Azure ネットワーク基盤サービスは、Azure 内のリソースのコア接続を提供します。 ネットワーク基盤サービスには、 Azure Virtual Network、 Azure Private Link、 Azure DNS が含まれます。 これらのコア サービスは、互いに基づいて構築され、Azure ネットワークの基盤を提供します。
この記事では、Azure Virtual Network、Azure Private Link、Azure DNSを組み合わせて安全なAzureランディング ゾーンを形成する方法を理解するのに役立ちます。
次の表は、各基盤サービスとその使用方法をまとめたものです。
| Service | Purpose | いつ使用するか |
|---|---|---|
| Azure 仮想ネットワーク | Azureでのプライベート ネットワークとセグメント化 | Azureリソースの分離、ワークロードのセグメント化、オンプレミス ネットワークへの接続 |
| Azure Private Link | Azure プラットフォーム サービスへのプライベート接続 | パブリック インターネットに公開することなく、Azure PaaS サービス (Azure Storage や Azure SQL など) にアクセスする |
| Azure DNS | パブリックおよびプライベート ドメイン名のホスティングと解決 | ドメインの DNS ゾーンをホストし、仮想ネットワーク内からプライベート エンドポイントを解決する |
次の図は、基本的な Azure ネットワークでこれらのサービスを一緒に使用する方法の例です。
この記事では、これらの各 Azure 基本サービスの概要と、それらが連携する方法について説明します。 また、各基本サービスのより詳細なガイダンスへのリンクも提供されています。
Azure 仮想ネットワーク
Azure Virtual Networkを使用すると、クラウドにプライベート ネットワークを作成し、Azureリソース、インターネット、オンプレミス ネットワークを安全に接続できます。
次の例では、2 つの仮想ネットワークがプロビジョニングされています。
- ハブ仮想ネットワークは、Azure サービスをデプロイし、データ リソースへのアクセスを提供するために使用されます。 ハブは、必要に応じてオンプレミス ネットワークに接続されます。
- ハブは、ユーザーとの対話を処理する仮想マシンを備えたビジネス層サブネットと、データ ストレージとトランザクションを処理するアプリケーション サブネットを含むスポーク ネットワークとピアリングします。
仮想ネットワークの設計の詳細については、「仮想ネットワークの 計画」を参照してください。 仮想ネットワークを作成するには、「 Azure portal を使用して仮想ネットワークを作成する」を参照してください。
Azure Private Link
Azure Private Linkにより、仮想ネットワークからパブリック インターネットを経由しないサービスへのセキュリティで保護されたプライベート接続が可能になります。
次の図では、前に説明したスポーク仮想ネットワークのアプリ サブネットに プライベート エンドポイント がプロビジョニングされています。 プライベート エンドポイントは、Azure Private Link を利用するサービスに関連付けられたプライベート IP アドレス (この例では 10.1.1.135) です。
プライベート エンドポイントは、仮想ネットワーク内のサービスを安全に接続します。
Note
プライベート エンドポイントでは、作成時に DNS 統合オプションが提供されます。 プライベート DNS ゾーンとの統合を選択できます。この構成は柔軟なままです。デプロイ後に追加、削除、または変更できます。 この例では、プライベート DNS ゾーン統合を選択する方法を示します。これは、Azure DNS プライベート リゾルバーを使用しない仮想ネットワーク ワークロードに最適な単純な DNS セットアップを提供します。 詳細については、「Azure プライベート エンドポイントの DNS 統合」を参照してください。
プライベート リンクとプライベート エンドポイントの概要については、「 Azure Private Link サービスとは」 と 「プライベート エンドポイントとは」を参照してください。 プライベート エンドポイントを作成するには、「 プライベート エンドポイントの作成」を参照してください。
Azure DNS
Azure DNS では、クラウドベースのパブリックおよびプライベート ドメイン名のホスティングと解決が提供されます。 これには、3 つの DNS ホスティングおよび解決サービスと、DNS ベースのロード バランサーが含まれます。
- Azure パブリック DNS は、パブリック DNS ドメインの高可用性ホスティングを提供します。
- Azure プライベート DNS は、仮想ネットワーク用の DNS 名前付けおよび解決サービスであり、それらのネットワーク内でホストされているプライベート サービスです。
- Azure DNS プライベート リゾルバー は、VM ベースの DNS サーバーをデプロイせずに、オンプレミス環境からプライベート DNS ゾーンにクエリを実行できるようにする、フル マネージドの高可用性 DNS サービスです。
- Azure Traffic Managerは DNS ベースのトラフィック ロード バランサーであり、Azure リージョン間でパブリックに公開されているアプリケーションにトラフィックを分散できます。
Azure DNS では、仮想ネットワーク内からプライベート (インターネット) リソースとパブリック (インターネット) リソースの両方に対して内部 DNS 解決も提供されます。 既定では、仮想ネットワークは、Azure 提供の DNS (168.63.129.16) を使用して DNS レコードを解決するように構成されています。
スポーク仮想ネットワークにデプロイされ、プライベート IP 10.1.1.135が割り当てられた、Azure Blob Storage アカウントのプライベート エンドポイントを検討します。 このプライベート エンドポイントは、プライベート DNS ゾーン privatelink.blob.core.windows.netに関連付けられています。 ゾーン名は、リソースの種類 (この場合は BLOB ストレージ) によって決まります。 プライベート DNS ゾーンとプライベート エンドポイントの詳細については、「 Azure プライベート エンドポイントのプライベート DNS ゾーンの値」を参照してください。
また、privatelink.blob.core.windows.net ゾーンは、ハブ仮想ネットワークへの仮想ネットワーク リンクを使用して構成され、ハブ仮想ネットワーク内のすべてのリソースが、Azure提供の DNS (168.63.129.16) を使用してゾーンを解決し、完全修飾 DNS 名 (FQDN) を使用してプライベート エンドポイントへのアクセスを提供できるようにします。
既定では、プライベート エンドポイントは Azure 内からのみ解決できます。 オンプレミスのプライベート エンドポイントを介して公開されているストレージ アカウントを解決したり、Azure内からオンプレミスリソースを解決したりするには、ハブ仮想ネットワークで DNS プライベート リゾルバーを構成できます (表示されません)。
Azure DNS プライベート リゾルバーを使用したプライベート エンドポイント シナリオの詳細については、 プライベート エンドポイントの DNS 構成シナリオを参照してください。
DNS プライベート リゾルバーの構成の詳細については、「 Azure とオンプレミスのドメインを解決する」を参照してください。
Azure portal での操作
Azure portal では、 ネットワーク基盤サービスを開始するための一元的なエクスペリエンスが提供されます。 分離されたネットワークの作成、ネットワーク サービスの管理、リソースへのアクセスのセキュリティ保護、ハイブリッド名前解決の管理、ネットワークの問題のトラブルシューティングに役立つ情報とリンクが用意されています。
左側のサービス ツリーには、ネットワーク基盤サービスのサポート コンポーネントの理解、作成、および表示に役立つリソース リンクも用意されています。