Azure Stream Analytics ジョブを Azure 仮想ネットワークで実行する (パブリック プレビュー)

この記事では、Azure Stream Analytics (ASA) ジョブを Azure 仮想ネットワークで実行する方法について説明します。

概要

Virtual Network (VNet) のサポートを使うと、Azure Stream Analytics へのアクセスを、仮想ネットワーク インフラストラクチャのみに制限できます。 ネットワークの分離という利点が得られるこの機能は、ASA ジョブのコンテナー化されたインスタンスをユーザーの仮想ネットワーク内にデプロイすることで実現できます。 VNet に挿入された ASA ジョブは、次の方法で仮想ネットワーク内のリソースにプライベートにアクセスできます。

• プライベート エンドポイント。VNet に挿入された ASA ジョブを、Azure Private Link を利用したプライベート リンク経由でデータ ソースに接続します。
• サービス エンドポイント。データ ソースを VNet に挿入された ASA ジョブに接続します。
• サービス タグ。Azure Stream Analytics へのトラフィックを許可または拒否します。

可用性

現在、この機能は、米国西部、カナダ中部、米国東部、米国東部 2、米国中部、西ヨーロッパ および 北ヨーロッパ の一部のリージョンでのみ使用できます。 ご自分のリージョンで VNet 統合を有効にしてほしい場合は、こちらのフォームにご記入ください。

VNet 統合のサポートの要件

• VNet に挿入された ASA ジョブには、汎用 V2 (GPV2) ストレージ アカウントが必要です。

  • VNet に挿入された ASA ジョブでは、チェックポイントなどのメタデータへのアクセスを、運用のために Azure テーブルに格納する必要があります。

  • ASA ジョブで GPV2 アカウントが既にプロビジョニングされている場合は、追加の手順は必要ありません。

  • Premium Storage を使う大規模なジョブがあるユーザーは、GPV2 ストレージ アカウントを引き続き提供する必要があります。

  • パブリック IP ベースのアクセスからストレージ アカウントを保護する場合は、マネージド ID と信頼されたサービスも使って構成することを検討してください。

    ストレージ アカウントについて詳しくは、「ストレージ アカウントの概要」と「ストレージ アカウントを作成する」をご覧ください。

• 既存の Azure Virtual Network、または作成します。

  重要

  ASA Vnet に挿入されたジョブでは、Azure ネットワークによって提供される内部コンテナー インジェクション テクノロジが使われます。 現在、Azure ネットワークでは、すべてのお客様がセキュリティと信頼性のために Azure NAT Gateway を設定することが推奨されています。

  Azure NAT Gateway は、フル マネージドで回復性の高いネットワーク アドレス変換 (NAT) サービスです。 Azure NAT Gateway を使用すると、仮想ネットワークのアウトバウンド インターネット接続が簡単になります。 サブネットで構成すると、すべてのアウトバウンド接続に NAT ゲートウェイの静的パブリック IP アドレスが使用されます。

  

  セットアップと価格について詳しくは、Azure NAT Gateway に関する記事をご覧ください。

サブネットの要件

仮想ネットワーク統合は、専用サブネットに依存します。 サブネットを作成すると、Azure サブネットは先頭から 5 つの IP を使います。

ASA ワークロードをサポートするために将来必要になるニーズについて考えるときは、委任されたサブネットに関連付けられる IP 範囲を考慮する必要があります。 サブネットのサイズは割り当てた後では変更できないため、ジョブが達する可能性のあるスケールに対応できる十分な大きさのサブネットを使ってください。

スケール操作は、特定のサブネット サイズでサポートされる実際の使用可能なインスタンスに影響します。

IP 範囲の見積もりに関する考慮事項

• サブネットの範囲が ASA のサブネットの範囲と競合していないことを確認します。 IP 範囲 10.0.0.0 から 10.0.255.255 は、ASA で使われるため避けてください。
• 予約:
  • Azure ネットワーク用に 5 つの IP アドレス
  • このサブネットに関連付けられているジョブのサンプル データ、テスト接続、メタデータ検出などの機能を容易にするために、1 つの IP アドレスが必要です。
  • 6 SU または 1 SU V2 ごとに 2 つの IP アドレスが必要です (ASA の V2 の価格体系は 2023 年 7 月 1 日に開始されます。詳しくは、こちらをご覧ください)

VNET と Azure Stream Analytics ジョブの統合を指定すると、Azure portal によってサブネットが ASA サービスに自動的に委任されます。 次のシナリオでは、Azure portal はサブネットの委任を解除します。

• ASA ポータルで指定されたサブネットに関連付けられている最後のジョブ に VNET 統合が必要なくなったことを、お客様が Microsoft に通知します ("方法" に関するセクションを参照)。
• お客様が、指定されたサブネットに関連付けられている最後のジョブを削除します。

最後のジョブ

複数の ASA ジョブが同じサブネットを利用する可能性があります。 ここでの最後のジョブとは、指定されたサブネットを使っている他のジョブがないことを示します。 最後のジョブが関連付けによって削除または除去されると、Azure Stream Analytics はサブネットをリソースとして解放します。これは、サービスとして ASA に委任されたものです。 このアクションが完了するまで数分かかります。

VNET 統合を設定する

Azure portal

1. Azure portal のメニュー バーから [ネットワーク] に移動し、[Run this job in virtual network] (仮想ネットワークでこのジョブを実行する) をオンにします。 このステップにより、お客様のジョブが VNET で動作する必要があることが、Microsoft に通知されます。

2. プロンプトに従って設定を構成し、[保存] を選びます。

   

VS Code

1. Visual Studio Code で、ASA ジョブ内のサブネットを参照します。 このステップにより、サブネットで動作する必要があることがジョブに指示されます。

2. JobConfig.json で、次の図に示すように VirtualNetworkConfiguration を設定します。

   

関連付けられたストレージ アカウントを設定する

1. [Stream Analytics ジョブ] ページの左側のメニューで、[構成] の [ストレージ アカウントの設定] を選びます。

2. [ストレージ アカウントの設定] ページで、[ストレージ アカウントの追加] を選びます。

3. 手順に従って、ストレージ アカウントの設定を構成します。

   

アクセス許可

Azure portal や CLI を使って、または virtualNetworkSubnetId サイト プロパティを直接設定するときに、仮想ネットワーク統合を構成するには、サブネットまたはそれより上のレベルで、少なくとも次のロールベースのアクセス制御のアクセス許可が必要です。

仮想ネットワークが ASA ジョブとは異なるサブスクリプションにある場合は、仮想ネットワークがあるサブスクリプションが Microsoft.StreamAnalytics リソース プロバイダーに登録されていることを確認する必要があります。 このドキュメントのようにしてプロバイダーを明示的に登録できますが、サブスクリプションでジョブを作成すると自動的に登録されます。

制限事項

• VNET のジョブには、少なくとも 1 つの SU V2 (新しい価格モデル) または 6 つの SU (現在) が必要です
• サブネットの範囲が ASA のサブネットの範囲と競合していないことを確認します (つまり、サブネット範囲 10.0.0.0/16 を使わないでください)。
• ASA のジョブと仮想ネットワークは、同じリージョンに存在する必要があります。
• 委任されたサブネットは、Azure Stream Analytics でのみ使用できます。
• ASA と統合されている仮想ネットワークは削除できません。 委任されたサブネットの最後のジョブ* の関連付けを解除するか、ジョブを削除する必要があります。
• 現在、DNS の更新はサポートされていません。 VNET の DNS 構成が変更された場合は、その VNET 内のすべての ASA ジョブを再デプロイする必要があります (サブネットとすべてのジョブの関連付けを解除し、再構成する必要もあります)。 詳しくは、「Azure 仮想ネットワーク内のリソースの名前解決」をご覧ください。

オンプレミスのリソースにアクセスする

仮想ネットワーク経由でオンプレミスのリソースにアクセスするために、仮想ネットワーク統合機能に対する追加の構成は必要ありません。 必要なのは、単に ExpressRoute またはサイト間 VPN を使用して仮想ネットワークをオンプレミスのリソースに接続することだけです。

価格の詳細

このドキュメントに記載されている基本的な要件以外では、仮想ネットワークの統合に関して、Azure Stream Analytics の価格料金以外に追加される使用料金はありません。

トラブルシューティング

機能は簡単にセットアップできますが、問題が発生しないという意味ではありません。 目的のエンドポイントへのアクセスで問題が発生する場合は、Microsoft サポートにお問い合わせください。