【ITニュース解説】Configure secure access to workloads with Azure virtual networking services

デジタル環境や電気通信環境におけるネットワーキングとは、相互接続されたコンピューティングデバイスがデータ交換やリソース共有を行う仕組みを指す。これは、クラウドのような仮想環境でも同様であり、仮想ネットワーキングと呼ばれている。

Azureの仮想ネットワークサービスは、組織がセキュアでプライベートなクラウドネットワークを構築し、システムやアプリケーションなどのワークロードを保護し、信頼性の高い接続を確保することを目的としている。主な目的は、ネットワークの分離、トラフィックのフィルタリング、データの暗号化を通じて、機密データやアプリケーションを保護することだ。これらの対策は、コンプライアンスの維持、脅威の軽減、ハイブリッドおよびクラウドネイティブ環境におけるパフォーマンスの最適化を支援する。これらのサービスを活用することで、ネットワークトラフィックの制御、オンプレミスシステムとの統合、異常の監視が可能になり、DDoS攻撃やデータ漏洩といったリスクを低減できる。

具体的な目標として、仮想ネットワーク、サブネット、IPアドレスの作成と設定がある。また、ネットワークセキュリティグループ（NSG）やAzure Firewallを導入してトラフィックを制御し、DNSゾーンとレコードを設定して信頼性の高い名前解決を実現する。さらに、ピアリング、VPN、ExpressRouteといったセキュアな接続オプションを確立する。Zero Trustセキュリティ、セグメンテーション、監視に関するベストプラクティスを適用し、実際にデプロイとテストを通じて設定を検証することも含まれる。これらの目標は、ワークロードを効果的に保護する能力を示すものだ。

Azureの仮想ネットワークサービスには、セキュアな接続、管理、ワークロード保護のための重要なツールが多数含まれている。主要なサービスとしては、Azure Virtual Network (VNet) がある。これはAzure内に論理的に分離されたネットワークであり、サブネット、IPアドレス設定、セキュリティ機能との統合をサポートする。Network Security Groups (NSGs) は、仮想ファイアウォールとして機能し、送信元/宛先IPアドレス、ポート、プロトコルなどのルールに基づいてトラフィックをフィルタリングする。Azure Firewallは、一元的なポリシー適用、FQDNフィルタリング、脅威インテリジェンスを提供する管理型のクラウドネイティブファイアウォールだ。Azure DNSは、VNet内でのドメイン解決のためのパブリックおよびプライベートDNSホスティングを提供する。Azure Bastionは、パブリックIPアドレスなしで仮想マシンにRDP/SSHアクセスをセキュアに提供する。Private Linkは、プライベートエンドポイントを介してPaaSサービスへのセキュアなアクセスを可能にする。VPN GatewayとExpressRouteは、オンプレミスネットワークへの暗号化された、またはプライベートな接続を容易にする。Load BalancerとApplication Gatewayは、レイヤー4/7の機能でトラフィックをセキュアに分散させる。DDoS Protectionは、大量の分散型サービス拒否攻撃を緩和する。そして、Network WatcherとAzure Monitorは、診断、ログ記録、洞察を提供する。これらのサービスは、ID、デバイス、コンテキストに基づいてアクセスを許可するZero Trustモデルをサポートし、外部および内部の両方からの脅威からワークロードを保護するのに役立つ。

ここからは、これらの説明を具体的に示すために、Azure仮想ネットワークサービスを使用してワークロードへのセキュアなアクセスを構成するための手順をいくつか紹介する。

ウェブベースのアプリケーションをAzureに移行するシナリオを想定してみよう。最初のタスクは、仮想ネットワークとサブネットを構築することだ。また、仮想ネットワークをセキュアにピアリングする必要がある。このシナリオでは、2つの仮想ネットワークが必要となる。これらは、アプリケーションをホストする「app-vnet」と、ハブアンドスポークネットワークアーキテクチャをシミュレートするための「hub-vnet」だ。app-vnetには、ウェブサーバーをホストする「frontend」サブネットと、データベースサーバーをホストする「backend」サブネットの2つのサブネットが必要となる。hub-vnetには、ファイアウォール用のサブネットが1つだけ必要だ。この2つの仮想ネットワークは、仮想ネットワークピアリングを通じてセキュアかつプライベートに相互に通信できる必要がある。両方の仮想ネットワークは同じAzureリージョンに配置されるものとする。

このタスクを達成するために、仮想ネットワークの作成、サブネットの作成、仮想ネットワークピアリングの設定を行う。

Azure仮想ネットワークは、さまざまな種類のAzureリソースが相互に、インターネット、そしてオンプレミスネットワークとセキュアに通信できるようにする。仮想ネットワーク内のすべてのAzureリソースは、その仮想ネットワーク内のサブネットにデプロイされる。

まず、Azureポータル（https://portal.azure.com）にサインインする。検索バーで「仮想ネットワーク」を検索して選択し、「+ 作成」を選択してapp-vnetの構成を開始する。この仮想ネットワークには、frontendとbackendの2つのサブネットが必要だ。IPアドレスタブで、仮想ネットワークのIPアドレス空間を編集して検証し、サブネットを作成して名前を付ける。サブネットは、仮想ネットワークのデプロイ後に作成することも可能だ。シナリオに従って、backendサブネットも追加する。「サブネットの追加」をクリックし、サブネット名を入力し、IPアドレスの列を編集して追加する。すべてのサブネットのプロパティを確認し、作成を実行する。この手順で仮想ネットワークとサブネットが正常にデプロイされる。注意すべき点として、2つのサブネットが同じIPアドレスを持つことはできない。これは、通常のオンプレミスネットワークでのIP競合と同様に、サブネット間の通信に競合を引き起こす「重複」を引き起こすため、このような事態が発生しないようにする必要がある。

次に、hub-vnet仮想ネットワークを構成する。この仮想ネットワークには、ファイアウォール用のサブネットがある。同様に構成プロパティを入力し、サブネットを編集、保存、確認して作成する。これにより、もう1つの仮想ネットワークが正常にデプロイされる。デプロイされた仮想ネットワークとサブネットが正しく配置されたことを検証する。

最後に、仮想ネットワーク間にピア関係を構成する。仮想ネットワークピアリングを使用すると、Azure内の2つ以上の仮想ネットワークをシームレスに接続できる。まずapp-vnet仮想ネットワークを検索して選択する。設定ブレードで「ピアリング」を選択し、2つの仮想ネットワーク間にピアリングを追加する。これにより、両方の仮想ネットワーク間のセキュアな通信が確立される。

以上の手順により、Azure仮想ネットワークサービスを使って、ワークロードへのセキュアなアクセス環境を構築するための基盤が整う。