Latest / M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語） / Azure Private Linkをやさしく解説：Storage・SQLなどへのパブリックアクセスをやめてプライベートエンドポイントへ（AI吹き替え）

Transcript

Azure Private Linkをやさしく解説：Storage・SQLなどへのパブリックアクセスをやめてプライベートエンドポイントへ（AI吹き替え） · M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語）

• 0:00
  マイクロソフト365、コパイロット、AI、Azure、そして未来の働き方を形作る人々が集う10日間、準備はいいですか?
• 0:07
  今年の1月、M365コンがさらにパワーアップして帰ってきます。
• 0:12
  世界中のMVPや業界エキスパートによるライブセッション、実演でも実践的な知識を体験しましょう。
• 0:18
  ありきたりなスライドや、終わりのない専門用語の羅列はありません。
• 0:22
  コパイロットスタジオ、AIエージェント、ファブリック、セキュリティ、ガバナンス、自動化といった現実の課題に取り組みます。
• 0:29
  ITプロフェッショナル、開発者、ビジネスリーダーなど、それぞれの役割に合わせたセッションをご用意しています。
• 0:35
  10日間にわたり、様々な技術を学び、世界中のコミュニティとつながることができます。
• 0:40
  ライブ視聴で得た実践的な洞察を、ぜひ組織に持ち帰ってください。
• 0:45
  2027年1月、10日間、一つのマイクロソフトコミュニティ、登録受付を開始しました。
• 0:51
  m365コン.NETにアクセスして、今すぐ座席を確保しましょう。
• 0:55
  繰り返しになりますが、m365コン.NETです。
• 1:00
  m365コン.NETから参加して、1月のライブでお会いしましょう。
• 1:05
  M365FMのマイクロソフトナレッジナゲットへようこそ。
• 1:09
  ホストのミルコピロッチです。
• 1:10
  今日のトピックは、誰もが一度は耳にしたことがあるものの、明確に説明できる人が少ないものです。
• 1:14
  Azureプライベートリンクについてです。
• 1:16
  ストレージアカウントやSQLデータベースの設定時に見かけるオプションですが、実際には何をするものなのか、本当に必要なのでしょうか。
• 1:21
  多くの人が誤解している点があります。
• 1:23
  Azure内で実行されているサービスは自動的にプライベートであり、デフォルトでインターネットから遮断されていると思い込んでいることです。
• 1:29
  それは間違いであり、全くの事実ではありません。
• 1:32
  ほとんどのAzureパースサービス、ストレージSQL、キーハウルトなどは、最初からパブリックエンドポイントを備えています。
• 1:38
  つまり、正しいURLと資格情報さえあれば、インターネット上の誰でもアクセスできるということです。
• 1:43
  このエピソードの終わりには、プライベートリンクの正体、その存在理由、そしてトラフィックをパブリックインターネットから守る仕組みが理解できるはずです。
• 1:50
  分かりやすい例え話で詳しく解説します。
• 1:52
  マーケティング的な誇張や専門用語は抜きにして、従来の手法であるパブリックエンドポイントがどこにでも存在していた状況を説明します。
• 1:58
  まずは問題点から始めましょう。
• 1:59
  プライベートリンクが登場する前は、全てのAzureパースサービスにデフォルトでパブリックエンドポイントが付与されていました。
• 2:04
  ストレージアカウントを作成すると、Azureはミストラギアカウント、ブロブ、コア、Windows.netのようなURLを発行します。
• 2:10
  そのURLはパブリックIPアドレスに解決されます。
• 2:12
  インターネットに接続できる人なら誰でも、そこへ接続を試みることができてしまいます。
• 2:15
  さて、自身のAzure仮想ネットワーク内で仮想マシンを動かしていると想像してください。
• 2:19
  その仮想マシンが、ブロブストレージからファイルを読み取る必要があるとします。
• 2:22
  トラフィックはAzure内部に留まると思いますよね。
• 2:24
  どちらのリソースも同じクラウド内にあるのですから。
• 2:34
  これは、オフィスビルの一室にいて、同じ建物内にある備品室へ物を取りに行くようなものです。
• 2:39
  しかし、廊下を歩いていく代わりに、一度外に出て、建物の周りを一周し、別のドアから入り直さなければならないのです。
• 2:44
  これでは意味がありませんが、まさにそれが起こっていたことなのです。
• 2:46
  これは深刻な問題です。
• 2:48
  両方のリソースがマイクロソフトのデータセンター内にあるにも関わらず、データはパブリックインターネットを経由して移動しています。
• 2:53
  通信は暗号化されていますが、それでも開かれたインターネットにさらされています。
• 2:56
  それは、あなたが制御できないルーターやスイッチを通過しているのです。
• 3:00
  もし誰かがその通信を防止できれば、あなたが送っている内容を見られてしまう可能性があります。
• 3:03
  ここにはよくある誤解があります。
• 3:05
  多くの人が、自分のサブスクリプション内にあるのだから、プライベートだと考えています。
• 3:08
  仕組みはそうではありません。
• 3:10
  サブスクリプションは課金と管理の境界であり、ネットワークの境界ではないのです。
• 3:13
  デフォルトでは、Azureサービスはインターネットから到達可能な状態にあります。
• 3:16
  それらを守っているのは、認証と認可のレイヤー、キー、パスワード、ファイアウォールルールだけです。
• 3:21
  しかし、ネットワーク経路そのものはパブリックなのです。
• 3:23
  そこで、マイクロソフトはこれを見て、もっと良い方法があるはずだと考えました。
• 3:26
  そして彼らはそれを作り上げました。
• 3:28
  それがプライベートリンクです。
• 3:29
  その解決策が、ネットワークインターフェースカードとしてのプライベートエンドポイントです。
• 3:32
  プライベートリンクは全体的なサービスですが、理解すべき中心はプライベートエンドポイントです。
• 3:37
  これは、仮想ネットワーク内に存在し、パースサービスに接続する仮想ネットワークインターフェースカード、NIC、です。
• 3:44
  仕組みはこうです。
• 3:45
  ストレージアカウント用にプライベートエンドポイントを作成すると、
• 3:48
  Azureは仮想ネットワーク内にサブネットのプライベートIPを持つ仮想NICを構築します。
• 3:53
  そのNICは、バックエンドのプライベートリンクを通じてストレージアカウントに接続されます。
• 3:58
  そのため、VMの視点からは、ストレージアカウントが他のリソースと同じように、
• 4:02
  プライベートIPを持って自身のネットワーク内に存在しているように見えます。
• 4:05
  VMがストレージアカウントへ通信を送る際、その通信はNICのプライベートIPに到達し、
• 4:10
  パブリックインターネットではなく、マイクロソフトのバックボーンネットワークを経由します。
• 4:14
  Azureの内部インフラストラクチャから外に出ることはありません。
• 4:16
  オフィスビルの安全な廊下のようなものだと考えてください。
• 4:19
  外に出て建物の周りを歩く代わりに、ただ廊下を歩いて備品室に入るだけです。
• 4:23
  直通接続であり、遠回りは不要です。
• 4:25
  さて、ここで多くの人が見落としがちな微妙な点があります。
• 4:28
  プライベートエンドポイントを有効にしても、パブリックエンドポイントは自動的に無効になりません。
• 4:32
  両者は同時に存在することができます。
• 4:34
  プライベートエンドポイントを作成してもパブリック設定を変更しなければ、
• 4:37
  ストレージアカウントはインターネットからアクセス可能なままです。
• 4:39
  完全に遮断するには、パブリックネットワークアクセスを明示的に無効にする必要があります。
• 4:43
  多くの人は、プライベートエンドポイントを作成するだけで十分だと考えています。
• 4:46
  そうではありません。
• 4:46
  Azureに対して、プライベートアクセスのみを許可するよう指示する必要があります。
• 4:49
  ついでに、もう一つの誤解も解いておきましょう。
• 4:51
  プライベートリンクはVPNやExpressRouteとは異なります。
• 4:54
  これらは異なる問題を解決するものであり、比較については後ほど説明します。
• 4:57
  今のところは、プライベートリンクとはネットワーク全体を接続するのではなく、
• 5:01
  特定のサービスにアクセスするためのものだと理解しておいてください。
• 5:03
  さて、プライベートエンドポイントを作成し、
• 5:05
  VMからプライベートIP経由でストレージアカウントに到達できるようになりました。
• 5:07
  しかし、VMは実際にどのようにしてそのストレージアカウントを見つけるのでしょうか?
• 5:10
  以前は、パブリックURLを解決してパブリックIPを取得していました。
• 5:13
  現在はプライベートIPが必要です。
• 5:14
  それはどのように機能するのでしょうか?
• 5:16
  そこで登場するのがDNSです。
• 5:17
  次にそれを見ていきましょう。
• 5:19
  DNSこそが、すべてを機能させる秘密のソースです。
• 5:22
  プライベートエンドポイントが作成され、
• 5:23
  VMはプライベートIP経由でストレージアカウントに到達できます。
• 5:26
  しかし重要な点は、VMはそのIPを知らないということです。
• 5:29
  VMが知っているのは、例えば、ミストラギアカウントのようなストレージアカウントのURLだけです。
• 5:33
  ブログ、コア、Windows.netです。
• 5:35
  それが接続に使用する名前です。
• 5:37
  では、どのようにしてパブリックIPではなくプライベートIPを見つけるのでしょうか?
• 5:39
  ここでDNSが重要な役割を果たします。
• 5:41
  プライベートエンドポイントを作成し、
• 5:43
  推奨されるプライベートDNSゾーンとの統合を選択すると、
• 5:46
  Azureが自動的にゾーンを作成します。
• 5:48
  ブログストレージアカウントの場合、そのゾーンはプライバテリンクと呼ばれます。
• 5:52
  ブログ、コア、Windows.netです。
• 5:59
  巧妙な部分です。
• 6:00
  元のパブリックURLは解決されますが、
• 6:02
  直接パブリックIPを返す代わりに、プライベートゾーンを指すCNAMEレコードを返します。
• 6:07
  解決の連鎖は以下のようになります。
• 6:09
  VMがストレージアカウントのURLを要求すると、
• 6:11
  DNSはミストラギアカウントを指すCNAMEを返します。
• 6:14
  これは仮想ネットワークにリンクされたプライベートDNSゾーン内に存在するプライバテリンク、
• 6:19
  ブログ、コア、Windows.netです。
• 6:21
  DNSはそれをプライベートIPに解決し、
• 6:23
  VMはそのプライベートIPに接続するため、
• 6:25
  トラフィックは公衆インターネットに一切触れません。
• 6:27
  オフィスビルの受付を想像してみてください。
• 6:29
  誰かが入ってきて備品室の場所を聞いたとき、
• 6:32
  受付係はその人を外に出したりしません。
• 6:34
  建物内の正しい廊下を教えてくれるのです。
• 6:36
  プライベートDNSゾーンは建物から外に出ることなく、
• 6:39
  トラフィックを適切な場所へ誘導する受付係のようなものです。
• 6:41
  この仕組みがどう働くかは、VMがどこにあるかによって決まります。
• 6:43
  プライベートエンドポイントと同じ仮想ネットワーク内にある場合、
• 6:46
  プライベートDNSゾーンがリンクされるため、解決は自動的に行われます。
• 6:49
  ピアリングされたネットワークにある場合は、
• 6:51
  そのネットワークにもゾーンをリンクする必要があります。
• 6:53
  VPNやエクスプレスルートを介したオンプレミスのマシンの場合は少し手間がかかります。
• 6:57
  通常はDNSフォワーダーを設定するか、
• 6:59
  Azure DNS Private Resolverを使用して、
• 7:00
  クエリが確実にプライベートゾーンに到達するようにします。
• 7:02
  しかし、Azure内部のほとんどのシナリオでは、
• 7:04
  基本部分は自動的に処理されます。
• 7:06
  大規模な環境ではDNSは複雑になりがちですが、
• 7:09
  標準的なケース、つまりプライベートエンドポイントと同じ仮想ネットワークにあるVMであれば、
• 7:13
  Azureが自動的に処理してくれます。
• 7:14
  何も触る必要はありません。
• 7:16
  実際の例で、その動作を見てみましょう。
• 7:18
  実世界でのオークスルーです。
• 7:19
  Azure Storageでのプライベートリンク。
• 7:21
  具体的に見ていきましょう。
• 7:23
  Azure仮想ネットワーク内で仮想マシンが実行されているとします。
• 7:26
  そのVMは、Azure Blob Storageアカウントからファイルを取得する必要があります。
• 7:30
  よくある構成です。
• 7:31
  ユーザーのアップロードを保存するアプリや、
• 7:33
  コンテナーから読み取るデータ処理ジョブなどが考えられます。
• 7:35
  プライベートリンクがない場合、どうなるでしょうか。
• 7:38
  VMがストレージアカウントのパブリックURLを検索し、
• 7:40
  パブリックIPアドレスを取得します。
• 7:42
  トラフィックは仮想ネットワークから出てパブリックインターネットを経由し、
• 7:45
  再びAzureに戻ってストレージアカウントに到達します。
• 7:47
  この往復は不要なものです。
• 7:49
  どちらのリソースもAzure内にありますが、
• 7:51
  データはいずれにせよパブリックインターネットを経由する回り道をします。
• 7:53
  プライベートリンクを使用すると、
• 7:55
  ストレージアカウントのブロブサブリソースに対してプライベートエンドポイントをデプロイします。
• 7:58
  これがブロブデータを扱う具体的な部分です。
• 8:00
  Azureは仮想ネットワーク内にプライベートIPを持つ仮想NICを作成し、
• 8:04
  プライベートDNSゾーンを設定します。
• 8:06
  すると、先ほど説明したDNS解決の連鎖が始まります。
• 8:09
  今度はVMが同じURL、
• 8:10
  mistragiaccount.blog.coa.windows.netを解決すると、
• 8:13
  パブリックIPではなくプライベートIPが返されます。
• 8:16
  トラフィックはVMからプライベートエンドポイントへ、
• 8:18
  そしてマイクロソフトのバックボーンを経由してストレージアカウントへ流れます。
• 8:22
  Azureの内部ネットワークから出ることはありません。
• 8:24
  ここが重要なポイントです。
• 8:26
  アプリケーションは変更する必要がありません。
• 8:28
  接続文字列の修正も構成ファイルの更新も不要です。
• 8:30
  URLはそのままです。
• 8:32
  変わるのは、そのURLがどのように解決されるかという点だけです。
• 8:34
  アプリの観点からは、依然として同じストレージアカウントに接続していますが、
• 8:38
  裏側ではトラフィックの経路が全く異なっています。
• 8:40
  さらに徹底したい場合はパブリックエンドポイントを完全に無効にすることも可能です。
• 8:44
  つまり、ストレージアカウントにはプライベートエンドポイント経由でしかアクセスできなくなります。
• 8:47
  インターネットへの露出はゼロになります。
• 8:49
  外部から接続を試みることさえ誰にもできません。
• 8:51
  もう一つ注目すべき点があります。
• 8:53
  ストレージアカウントには複数のサブソースがあります。
• 8:55
  ブロブが一つですが、ファイル、テーブル、クエウェもあります。
• 8:58
  それぞれに独自のプライベートエンドポイントを設定できます。
• 9:00
  ブロブトラフィック用に一つ、ファイルトラフィック用に別のエンドポイントを用意できます。
• 9:03
  あるいは、ニーズに応じて全てを網羅する単一のエンドポイントを使用することも可能です。
• 9:06
  さて、他のAzure接続オプションと何が違うのか疑問に思うかもしれません。
• 9:09
  VPN、ExpressRoot、サービスエンドポイントです。
• 9:11
  どれも似たような響きに聞こえます。
• 9:13
  整理してみましょう。
• 9:14
  プライベートリンク対VPN対ExpressRoot対サービスエンドポイント。
• 9:18
  では、プライベートリンクはVPN、ExpressRoot、サービスエンドポイントと比べてどうでしょうか。
• 9:22
  どれも同じことをしているように聞こえますが、実際には異なる問題を解決しています。
• 9:25
  多くの場合、これらを組み合わせて使用します。
• 9:27
  まずはVPNから始めましょう。
• 9:29
  仮想プライベートネットワークは、パブリックインターネット経由でオンプレミスネットワークとAzureを接続します。
• 9:33
  これは、拠点とAzureの間に暗号化されたトンネルを作成します。
• 9:36
  トラフィックは確かに暗号化されますが、パブリックインターネット上を移動することに変わりはありません。
• 9:39
  トンネルは安全ですが、それが通る道はパブリックなものです。
• 9:42
  プライベートリンクはVPNを置き換えるものではなく、併用するものです。
• 9:45
  VPNでオフィスとAzureを接続し、その接続からプライベートリンクを使用してストレージアカウントにプライベートにアクセスする場合があります。
• 9:51
  ExpressRootは異なります。
• 9:53
  データセンターからAzureへの専用プライベート回線を提供します。
• 9:56
  トラフィックはパブリックインターネットに一切触れません。
• 9:59
  マイクロソフトのネットワークに直結する独自の専用道路を持つようなものです。
• 10:02
  しかし、ここが注意点です。
• 10:03
  ExpressRoot単体では、PaaSサービスへのプライベートアクセスは提供されません。
• 10:06
  ネットワークをAzureに接続しますが、ストレージアカウントには依然としてパブリックエンドポイントが存在します。
• 10:10
  ExpressRootとプライベートリンクを組み合わせることで、それらのサービスへの真のプライベートアクセスが可能になります。
• 10:15
  サービスエンドポイントは古い技術です。
• 10:17
  これにより、仮想ネットワークからのトラフィックのみが到達できるようにAzureサービスへのアクセスを制限できます。
• 10:21
  しかし、サービスには依然としてパブリックエンドポイントが存在します。
• 10:24
  このVNETからのトラフィックのみ許可する、というファイアウォールルールを追加しているにすぎません。
• 10:28
  エンドポイント自体は依然としてインターネットにさらされています。
• 10:31
  プライベートリンクの型が安全です。
• 10:32
  なぜならエンドポイントは真にVNET内部にあり、プライベートIPを持つからです。
• 10:35
  攻撃対象となるパブリックエンドポイントはありません。
• 10:37
  分かりやすい考え方をお教えしましょう。
• 10:39
  VPNはパブリックな道路を通る安全なトンネルです。
• 10:41
  ExpressRootはAzureに直結する専用道路です。
• 10:51
  これを使うべきでしょうか?
• 10:52
  場合によります。
• 10:53
  OfficeをAzureに接続するには、VPNまたはExpressRootという選択肢があります。
• 10:57
  PaaSサービスにプライベートにアクセスする場合、プライベートリンクがゴールドスタンダードです。
• 11:01
  さらに強力なセキュリティが必要な場合は、これらを組み合わせましょう。
• 11:03
  ExpressRootでトラフィックをAzureにプライベートに引き込み、そこからプライベートリンクで各サービスにプライベートにアクセスします。
• 11:08
  しかし、プライベートリンクはマイクロソフトのサービス専用ではありません。
• 11:11
  独自のアプリケーションでも利用可能です。
• 11:13
  プライベートリンクサービスを使えば、独自のプライベートエンドポイントをホストできます。
• 11:16
  ここで、多くの人が見落としていることがあります。
• 11:18
  プライベートリンクは、Azureサービスを利用するためだけのものというわけではありません。
• 11:21
  自社のアプリケーションを世界に公開するためにも使えるのです。
• 11:24
  それこそが、まさにプライベートリンクサービスが構築された理由です。
• 11:26
  SaaSプロバイダーであると仮定してみましょう。
• 11:28
  スタンダードロードバランサーの背後にある仮想マシンでアプリケーションを動かし、顧客がそこにアクセスするとします。
• 11:33
  従来の方法では、すべてをインターネットに公開するか、自社と顧客のネットワーク間にVPNを設定するかの二択でした。
• 11:38
  どちらにも大きな欠点があります。
• 11:40
  公開すればセキュリティリスクが高まり、VPNは管理や保守が複雑になります。
• 11:45
  プライベートリンクサービスがその問題を解決します。
• 11:47
  サービスを作成してスタンダードロードバランサーに接続すれば、顧客は自身の仮想ネットワーク内にプライベートエンドポイントを作成できるようになります。
• 11:53
  そのエンドポイントが、あなたのサービスに直接接続するのです。
• 11:56
  ピアリングもVPNも不要でパブリックへの露出は一切ありません。
• 11:59
  トラフィックは顧客のプライベートエンドポイントからマイクロソフトのバックボーンを通って、直接あなたのサービスへと送られます。
• 12:03
  インターネットには一切触れません。
• 12:05
  サービスには、マイアップ、GUID、リージョン、Azure、プライバテリンクサービスのような、グローバルで1位のエイリアスが割り当てられます。
• 12:11
  顧客はそのエイリアスを使って接続しますが、誰がそれを見ることができるかはあなたが完全に制御できます。
• 12:16
  RBACロールや特定のサブスクリプションで可視性を制限することも、エイリアスを持つ誰でも接続リクエストができるようにすることも可能です。
• 12:22
  接続リクエストはすべて手動で承認する必要があるため、誰が接続しているのかを常に正確に把握できます。
• 12:26
  SaaSプロバイダーにとってこれは大きな変革です。
• 12:29
  ファイアウォールルールの開放や複雑なVPN設定の管理に代わり、顧客にエイリアスを渡すだけになります。
• 12:34
  顧客がプライベートエンドポイントを作成し、あなたがそれを承認すれば完了です。
• 12:37
  これだけです。
• 12:38
  ただし、一つ制限があります。
• 12:40
  プライベートリンクサービスはスタンダードロードバランサーでのみ機能し、ベーシックでは利用できません。
• 12:43
  まだベーシックロードバランサーをお使いの場合は、まずアップグレードが必要です。
• 12:46
  それは、得られるセキュリティとシンプルさを考えれば小さな代償と言えるでしょう。
• 12:49
  さて、ここまでのセキュリティは素晴らしいものですが、コンプライアンス要件や予算面ではどう影響するのでしょうか。
• 12:54
  セキュリティ、コンプライアンス、そしてコストの検討事項です。
• 12:57
  プライベートリンクがコンプライアンス要件や予算にどのような意味を持つのか、詳しく見ていきましょう。
• 13:00
  まずはセキュリティの観点からです。
• 13:02
  プライベートリンクは、パブリックエンドポイントを排除することで攻撃対象領域を削減します。
• 13:06
  これが最大のメリットです。
• 13:07
  インターネット上のどこからでもアクセスできるストレージアカウントやSQLデータベースの代わりに、仮想ネットワーク内からのトラフィックにのみ応答するリソースを利用できます。
• 13:14
  スキャンされるパブリックIPや、探索されるオープンポートはありません。
• 13:17
  攻撃対象領域が劇的に縮小します。
• 13:19
  あまり注目されていませんが、もう一つの利点としてデータ漏洩防止が挙げられます。
• 13:22
  各プライベートエンドポイントは特定のインスタンスにのみ紐付きます。
• 13:25
  サービス全体やサブスクリプション内のすべてのストレージアカウントではなく、その一つだけが対象です。
• 13:29
  そのため、万が一仮想ネットワーク内のワークロードが侵害されても、そのプライベートエンドポイントを使って他のストレージアカウントに到達することはできません。
• 13:35
  許可したその一つのリソースにのみアクセスが制限されるからです。
• 13:38
  セキュリティチームにとってこの封じ込めは非常に重要です。
• 13:40
  コンプライアンスの観点でも、プライベートリンクは多くの要件を満たします。
• 13:43
  HIPAA、GDPR、PCIなどの規制では、機密データが公衆ネットワークを経由しないことが求められることがよくあります。
• 13:49
  プライベートリンクを使えば、それを明確に証明できます。
• 13:52
  トラフィックはマイクロソフトのバックボーン内に留まるため、関差ログを提示して、これが証明ですということができます。
• 13:56
  規制の厳しい業界にとっては、それだけでも投資する価値があります。
• 14:00
  さて、コストについて話をしましょう。
• 14:01
  驚かれる方が多い部分です。
• 14:03
  プライベートリンクは無料ではありません。
• 14:05
  プライベートエンドポイントごとに時間単位の料金がかかり、さらに経由するトラフィックに応じたデータ処理費用も発生します。
• 14:09
  利用状況によっては、ファイアウォールルールを備えたパブリックエンドポイントを使う場合に比べて2から3倍高くなることもあります。
• 14:14
  エンドポイントの数が多いと、すぐに金額が積み上がります。
• 14:17
  では、正直な見解をお伝えします。
• 14:19
  プライベートリンクが常に正しい選択とは限りません。
• 14:21
  機密データのない開発環境やテスト環境であれば、適切なファイアウォールルールを設定したパブリックエンドポイントで十分でしょう。
• 14:28
  インターネットからアクセスされる公開ウェブサイトをホストしている場合、プライベートリンクは役に立ちません。
• 14:32
  しかし、金融、医療、政府といった規制の厳しい業界の本番ワークロードでは、プライベートリンクが必須となることが多いのです。
• 14:37
  それは安全にビジネスを行うためのコストといえます。
• 14:40
  導入の前に、いくつか注意しておくべき落とし穴があります。
• 14:42
  導入時の落とし穴について、初心者が陥りがちな点です。
• 14:46
  無駄な苦労をしないようにアドバイスさせてください。
• 14:48
  初めてプライベートリンクを設定する際によくある間違いをいくつか紹介します。
• 14:51
  まず第一に、プライベートエンドポイントを作成した後は、パブリックエンドポイントを無効にする必要があります。
• 14:55
  これが最大の落とし穴です。
• 14:56
  多くの人がプライベートエンドポイントを作れば十分だと考えますが、そうではありません。
• 15:00
  パブリックエンドポイントはデフォルトで有効なままなので、トラフィックがインターネットを経由し続ける可能性があります。
• 15:04
  ネットワーク設定を開きパブリックネットワークアクセスを明示的にオフにする必要があります。
• 15:08
  この手順を飛ばすと、実際には何も保護できていないことになります。
• 15:11
  次に、オンプレミスのクライアント向けのDNS解決には追加の設定が必要です。
• 15:15
  VPNやエクスプレスルート経由で接続している社内マシンでは、プライベートエンドポイントのIPを自動的に解決できません。
• 15:21
  プライベートDNSゾーンはAzure仮想ネットワークにリンクされており、オンプレミスのDNSサーバーにはリンクされていないためです。
• 15:26
  DNSフォワーダーを設定するか、Azure Deans Private Resolverを使用して、クエリがプライベートゾーンに到達するようにする必要があります。
• 15:32
  多くの方がこれを見落とし、オンプレミスのアプリがなぜ接続できないのか不思議に思います。
• 15:36
  また、プライベートエンドポイントはリージョンをまたいで自動的に機能するわけではありません。
• 15:39
  仮想ネットワークが西ヨーロッパにあり、米国東部のストレージアカウント用にプライベートエンドポイントを作成しても機能しません。
• 15:45
  プライベートエンドポイントは、仮想ネットワークと同じリージョンにある必要があります。
• 15:48
  パースサービスは別のリージョンにあっても構いませんが、エンドポイント自体はVNETのリージョンと一致させる必要があります。
• 15:52
  計画を立てる際は注意してください。
• 15:54
  もう一つあります。
• 15:55
  ネットワークセキュリティグループはプライベートエンドポイントのNICに影響します。
• 15:59
  プライベートエンドポイントは、サブネット内に仮想NICを作成します。
• 16:01
  そのNICは、同じサブネット内の他のリソースと同様に、同じNSGルールの影響を受けます。
• 16:05
  NICサブネットへのトラフィックをブロックすると、エンドポイントは機能しなくなります。
• 16:08
  NSGルールで許可されていることを確認してください。