チュートリアル: オンプレミス ワークロード用に Azure Private Resolver を使用してプライベート エンドポイント DNS インフラストラクチャを作成する

Azure プライベート エンドポイントが作成されると、既定で名前解決に Azure プライベート DNS ゾーンが使用されます。 オンプレミスのワークロードがエンドポイントにアクセスするには、プライベート エンドポイントの DNS またはオンプレミスの DNS レコードをホストしている Azure 内の仮想マシンへのフォワーダーが必要でした。 Azure Private Resolver を使用すると、DNS 用に Azure に VM をデプロイしたり、オンプレミスの DNS サーバーでプライベート エンドポイントの DNS レコードを管理したりする必要性が軽減されます。

このチュートリアルでは、次の作業を行う方法について説明します。

前提条件

• アクティブなサブスクリプションが含まれる Azure アカウント。 無料でアカウントを作成できます。

Azure へのサインイン

Azure アカウントで Azure Portal にサインインします。

概要

このチュートリアルのリソースには、Azure Web アプリとシミュレートされたオンプレミス ネットワーク用の仮想ネットワークが使用されます。 2 つの仮想ネットワークを作成し、それらをピアリングして、オンプレミスと Azure の間の Express Route または VPN 接続をシミュレートします。 Azure Bastion ホストは、シミュレートされたオンプレミス ネットワークにデプロイされ、テスト用の仮想マシンに接続されます。 テスト用の仮想マシンは、Web アプリへのプライベート エンドポイント接続と DNS 解決をテストするために使用されます。

このチュートリアルでは、オンプレミスとクラウドのネットワーク インフラストラクチャをシミュレートするために、次のリソースを使用します。

仮想ネットワークと Azure Bastion ホストを作成する

次の手順では、リソース サブネット、Azure Bastion サブネット、Bastion ホストを含む仮想ネットワークを作成します。

1. ポータルで、[仮想ネットワーク] を検索して選択します。

2. [仮想ネットワーク] ページで、[+ 作成] を選択します。

3. [仮想ネットワークの作成] の [基本] タブで、以下の情報を入力するか選択します。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   Resource group	[新規作成] を選択します。 名前に「test-rg」と入力します。 を選択します。
   インスタンスの詳細
   Name	「vnet-1」と入力します。
   リージョン	[米国東部 2] を選択します。

   

4. [次へ] を選択して、[セキュリティ] タブに進みます。

5. [Azure Bastion] セクションで、[Bastion を有効にする] を選びます。

   Bastion では、ユーザーのブラウザーとプライベート IP アドレスを使って、Secure Shell (SSH) またはリモート デスクトップ プロトコル (RDP) 経由で仮想ネットワーク内の VM に接続します。 VM には、パブリック IP アドレス、クライアント ソフトウェア、または特別な構成は必要ありません。 詳細については、Azure Bastion に関するページを参照してください。

   Note

   時間単位の価格は、送信データの使用状況に関係なく、Bastion がデプロイされた時点から開始します。 詳しくは、「価格」および「SKU」を参照してください。 チュートリアルまたはテストの一環で Bastion をデプロイする場合は、使用終了後にこのリソースを削除することをお勧めします。

6. [Azure Bastion] で、次の情報を入力するか選びます。

   設定	値
   Azure Bastion ホスト名	「bastion」と入力します。
   Azure Bastion のパブリック IP アドレス	[Create a public IP address] (パブリック IP アドレスを作成する) を選びます。 [名前] に「public-ip-bastion」と入力します。 を選択します。

   

7. [次へ] を選択して、[IP アドレス] タブに進みます。

8. [サブネット] のアドレス空間ボックスで、既定のサブネットを選択します。

9. [サブネットの編集] で次の情報を入力または選択します。

   設定	Value
   サブネットの目的	既定値の [既定値] のままにします。
   名前	「subnet-1」と入力します。
   IPv4
   IPv4 アドレス範囲	既定値である 10.0.0.0/16 のままにします。
   開始アドレス	既定値の 10.0.0.0 のままにします。
   サイズ	既定値の [/24 (256 アドレス)] のままにします。

   

10. [保存] を選択します。

11. ウィンドウの下部にある [確認および作成] を選びます。 検証に合格した場合は、[作成] を選択します。

Bastion ホストのデプロイが完了するまで数分かかります。 Bastion ホストは、チュートリアルの後半で、"オンプレミス" 仮想マシンに接続してプライベート エンドポイントをテストするために使用されます。 仮想ネットワークが作成されたら、次の手順に進めます。

クラウド仮想ネットワークを作成する

前の手順を繰り返して、Azure Web アプリ プライベート エンドポイント用のクラウド仮想ネットワークを作成します。 クラウド仮想ネットワークの値を次の値に置き換えます。

仮想ネットワーク ピアを作成する

次の手順を使用して、vnet1 と vnet2 の間に双方向ネットワーク ピアを作成します。

1. ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. [vnet-1] を選択します。

3. [設定] で [ピアリング] を選択します。

4. [+ 追加] を選択します。

5. [ピアリングの追加] で、次の情報を入力するか選びます。

   設定	Value
   リモート仮想ネットワークの概要
   [Peering link name](ピアリング リンク名)	「vnet-2-to-vnet-1」と入力します。
   仮想ネットワークのデプロイ モデル	既定値の [リソース マネージャー] のままにします。
   サブスクリプション	サブスクリプションを選択します。
   仮想ネットワーク	[vnet-2] を選択します。
   リモート仮想ネットワーク ピアリングの設定
   'vnet-2' に 'vnet-1' へのアクセスを許可する	既定値の [選択済み]のままにします。
   'vnet-2' が 'vnet-1' から転送されたトラフィックを受信することを許可する	チェックボックスを オンにします。
   'vnet-2' のゲートウェイまたはルート サーバーが 'vnet-1' にトラフィックを転送することを許可する	既定値のオフのままにします。
   'vnet-2' で 'vnet-1 の' リモート ゲートウェイまたはルート サーバーを使用できるようにする	既定値のオフのままにします。
   ローカル仮想ネットワーク ピアリングの概要
   [Peering link name](ピアリング リンク名)	「vnet-1-to-vnet-2」と入力します。
   ローカル仮想ネットワーク ピアリングの設定
   'vnet-1' に 'vnet-2' へのアクセスを許可する	既定値の [選択済み]のままにします。
   'vnet-1' が 'vnet-2' から転送されたトラフィックを受信することを許可する	チェックボックスを オンにします。
   'vnet-1' のゲートウェイまたはルート サーバーが vnet-2' にトラフィックを転送することを許可する	既定値のオフのままにします。
   'vnet-1' で vnet-2 の' リモート ゲートウェイまたはルート サーバーを使用できるようにする	既定値のオフのままにします。

   

6. [追加] を選択します。

Web アプリを作成する

1. ポータルの上部にある検索ボックスに、「App Service」と入力します。 検索結果で [App Services] を選びます。

2. [+ 作成] を選択します。

3. [Web アプリの作成] の [基本] タブで、次の情報を入力するか選びます。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   リソース グループ	test-rg を選択します。
   インスタンスの詳細
   名前	Web アプリの一意の名前を入力します。 このチュートリアルの例では、mywebapp8675 という名前を使用します。
   発行	[コード] を選択します。
   ランタイム スタック	[.NET 6 (LTS)] を選択します。
   オペレーティング システム	[Windows] を選択します。
   リージョン	[米国東部 2] を選択します。
   価格プラン
   Windows プラン (米国西部 2)	既定の名前のままにします。
   料金プラン	[サイズの変更] を選択します。

4. [スペックの選択] で、ワークロードの [運用] を選びます。

5. [推奨される価格レベル] で、[P1V2] を選びます。

6. [適用] を選択します。

7. [次へ: デプロイメント] を選択します。

8. [次へ: ネットワーク] を選択します。

9. [パブリック アクセスの有効化] を false に変更します。

10. [Review + create](レビュー + 作成) を選択します。

11. ［作成］ を選択します

プライベート エンドポイントの作成

Azure プライベート エンドポイントによって、お使いの仮想ネットワークでサポートされている Azure サービスのネットワーク インターフェイスが作成されます。 プライベート エンドポイントを使用すると、Azure Virtual Network またはオンプレミス ネットワークのプライベート接続から Azure サービスにアクセスできます。

前に作成した Web アプリのプライベート エンドポイントを作成します。

1. ポータルの上部にある検索ボックスに、「プライベート エンドポイント」と入力します。 検索結果の [プライベート エンドポイント] を選択します。

2. [+ 作成] を選択します。

3. [プライベート エンドポイントの作成] の [基本] タブで、次の情報を入力するか選びます。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   Resource group	test-rg を選択します。
   インスタンスの詳細
   名前	「private-endpoint」と入力します。
   ネットワーク インターフェイス名	既定の名前のままにします。
   リージョン	[米国東部 2] を選択します。

4. [Next:リソース] を選択します。

5. [リソース] タブで、次の情報を入力するか選びます。

   設定	値
   接続方法	[マイ ディレクトリ内の Azure リソースに接続する] を選択します。
   サブスクリプション	サブスクリプションを選択します。
   リソースの種類	[Microsoft.Web/sites] を選択します。
   リソース	Web アプリを選びます。 このチュートリアルの例では、mywebapp8675 という名前を使用します。
   ターゲット サブリソース	[サイト] を選択します。

6. [次へ: 仮想ネットワーク] を選択します。

7. [仮想ネットワーク] タブで、次の情報を入力するか選びます。

   設定	値
   ネットワーク
   仮想ネットワーク	vnet-2 (test-rg) を選択します。
   Subnet	subnet-1 を選択します。
   プライベート エンドポイントのネットワーク ポリシー	既定値の [無効] のままにします。
   プライベート IP 構成	[IP アドレスを静的に割り当てる] を選択します。
   名前	「ipconfig-1」と入力します。
   プライベート IP	「10.1.0.10」と入力します。

8. [次: DNS] を選びます。

9. [DNS] タブは既定値のままにします。

10. [次へ: タグ] 、 [次へ: 確認と作成] の順に選択します。

11. ［作成］ を選択します

Private Resolver を作成する

プライベート エンドポイントが存在する仮想ネットワークにプライベート リゾルバーを作成します。 リゾルバーは、シミュレートされたオンプレミス ワークロードから DNS 要求を受け取ります。 これらの要求は、Azure 提供の DNS に転送されます。 Azure が提供する DNS は、プライベート エンドポイントの Azure プライベート DNS ゾーンを解決し、IP アドレスをオンプレミスのワークロードに返します。

1. ポータルの上部にある検索ボックスに、「DNS Private Resolver」と入力します。 検索結果で [DNS Private Resolver] を選びます。

2. [+ 作成] を選択します。

3. [DNS Private Resolver の作成] の [基本] タブで、次の情報を入力するか選びます。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   Resource group	test-rg を選択します
   インスタンスの詳細
   名前	「private-resolver」と入力します。
   リージョン	[(米国) 米国東部 2] を選択します。
   Virtual Network
   Virtual Network	[vnet-2] を選択します。

4. [次へ: 受信エンドポイント] を選びます。

5. [受信エンドポイント] で、[+ エンドポイントの追加] を選びます。

6. [受信エンドポイントの追加] で、次の情報を入力するか選びます。

   設定	[値]
   エンドポイント名	「inbound-endpoint」と入力します。
   Subnet	[新規作成] を選択します。 [名前] に「subnet-resolver」と入力します。 [サブネットのアドレス範囲] は既定のままにします。 [作成] を選びます。

7. [保存] を選択します。

8. [Review + create](レビュー + 作成) を選択します。

9. ［作成］ を選択します

プライベート リゾルバーのデプロイが完了したら、次の手順に進みます。

シミュレートされたネットワークの DNS を設定する

次の手順では、シミュレートされたオンプレミス ネットワーク vnet-1 のプライマリ DNS サーバーとしてプライベート リゾルバーを設定します。

これらの手順は、プライベート エンドポイントの DNS 解決をシミュレートするためだけのもので、運用環境では必要ありません。 ローカル DNS サーバーには、オンプレミス ネットワークからのプライベート エンドポイントの DNS レコードを解決するための、この IP アドレスへの条件付きフォワーダーがあります。

1. ポータルの上部にある検索ボックスに、「DNS Private Resolver」と入力します。 検索結果で [DNS Private Resolver] を選びます。

2. private-resolver を選択します。

3. [設定] で [受信エンドポイント] を選びます。

4. inbound-endpoint という名前のエンドポイントの IP アドレスをメモします。 このチュートリアルの例では、IP アドレスは 10.1.1.4 です。

5. ポータルの上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

6. [vnet-1] を選択します。

7. [設定] で、[DNS サーバー] を選びます。

8. [DNS サーバー] で [カスタム] を選びます。

9. 書き留めておいた IP アドレスを入力します。 このチュートリアルの例では、IP アドレスは 10.1.1.4 です。

10. [保存] を選択します。

テスト用の仮想マシンを作成する

次の手順では、仮想ネットワークに vm-1 という名前のテスト仮想マシン (VM) を作成します。

1. ポータルで、[仮想マシン] を検索して選択します。

2. [仮想マシン] で [+ 作成]、[Azure 仮想マシン] の順に選択します。

3. [仮想マシンの作成] の [基本] タブで、次の情報を入力または選択します。

   設定	値
   プロジェクトの詳細
   サブスクリプション	サブスクリプションを選択します。
   Resource group	test-rg を選択します。
   インスタンスの詳細
   仮想マシン名	「vm-1」と入力します。
   リージョン	[米国東部 2] を選択します。
   可用性のオプション	[インフラストラクチャ冗長は必要ありません] を選択します。
   セキュリティの種類	規定値である [標準] のままにします。
   Image	[Windows Server 2022 Datacenter - x64 Gen2] を選択します。
   VMアーキテクチャ	既定値の [x64] のままにします。
   サイズ	サイズを選択します。
   管理者アカウント
   認証の種類	[パスワード] を選択します。
   ユーザー名	「azureuser」と入力します。
   Password	パスワードを入力します。
   パスワードの確認	パスワードを再入力します。
   受信ポートの規則
   パブリック受信ポート	[なし] を選択します。

4. ページの上部にある [ネットワーク] タブを選択します。

5. [ネットワーク] タブで、次の情報を入力または選択します。

   設定	値
   ネットワーク インターフェイス
   仮想ネットワーク	[vnet-1] を選択します。
   Subnet	subnet-1 (10.0.0.0/24) を選択します。
   パブリック IP	[なし] を選択します。
   NIC ネットワーク セキュリティ グループ	[Advanced] \(詳細設定) を選択します。
   ネットワーク セキュリティ グループを構成する	[新規作成] を選択します。 名前として「nsg-1」を入力します。 残りの部分は既定値のままにし、[OK] を選択します。

6. 残りの設定は既定値のままにし、[確認と作成] を選択します。

7. 設定を確認し、 [作成] を選択します。

プライベート エンドポイントへの接続のテスト

このセクションでは、前の手順で作成した仮想マシンを使用し、プライベート エンドポイントを通じて Web アプリに接続します。

1. ポータルの上部にある検索ボックスに、「仮想マシン」と入力します。 検索結果から [仮想マシン] を選択します。

2. vm-1 を選択します。

3. vm-1 の概要ページで [接続]、[Bastion] の順に選択します。

4. 仮想マシンの作成時に入力したユーザー名とパスワードを入力します。

5. [接続] ボタンを選択します。

6. 接続後にサーバーで Windows PowerShell を開きます。

7. 「nslookup <webapp-name>.azurewebsites.net」と入力します。 <Web アプリ名> を、前の手順で作成した Web アプリの名前に置き換えます。 次の出力のようなメッセージが返されます。

   Server:  UnKnown
   Address:  168.63.129.16
   
   Non-authoritative answer:
   Name:    webapp.privatelink.azurewebsites.net
   Address:  10.1.0.10
   Aliases:  webapp.azurewebsites.net
   

   Web アプリ名に対応する 10.1.0.10 というプライベート IP アドレスが返されます。 このアドレスは、前に作成した vnet-2 仮想ネットワークの subnet-1 サブネットにあります。

8. Microsoft Edge を開き、Web アプリの URL https://<webapp-name>.azurewebsites.net を入力します。

9. 既定の Web アプリ ページが表示されることを確認します。

   

10. vm-1 への接続を閉じます。

11. ローカル コンピューターで Web ブラウザーを開き、Web アプリの URL https://<webapp-name>.azurewebsites.net を入力します。

12. 403 ページが表示されることを確認します。 このページは、Web アプリに外部からアクセスできないことを示しています。

    

リソースをクリーンアップする

作成したリソースの使用を終えたら、リソース グループとそのすべてのリソースを削除できます。

1. Azure portal で、「リソース グループ」を検索して選択します。

2. [リソース グループ] ページで、test-rg リソース グループを選択します。

3. [test-rg] ページで、[リソース グループの削除] を選択します。

4. [削除を確認するために、リソース グループの名前を入力してください] に「test-rg」と入力して、[削除] を選びます。

次のステップ

このチュートリアルでは、プライベート リゾルバーとプライベート エンドポイントをデプロイする方法について説明しました。 シミュレートされたオンプレミス ネットワークからプライベート エンドポイントへの接続をテストしました。

次の記事に進み、以下の方法を学習してください。