Azureのアウトバウンド設計のバックアップ(No.2) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
Azureのアウトバウンド設計へ行く。
- 1 (2021-03-02 (火) 10:41:42)
- 2 (2021-03-02 (火) 13:10:08)
- 3 (2021-03-12 (金) 16:00:10)

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る
- FgCF (Financial-grade Cloud Fundamentals)
  - Azureの仮想ネットワーク

目次 †

目次
概要
詳細
- 争点
- その他
  - 仮想パブリック IP アドレス
  - 外向き通信のロックダウン
参考
- nakama

概要 †

区分			MS-DC内（既知の経路で到達する。）		MS-DC外（到達経路を特定できない。）
１	２	３	MS-DC内（既知の経路で到達する。）		MS-DC外（到達経路を特定できない。）
ユーザ管理	ユーザアプリ	ユーザ・コード	－	PaaS、SaaSへの通信	任意のDC外通信
ユーザ管理	ユーザアプリ	ユーザ・コード用ランタイム＆ライブラリ	－	・Azure Monitor ・内部パッケージ・リポジトリ・Azureコンテナ・レジストリ（ACR）	ディストリビュータ提供の・外部パッケージ・リポジトリ・外部コンテナ・レジストリ	その他のリポジトリ・レジストリ・githubusercontent ・Google Storage
MS管理	マネージドサービス	CaaS PaaS SaaS 基盤	未公開の通信	XaaS定義の通信・Azure Active Directory ・ARM API ・Master API ・MSコンテナ・レジストリ（MCR）・MSパッケージ・リポジトリ	AKS パッケージ・リポジトリ（Akamai CDN上）	－
	マネージドサービス	ゲストVM （IaaS）	・仮想パブリック IP アドレス・Azure Managed IDエンドポイント	－	ディストリビューションが使用するパッチ、NTP通信	－
	物理DC インフラ	ホストOS （物理HW）	ブラック・ボックス（非公開）
			← 暗黙的通信 →	← 明示的通信 →	← 比較的安全な通信 →	← 安全とは考え難い通信 →

詳細 †

争点 †

通信先のサービスの信頼性 †

信頼できるサーバ / サービスか？
信頼できる場合も、マルチテナントのケースは要検討。

マネージド・サービスの基盤系通信 †

基本的には信頼する（未公開の通信を信頼しないとソモソモ使用不可能）。
明示的な通信をチェックして、必要に応じて対応する（Master APIのプライベート化など）。

マルチテナント・サーバとの通信 †

マルチテナントのケースは、

Azure Private Linkによるプライベート化
Azure FirewallなどのFQDNフィルタリングによるプライベート化

などを検討する。

MS-DC外のサーバへの通信 †

主に、ユーザ管理領域の通信に問題がないかを確認する。
必要に応じ、外向き通信をロックダウンする。

その他 †

仮想パブリック IP アドレス †

168.63.129.16

このアドレスが、VNET内のDHCP（やDNS）の機能を提供する。
他にも、VMエージェントとの通信に利用されている。
別のVNETの名前解決には、
- Hubに自前のDNSを構築するか、
- ローカルDNSゾーンを使用する。

外向き通信のロックダウン †

NSG
NSGによる送信（インターネット通信）の拒否

UDR
- UDRによる既定のルート（インターネット通信）の拒否
- NAにルーティングしてのフィルタリング
  - Azure Firewall
  - オンプレのプロキシそのもの
  - オンプレのプロキシと同型のNVA

※ Azureのエッジは、基幹線に近い所に繋がっているので、
　オンプレのプロキシ（オンプレを迂回する）より安全。

参考 †

Azure仮想マシンとDNS - 168.63.129.16の謎に迫る - Qiita
https://qiita.com/ksasaki/items/a18060701daf81ce3031

IP アドレス 168.63.129.16 とは | Microsoft Docs
https://docs.microsoft.com/ja-jp/azure/virtual-network/what-is-ip-address-168-63-129-16

nakama †

※ Azure 仮想ネットワーク基礎中の
　「隔離型 VNET 環境からの外部通信設計の整理方法」にも同様のトピックが含まれる。

Tags: :インフラストラクチャ, :クラウド, :Azure, :セキュリティ, :通信技術