仮想ネットワーク サービス タグ

サービス タグは、指定された Azure サービスからの IP アドレス プレフィックスのグループを表します。 サービス タグに含まれるアドレス プレフィックスの管理は Microsoft が行い、アドレスが変化するとサービス タグは自動的に更新されます。これにより、ネットワーク セキュリティ規則に対する頻繁な更新の複雑さを最小限に抑えられます。

サービス タグを使用して、ネットワーク セキュリティ グループ、Azure Firewall、ユーザー定義ルートでのネットワーク アクセスの制御を定義できます。 セキュリティ規則とルートを作成するときに、特定の IP アドレスの代わりにサービス タグを使用します。 セキュリティ規則の適切な "ソース" または "宛先" フィールドにサービス タグ名 (ApiManagement など) を指定することにより、対応するサービスのトラフィックを許可または拒否できます。 ルートのアドレス プレフィックスにサービス タグ名を指定することで、サービス タグによってカプセル化された任意のプレフィックスを対象としたトラフィックを目的のネクスト ホップの種類にルーティングできます。

サービス タグを使用すると、ネットワーク分離を実現し、パブリック エンドポイントを持つ Azure サービスへのアクセス時に一般のインターネットから Azure リソースを保護できます。 受信/送信ネットワーク セキュリティ グループ規則を作成して、インターネットとの間のトラフィックを拒否し、AzureCloud または他の特定の Azure サービスの利用可能なサービス タグとの間のトラフィックを許可します。

利用可能なサービス タグ

次の表には、ネットワーク セキュリティ グループの規則で使用できるすべてのサービス タグが含まれています。

各列は、タグが次を満たすかどうかを示しています。

• 受信または送信トラフィックを扱う規則に適している。
• リージョン スコープをサポートしている。
• 受信または送信トラフィックの "宛先" 規則としてのみ Azure Firewall 規則で使用可能である。

既定では、サービス タグにはクラウド全体の範囲が反映されます。 サービス タグによっては、対応する IP 範囲を指定されたリージョンに制限することで、より詳細な制御を実現することもできます。 たとえば、サービス タグ Storage はクラウド全体の Azure Storage を表していますが、Storage.WestUS を使用すると、WestUS リージョンのストレージ IP アドレスのみに範囲が限定されます。 次の表は、各サービス タグがこのようなリージョン スコープをサポートしているかどうかを示し、各タグで示されている方向は推奨事項です。 たとえば、AzureCloud タグを使用して受信トラフィックを許可することができます。 ほとんどのシナリオでは、他の Azure ユーザーによって使用される IP がサービス タグの一部として含まれるため、すべての Azure IP からのトラフィックを許可することはお勧めしません。

クラシック デプロイ モデルでサポートされるタグ

(Azure Resource Manager の前の) クラシック デプロイ モデルでは、前の表に示したタグのごく一部がサポートされます。 クラシック デプロイ モデルのタグは、次の表に示すように、スペルが異なります。

ユーザー定義ルートではサポートされていないタグ (UDR)

現在ユーザー定義ルート (UDR) で使用することができないタグの一覧を次に示します。

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• インターネット

オンプレミスのサービス タグ

現在のサービス タグと範囲情報を、オンプレミスのファイアウォール構成の一部として取得して含めることができます。 この情報は、各サービス タグに対応する現在の特定時点の IP 範囲の一覧です。 次のセクションで説明するように、プログラムまたは JSON ファイルのダウンロードを使用して、この情報を取得できます。

Service Tag Discovery API を使用する

サービス タグの現在の一覧を IP アドレス範囲の詳細と共にプログラムで取得できます。

• REST

• Azure PowerShell

• Azure CLI

たとえば、Storage サービス タグのすべてのプレフィックスを取得するには、次の PowerShell コマンドレットを使用できます。

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

ダウンロード可能な JSON ファイルを使用してサービス タグを検出する

サービス タグの現在の一覧と IP アドレス範囲の詳細を含む JSON ファイルをダウンロードできます。 これらの一覧は、毎週更新されて公開されます。 各クラウドの場所は次のとおりです。

• Azure Public

• Azure US Government

• 21Vianet によって運営される Microsoft Azure

• Azure Germany

これらのファイル内の IP アドレス範囲は CIDR 表記です。

次の AzureCloud タグには、標準スキーマに従って書式設定された地域名が含まれていません。

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

次のステップ

• ネットワーク セキュリティ グループの作成方法を確認します。