この記事では、Azure Storage コネクタと統合されたストレージ リソースでネットワーク セキュリティを有効にする方法について詳しく説明します。 Azureネットワーク セキュリティ境界 (NSP) は、PaaS リソースの論理分離境界を作成するAzureネイティブ機能です。 ストレージ アカウントやデータベースなどのリソースを NSP に関連付けることにより、簡略化されたルール セットを使用してネットワーク アクセスを一元的に管理できます。 詳細については、「 ネットワーク セキュリティ境界の概念」を参照してください。
前提条件
開始する前に、次のAzure Storage コネクタ リソースが既にデプロイおよび構成されている必要があります。
- Azure Storage アカウント — Azure Storage コネクタと統合されたストレージ アカウント。
- Azure Storage キュー — BLOB 作成イベント通知を受信するキュー。
- Event Grid システム トピック — ストレージ キューに BLOB 作成イベントをストリーミングするストレージ アカウントのシステム トピック。
これらのリソースをまだ作成していない場合は、「Azure Storage コネクタを設定してログをMicrosoft Sentinelにストリーミングする」を参照してください。
このセットアップを完了するには、次のアクセス許可があることを確認します。
- ネットワーク セキュリティ境界リソースを作成するためのサブスクリプション所有者または共同作成者。
- ストレージ アカウントを NSP に関連付けるストレージ アカウント共同作成者。
- ストレージ アカウント のユーザー アクセス管理者または所有者は、RBAC ロールを Event Grid マネージド ID に割り当てます。
- マネージド ID を有効にし、イベント サブスクリプションを管理するための Event Grid 共同作成者。
ネットワーク セキュリティを有効にする
Azure Storage コネクタと統合されたストレージ リソースのネットワーク セキュリティを有効にするには、ネットワーク セキュリティ境界 (NSP) を作成し、ストレージ アカウントをそれに関連付け、Event Grid やその他の必要なソースからのトラフィックを許可する規則を構成し、未承認のアクセスをブロックします。 ストレージ アカウントのネットワーク セキュリティ境界の構成を完了するには、次の手順に従います。
ネットワーク セキュリティ境界を作成する
Azure ポータルでネットワーク セキュリティ境界を作成するには、次の手順に従います。
Azure portalで、[ネットワーク セキュリティ境界] を検索します。
[作成] を選択します。
[サブスクリプション] と [リソース] グループを選択します。
「名前」と入力します(例:
storageblob-connectors-nspリージョンを選択 します。 リージョンは、ストレージ アカウントと同じリージョンである必要があります。
プロファイル名を入力するか、既定値をそのまま使用します。 プロファイルは、関連付けられているリソースに適用される規則のセットを定義します。 1 つの NSP 内に複数のプロファイルを含め、必要に応じて異なるルールを異なるリソースに適用できます。
[ 確認と作成 ] を選択し、[作成] を 選択します。
ストレージ アカウントをネットワーク セキュリティ境界に関連付ける
ストレージ アカウントをネットワーク セキュリティ境界に関連付けるには、次の手順に従います。
Azure portalで新しく作成したネットワーク セキュリティ境界リソースを開きます。
[ プロファイル] を選択し、NSP リソースの作成時に使用したプロファイル名を選択します。
[ 関連付けられているリソース] を選択します。
[追加] を選択します。
ストレージ アカウントを検索して追加し、選択 を選択します。
関連付け を選択します。
アクセス モードは既定で [遷移] に設定されているため、制限を適用する前に構成を検証できます。
Event Grid システムトピックで System-Assigned ID を有効にする
Event Grid システム トピックでシステム割り当てマネージド ID を有効にするには、次の手順に従います。
ストレージ アカウントから、[ イベント ] タブに移動します。
BLOB 作成イベントをストレージ キューにストリーミングするために使用する システム トピック を選択します。
![Azure portalのストレージ アカウントの [イベント] タブを示すスクリーンショット。](media/enable-storage-network-security/select-event-system-topic.png)
Identity を選択します。
[ システム割り当て ] タブで、[ 状態] を [オン] に設定します。
[保存] を選択し、マネージド ID のオブジェクト ID をコピーします。 このオブジェクト ID は、次のセクションで ストレージ キュー データ メッセージ送信者 ロールを割り当てるときに必要です。
![Azure portalのストレージ アカウントの [イベント] タブを示すスクリーンショット。](media/enable-storage-network-security/select-event-system-topic.png#lightbox)
ストレージ キューに RBAC アクセス許可を付与する
Event Grid システム トピックのマネージド ID に、ストレージ キューにメッセージを送信するアクセス許可を付与するには、次の手順を実行します。
ストレージ アカウントに移動します。
[Access Control (IAM)] を選択します。
[追加] を選択します。
[ストレージ キュー データ メッセージ送信者] ロール (スコープ: ストレージ アカウント) を検索して選択します。
[ メンバー ] タブを選択し、[ メンバーの選択] を選択します。
[ メンバーの選択 ] ウィンドウで、Event Grid システム トピックのシステム割り当てマネージド ID のオブジェクト ID を貼り付けます。
マネージド ID を選択し、次に[選択]を選択します。
[ 確認と割り当て] を選択して、ロールの割り当てを完了します。
イベント サブスクリプションでマネージド ID を有効にする
イベント サブスクリプションでマネージド ID を有効にするには、次の手順に従います。
Event Grid システム トピックを開きます。
キューを対象とするイベント サブスクリプションを選択します。
[ その他の設定 ] タブを選択します。
[マネージド ID の種類] を[システム割り当て] に設定します。
[保存] を選択します。
Event Grid サブスクリプション メトリックを確認して、この更新後にメッセージがストレージ キューに正常に発行されたことを検証します。
ネットワーク セキュリティ境界プロファイルで受信アクセス規則を構成する
Event Grid が未承認のアクセスをブロックしながらストレージ アカウントにメッセージを配信できるようにするには、次の規則が必要です。 ストレージ アカウントにデータを送信するか、ストレージ リソースにアクセスするシステムによっては、追加の受信規則を追加する必要がある場合があります。 シナリオとトラフィック パターンを確認して、必要な Event Grid ルールのみが必要か、追加の受信 NSP 規則のみが必要かを判断し、ルール伝達の時間を許可します。
規則 1: サブスクリプションを許可する (Event Grid 配信)
Event Grid の配信は、固定パブリック IP から発生したわけではありません。 NSP は、サブスクリプション ID を使用して配信を検証します。
[ネットワーク セキュリティ境界] に移動し、NSP を選択します。
[ プロファイル ] を選択し、ストレージ アカウントに関連付けられているプロファイルを選択します。
[ 受信アクセス規則 ] を選択し、[ 追加] を選択します。
![Azure portalの [受信アクセス規則] ページを示すスクリーンショット。](media/enable-storage-network-security/inbound-access-rules.png)
ルール名を入力します (例:
Allow-Subscription)。[ソースの種類] ドロップダウンから [サブスクリプション] を選択します。
[ 許可されるソース ] ドロップダウンからサブスクリプションを選択します。
[ 追加] を 選択してルールを作成します。
![Azure portalの [受信アクセス規則] ページを示すスクリーンショット。](media/enable-storage-network-security/inbound-access-rules.png#lightbox)
注:
作成後にルールが一覧に表示されるまでに数分かかることがあります。
規則 2: スキューバ サービスの IP 範囲を許可する
2 つ目の 受信アクセス規則を作成します。
ルール名を入力します (例:
Allow-Scuba)。[ソースの種類] ドロップダウンから [IP アドレス範囲] を選択します。
[download Azure service tags JSON files]\(サービス タグ JSON ファイルのダウンロード\) ページを開きます。
クラウドを選択します (例: Azureパブリック)。
[ ダウンロード ] ボタンを選択し、ダウンロードしたファイルを開いて IP 範囲の一覧を取得します。
Scubaサービス タグを見つけて、関連付けられている IPv4 範囲をコピーします。重要
IP 範囲から引用符を削除し、最後のエントリに末尾のコンマがないことを確認してから、[ 許可されたソース ] フィールドに貼り付けます。 サービス タグの範囲は、時間の経過に伴って更新されます。ルールを最新の状態に保つために定期的に更新します。
引用符と末尾のコンマを削除した後、IPv4 範囲を [許可されたソース] フィールドに貼り付けます。
[ 追加] を 選択してルールを作成します。
検証と適用
ルールを構成した後、ネットワーク セキュリティ境界の診断ログを監視して、正当なトラフィックが許可され、中断がないことを検証します。 ルールが必要なトラフィックを正しく許可していることを確認したら、移行モードから強制モードに切り替えて、未承認のアクセスをブロックできます。
切り替えモード
ネットワーク セキュリティ境界診断ログを有効にし、収集されたテレメトリを確認して、適用前に通信パターンを検証します。 詳細については、「 ネットワーク セキュリティ境界の診断ログ」を参照してください。
強制モードを適用する
検証が成功したら、次のようにアクセス モードを [適用] に設定します。
[ネットワーク セキュリティ境界] ページの [設定] で、[ 関連付けられているリソース] を選択します。
ストレージ アカウントを選択します。
[ アクセス モードの変更] を選択します。
[ 適用] を選択し、[ 保存] を選択します。
適用後の検証
NSP アクセス モードを [適用] に設定した後、構成ミスを示す可能性のあるブロックされたトラフィックについて、環境を注意深く監視します。 Event Grid システム トピックのサブスクリプション メトリックを確認することで、Event Grid 構成が影響を受けないことを検証します。
診断ログを使用して、発生した問題を調査して解決します。 ストレージ アカウントのメトリック (キューのイングレスとエラー) と Event Grid (配信成功) を確認して、エラーを検証します。 中断が発生した場合は、移行モードにロールバックし、診断ログを使用して調査を繰り返します。
ストレージ アカウントに対して Perimeter による保護を設定する (省略可能)
ストレージ アカウントを [セキュリティで保護された境界] に設定すると、ストレージ アカウントへのすべてのトラフィックがネットワーク セキュリティ境界規則に照らして評価され、パブリック ネットワーク アクセスがブロックされます。
ストレージ アカウントに移動します。
[ セキュリティとネットワーク] で、[ ネットワーク] を選択します。
[ パブリック ネットワーク アクセス] で、[管理] を選択 します。
[ 境界で保護された (最も制限あり)] を設定します。
[保存] を選択します。
![Azure portalでストレージ アカウントを [セキュリティで保護された境界] に設定する方法を示すスクリーンショット。](media/enable-storage-network-security/set-storage-networking.png#lightbox)
次の手順
この記事では、Azure Storage コネクタと統合されたストレージ リソースでネットワーク セキュリティを有効にする方法について説明しました。 詳細については、 ネットワーク セキュリティ境界に関 する記事を参照してください。
- Azure Storage データ接続ルール リファレンスでデータ接続ルールを確認してください。
- 「Azure Storage BLOB コネクタのトラブルシューティング」のコネクタ ネットワークに関する問題のトラブルシューティングを行います。