Microsoft Azure は最近、2026年3月31日以降に作成された新しい仮想マシン (VM) に対するインターネットへの既定のアクセスのサポートを終了すると発表しました。詳細については、機能アップデート:新しく作成された仮想ネットワークの既定の動作はプライベートになります。
この変更は既存のVMには影響しませんが、この日付以降に構築されるVMでは、アウトバウンドのインターネットアクセスを許可するために明示的な設定が必要となります。
この変更は、具体的にはAzure仮想ネットワーク内のサブネットを対象としています。サブネットに接続されているすべてのリソースは、トラフィックを送信するために、そのサブネットで定義されたアウトバウンドアクセスを使用します。期限前に作成されたすべてのサブネットには、インターネットへの組み込みルートがあり、VMやその他のリソースがインターネットやその他のパブリック向けエンドポイントに接続できるようになっています。しかし、期限後に作成されたサブネットでは、これがデフォルトで有効になることはありません。この変更は、すべてのクラウド・リソースがデフォルトでセキュリティ保護されるようにするというMicrosoftのビジョンに沿ったものです。これを有効にするために、Azureでは、インスタンスレベルのパブリックIP、Azure Load Balancerのアウトバウンド規則、Azure NAT Gateway、ベンダーベースまたはAzureネイティブのファイアウォールソリューションなど、VMがパブリックエンドポイントに接続するためのいくつかのオプションを提供しています。
多くの大規模およびエンタープライズ顧客の場合、通常はAzureまたはサードパーティのファイアウォールを通じて、アウトバウンドトラフィックを管理するためのネットワークソリューションが導入されています。これらの顧客は、アウトバウンドアクセスを必要とするすべてのリソースサブネットが、期限後にこのファイアウォールで定義されていることを確認する必要があります。
中小企業（SME）の顧客の場合、Azureまたはサードパーティのファイアウォールが導入されていない可能性があります。そのような場合、Azure NAT Gatewayが最も適したソリューションとなるでしょう。これは、単一の仮想ネットワーク内のすべてのサブネットで使用でき、定義されたSNATパブリックIPアドレスを介してトラフィックをルーティングできるためです。
インスタンスレベルのパブリックIPや Load Balancer のアウトバウンド規則は、特に本番環境のワークロードにおいて重大なセキュリティ上の懸念を引き起こす可能性があるため、お勧めしません。
すべての顧客にとっての課題の一つは、どのサービスがアウトバウンドインターネットアクセスを必要とするかを判断することです。VMは内部サービスやAzureサービスにのみ接続すればよい場合もありますが、Microsoftが管理するサービスを含む多くのサービスは、パブリックエンドポイント経由でしかアクセスできません。Storage、Key Vault、SQLなどのAzure PaaS製品は、プライベートエンドポイントが構成されていない場合、多くはこのカテゴリに該当します。これは、Entra ID Joinを使用しているAVD管理者にとって特に重要です。Entraの参加プロセスは完全にパブリックエンドポイントに依存しており、インターネットアクセスがないとクラウド参加は失敗します。多くのVM拡張機能も、DSCや監視エージェントなど、インターネットベースのエンドポイントに依存しています。アウトバウンド接続が構成されていない場合、これらのVM拡張機能の展開は失敗し、自動化の停止やホストセットアップの失敗につながります。このような場合、ビルドプロセスを完了させるには、ホストが接続されているサブネットにインターネットアクセスが必要となります。
Nerdio Manager は、NATゲートウェイを作成し、それを目的のサブネットにアタッチするための スクリプト化されたアクション を提供します。
さらに、Nerdio Manager には、Azure仮想ネットワークのネットワークセキュリティグループ (NSG) をネイティブに作成およびリンクするためのネットワーク管理ツールが備わっています。詳細については Nerdio Manager を参照してください。
コメント (0件のコメント)