましたが失敗し、コンテナーには保護された項目がまだ含まれていません。 このコンテナーのプライベート エンドポイントを作成できますか?

Azure Backup のプライベート エンドポイントを Azure Site Recovery にも使用することはできますか?

この記事にある手順の 1 つを実行しないまま続行し、データ ソースを保護しました。 それでもプライベート エンドポイントを使用できますか?

Azure プライベート DNS ゾーンや統合されたプライベート DNS ゾーンを使用するのではなく、独自の DNS サーバーを使用できますか?

この記事の手順に従った後に、使用しているサーバーで追加の手順を実行する必要がありますか?

次のステップ

フィードバック

その他のリソース

Azure Backup のプライベートエンドポイントの作成と使用 (V1 エクスペリエンス)

Backup 用のプライベートエンドポイントの作成の概要

コンテナーへのパブリックネットワークアクセスを拒否する

必要なプライベートエンドポイントを作成するためのアクセス許可をコンテナーに付与する

Azure Backup のプライベートエンドポイントを作成する

プライベートエンドポイントを承認する

プライベートエンドポイントを Azure プライベート DNS ゾーンと統合する場合

プライベート DNS ゾーン内の仮想ネットワークリンクを検証する

カスタム DNS サーバーまたはホストファイルを使用する場合

Backup 用のプライベートエンドポイントを使用する

最初の登録後の BLOB とキューの DNS レコード (カスタム DNS サーバーとホストファイルの場合のみ)

最初のバックアップ後の BLOB の DNS レコード (カスタム DNS サーバーとホストファイルの場合のみ)

プライベートエンドポイントを削除する

リソースグループに対するアクセス許可の管理

Azure PowerShell を使用してプライベートエンドポイントを作成する

プライベートエンドポイントの自動承認

Azure Resource Manager クライアントを使用したプライベートエンドポイントの手動による承認

プライベートエンドポイントを使用して Recovery Services コンテナー用のプロキシサーバーを設定する

既存の Recovery Services コンテナーのプライベートエンドポイントを作成できますか?

コンテナーに項目を保護しようとしましたが失敗し、コンテナーには保護された項目がまだ含まれていません。このコンテナーのプライベートエンドポイントを作成できますか?

Azure Backup のプライベートエンドポイントを Azure Site Recovery にも使用することはできますか?

この記事にある手順の 1 つを実行しないまま続行し、データソースを保護しました。それでもプライベートエンドポイントを使用できますか?