セキュリティ保護されたハイブリッド ネットワークを実装する

Azure Firewall
Azure Load Balancer
Azure Virtual Machines
Azure Virtual Network

この参照アーキテクチャは、オンプレミス ネットワークをAzureに拡張するセキュリティで保護されたハイブリッド ネットワークを示しています。 このアーキテクチャでは、オンプレミス ネットワークとAzure仮想ネットワークの間に、perimeter network (DMZ とも呼ばれます) が実装されます。 すべての受信トラフィックと送信トラフィックは、Azure Firewallを通過します。

アーキテクチャ

セキュリティ保護されたハイブリッド ネットワーク アーキテクチャを示す図。

このアーキテクチャのVisio ファイルをダウンロードしてください。

コンポーネント

アーキテクチャ*は、次のアスペクト*で構成されています:

  • オンプレミス ネットワーク。 組織内に実装されているプライベートなローカル エリア ネットワーク。

  • Azure仮想ネットワーク。 仮想ネットワークは、ソリューション コンポーネントと、Azureで実行されているその他のリソースをホストします。

    仮想ネットワーク ルートAzure仮想ネットワーク内の IP トラフィックのフローを定義します。 このアーキテクチャでは、2 つのユーザー定義ルート テーブルがあり、両方ともトラフィックを Azure Firewall インスタンス経由でルーティングします。 ルート テーブルの 1 つはハブ ネットワークのゲートウェイ サブネットに関連付け、もう 1 つはスポーク ネットワーク内のサブネットに関連付けられています。

    注

    VPN 接続の要件によっては、Border Gateway Protocol (BGP) のルートを構成し、オンプレミス ネットワーク経由でトラフィックを戻すよう指示する転送ルールを実装することができます。

  • ゲートウェイ。 ゲートウェイでは、オンプレミスのネットワーク内のルーターと仮想ネットワークの間の接続が提供されます。 ゲートウェイは、独自のサブネットに配置されます。

  • Azure Firewall。 Azure Firewall は、サービスとしてのマネージド ファイアウォールです。 Firewall のインスタンスは、独自のサブネットに配置されます。

  • ネットワーク セキュリティ グループ。 セキュリティ グループを使用して、仮想ネットワーク内のネットワーク トラフィックを制限します。

  • 仮想マシンのスケールセット。 Virtual Machine Scale Setsは、スポーク仮想ネットワークのコンピューティング レベルを提供します。 スケール セットは、内部ロード バランサーの背後にある同じ VM のグループをデプロイおよび管理し、需要に合わせて自動スケールをサポートします。

  • Azure Bastion。 Azure Bastion は、インターネットに公開することなく、仮想マシン スケール セット インスタンスへのセキュリティで保護された SSH および RDP アクセスを提供します。 Bastion を使用して、仮想ネットワーク内のインスタンスを管理します。

    Bastion では、AzureBastionSubnet という専用サブネットが必要となります。

考えられるユース ケース

このアーキテクチャでは、VPN ゲートウェイまたは ExpressRoute 接続を使用して、 オンプレミスのデータセンターに接続する必要があります。 このアーキテクチャの一般的な用途は次のとおりです。

  • ワークロードが一部オンプレミスで実行され、一部がAzureで実行されるハイブリッド アプリケーション。
  • オンプレミスのデータセンターからAzure仮想ネットワークに入るトラフィックをきめ細かく制御する必要があるインフラストラクチャ。
  • 送信トラフィックを監査する必要があるアプリケーション。 監査はしばしば、多くの商用システムで規制上の要件となっていて、プライベートな情報の一般への漏えいを防ぐ助けになります。

推奨事項

ほとんどのシナリオには、次の推奨事項が適用されます。 これらの推奨事項には、オーバーライドする特定の要件がない限り、従ってください。

アクセスの制御に関する推奨事項

Azureロールベースのアクセス制御 (Azure RBAC) を使用して、アプリケーション内のリソースを管理します。 次のカスタム ロールの作成を検討してください。

  • アプリケーションのインフラストラクチャの管理、アプリケーション コンポーネントのデプロイ、スケーリング、再イメージ化、アップグレードなどの仮想マシン スケール セット操作の管理を行うアクセス許可を持つ DevOps ロール。

  • ネットワーク リソースの管理と監視を行うための一元的 IT 管理者ロール。

  • ファイアウォールなどのセキュリティで保護されたネットワーク リソースを管理するためのセキュリティ IT 管理者ロール。

一元化された IT 管理者ロールは、ファイアウォール リソースにアクセスすることはできません。 セキュリティ IT 管理者ロールへのアクセスを制限します。

リソース グループの推奨事項

仮想マシン スケール セット、仮想ネットワーク、ロード バランサーなどのAzureリソースは、リソース グループにまとめることで管理できます。 各リソース グループAzureロールを割り当ててアクセスを制限します。

次のリソース グループを作成することをお勧めします。

  • 仮想ネットワーク (コンピューティング リソースを除く)、NSG、およびオンプレミス ネットワークに接続するためのゲートウェイ リソースを含むリソース グループ。 このリソース グループに一元的 IT 管理者ロールを割り当てます。
  • Azure Firewall インスタンスのリソースと、ゲートウェイ サブネットのユーザー定義ルートを含むリソース グループ。 このリソース グループにセキュリティ IT 管理者ロールを割り当てます。
  • ロード バランサーと仮想マシン スケール セットを含むスポーク仮想ネットワークごとに個別のリソース グループ。

ネットワークの推奨事項

このアーキテクチャでは、オンプレミス ネットワーク、インターネット、スポーク仮想ネットワーク間のすべての受信トラフィックと送信トラフィックがAzure Firewallを通過します。 境界を越えるすべてのフローでは、ファイアウォールでネットワーク アドレス変換が行われます。そのため、ワークロードではなくファイアウォールの IP アドレスは、外部システムとオンプレミス システムで観察されます。 次の動作を計画します。

  • 発行されたワークロードは、ワークロードの IP アドレスではなく、ファイアウォールのパブリック IP アドレスで到達できます。 ファイアウォールで 宛先ネットワーク アドレス変換 (DNAT) 規則を使用してバックエンドを発行します。 宛先アドレスはファイアウォールのパブリック IP アドレスです。変換されたアドレスは、仮想ネットワーク内のプライベート IP アドレスです。

  • ファイアウォールのパブリック IP アドレスのいずれかを使用して、アウトバウンドフローが境界を離れます。 Azure Firewallは、各送信フローで使用するアタッチされたパブリック IP をランダムに選択するため、パートナーの許可リスト、オンプレミスのファイアウォール規則、監査ログは、ファイアウォールに接続されている IP アドレスのセット全体をカバーする必要があります。 パブリック IP アドレス プレフィックスを使用して、そのセットを連続した範囲として表します。

    また、ファイアウォールに接続されているパブリック IP アドレスの数によって、ソース ネットワーク アドレス変換 (SNAT) ポートが使い果たされるまでに維持できる同時送信接続の数も決まります。

  • バックエンドには、元のクライアントの IP アドレスが表示されません。 Azure Firewallは、DNAT ルールに一致するパケットにも SNAT を適用するため、返されるトラフィックは同じファイアウォール インスタンスを通過します。 バックエンドは、ファイアウォール インスタンスの IP アドレスをソースとして監視します。

    アプリケーションでクライアントの IP アドレスが必要な場合は、Azure Application GatewayやAzure Front Doorなどのリバース プロキシのアップストリームでクライアント接続を終了し、クライアントの IP アドレスを HTTP ヘッダーに転送し、元の HTTP ホスト名に従って、バックエンドがクライアントのホスト名を認識し続けるようにします。

サイト間 VPN トンネルを使用して、オンプレミス ネットワークを経由するすべての送信インターネット トラフィックを強制的にトンネリングします。 オンプレミスのエッジ デバイスは、Azure ワークロードに代わってインターネットに SNAT を実行します。これにより、既存のオンプレミスエグレス制御と監査パイプラインを経由して送信フローがルーティングされます。 このデザインにより、機密情報の偶発的漏えいを防ぎ、すべての発信トラフィックの検査と監査が可能になります。

スポーク ネットワーク サブネット内のリソースからのインターネット トラフィックを完全にブロックしないでください。 トラフィックをブロックすると、診断ログ、仮想マシン拡張機能とその依存関係のプロビジョニング、その他のプラットフォーム機能など、パブリック IP アドレスに依存する Azure PaaS サービスをこれらのリソースが使用できなくなります。 Azure診断では、コンポーネントがAzure Storage アカウントの読み取りと書き込みを行うことも必要です。

送信インターネット トラフィックが正しく強制的にトンネリングされることを確認してください。 オンプレミス サーバー上のルーティングとリモート アクセス サービスと共に VPN 接続を使用している場合は、WireShark などのツールを使用してください。

SSL 終了には Application Gateway またはAzure Front Doorを使用することを検討してください。

考慮事項

これらの考慮事項は、Azure Well-Architected Framework の柱を実装します。これは、ワークロードの品質を向上させるために使用できる一連の基本原則です。 詳細については、「Microsoft Azure Well-Architected Framework」を参照してください。

[信頼性]

信頼性により、顧客に確約したことをアプリケーションで確実に満たせるようにします。 詳細については、「信頼性の設計レビュー チェックリスト」を参照してください。

Azure ExpressRouteを使用して仮想ネットワークとオンプレミス ネットワークの間の接続を提供する場合は、ExpressRoute 接続が使用できなくなった場合>フェールオーバーを提供するように VPN ゲートウェイを構成します

VPN と ExpressRoute 接続の可用性を維持にするための情報については、次の可用性に関する考慮事項を参照してください。

セキュリティ

セキュリティは、重要なデータやシステムの意図的な攻撃や悪用に対する保証を提供します。 詳細については、セキュリティ設計レビューのチェックリストを参照してください。

この参照アーキテクチャには、複数レベルのセキュリティが実装されています。

Azure Firewallを介してオンプレミスのすべてのユーザー要求をルーティングする

ゲートウェイ サブネット内のユーザー定義ルートでは、オンプレミスから受信した要求を除くすべてのユーザー要求がブロックされます。 このルートは、許可された要求をファイアウォールに渡します。 その要求は、ファイアウォール規則によって許可されている場合は、スポーク仮想ネットワークのリソースに渡されます。 他のルートを追加できますが、それらのルートで誤って、ファイアウォールをバイパスしたり、管理サブネットに向けた管理トラフィックをブロックしたりしないようにしてください。

NSG を使用したスポーク仮想ネットワーク サブネットへのトラフィックのブロック/転送

スポーク仮想ネットワーク内のリソース サブネットとの間のトラフィックは、NSG を使用して制限されます。 NSG ルールを拡張し、これらのリソースに対してより広範囲のアクセスを許可する必要がある場合は、その必要性をセキュリティ リスクと比較検討してください。 新しい受信経路が増えるたびに、偶発的または意図的に、データ漏えいやアプリケーションの破損が起きる可能性が高まります。

DDoS 保護

Azure DDoS Protection は、アプリケーション設計のベスト プラクティスと組み合わせることで、DDoS 攻撃に対する軽減策を強化します。 任意の境界仮想ネットワークAzure DDoS Protection を有効にします。

AVNM を使用してベースライン セキュリティ管理ルールを作成する

AVNM を使用すると、ネットワーク セキュリティ グループ規則よりも優先されるセキュリティ規則のベースラインを作成できます。 セキュリティ管理規則は NSG 規則の前に評価され、優先順位付け、サービス タグ、L3-L4 プロトコルをサポートするなど、NSG と同じ性質を持っています。 AVNM により、中央 IT はセキュリティ規則のベースラインを適用しながら、スポーク仮想ネットワーク所有者によって追加の NSG 規則の独立性を確保できます。 セキュリティ規則の変更の制御されたロールアウトを容易にするために、AVNM のデプロイ機能を使用すると、これらの構成の破壊的変更をハブ アンド スポーク環境に安全にリリースすることができます。

DevOps アクセス

Azure RBAC を使用して、DevOps が各レベルで実行できる操作を制限します。 権限を付与する場合は、最小限の特権の原則を使用します。 構成の変更がすべて計画されたものであることを確認するため、すべての管理操作をログに記録し、定期的な監査を実行します。

コストの最適化

コストの最適化は、不要な費用を削減し、運用効率を向上させる方法を検討することです。 詳細については、「コスト最適化の設計レビュー チェックリスト」を参照してください。

このAzure料金計算ツールで事前構成済みの見積もりを使用して、シナリオのコストを見積もります。 これには、この記事で説明するネットワーク コンポーネントと VM の例が含まれています。

ここでは、このアーキテクチャで使用されるサービスのコストに関する考慮事項を示します。

Azure Firewall

このアーキテクチャでは、ゲートウェイのサブネットとスポーク仮想ネットワーク内のリソースとの間のトラフィックを制御するために、Azure Firewallが仮想ネットワークにデプロイされます。 Azure Firewallを複数のワークロード間で共有ソリューションとして使用すると、インフラストラクチャの重複を減らすことができます。 Azure Firewall価格モデルを次に示します。

  • デプロイ時間あたりの固定レート。
  • 自動スケーリングをサポートするための GB あたりの処理済みデータ。

ネットワーク仮想アプライアンス (NVA) と比較すると、Azure Firewallを使用すると、最大 30 から 50%を節約できます。 詳細については、Azure Firewall と NVA を参照してください。

Azure Bastion

Azure Bastionインスタンスでパブリック IP を必要とせずに、RDP と SSH 経由で仮想マシン スケール セット インスタンスに安全に接続します。

Bastion の料金は、ジャンプ ボックスとして構成された基本的な低レベル仮想マシンに相当します。 Bastion には組み込みのセキュリティ機能があるため、ジャンプ ボックスよりもコスト効率が高く、ストレージや別のサーバー管理のための余分なコストは発生しません。

Azure 仮想ネットワーク

Azure Virtual Networkは無料です。 すべてのサブスクリプションで、すべてのリージョンで最大 1,000 の仮想ネットワークを作成できます。 仮想ネットワークの境界内で発信されたトラフィックはすべて無料です。 たとえば、内部ロード バランサーから仮想マシン スケール セット インスタンスへのトラフィックでは、ネットワーク トラフィック料金は発生しません。

内部ロードバランサー

このアーキテクチャでは、内部ロード バランサーを使用して、仮想ネットワーク内の仮想マシン スケール セット インスタンスにトラフィックを分散します。 Standard Load Balancerは、仮想マシン スケール セットでの使用に必要です。

オペレーショナル エクセレンス

オペレーショナル エクセレンスは、アプリケーションをデプロイし、運用環境で実行し続ける運用プロセスを対象としています。 詳細については、「 オペレーショナル エクセレンスの設計レビュー チェックリスト」を参照してください。

オンプレミス ネットワークからAzureへのゲートウェイ接続がダウンしている場合でも、Azure Bastionを使用して、トラブルシューティングのためにAzure仮想ネットワーク内のリソースにアクセスできます。 仮想マシン スケール セット インスタンスはエフェメラルであるため、ルーチン操作用の対話型リモート セッションではなく、Azure Monitor と boot diagnostics を介した一元的なログ記録と監視に依存します。

参照アーキテクチャの各層のサブネットは、NSG ルールによって保護されています。 管理および監視ツールでは、追加のポートを開くためにルールが必要になる場合があります。

ExpressRoute を使用してオンプレミスのデータセンターとAzure間の接続を提供する場合は、Azure Connectivity Toolkit (AzureCT) を使用して接続の問題を監視およびトラブルシューティングします。

VPN および ExpressRoute 接続の監視と管理に関する追加情報については、 Azure とオンプレミス VPN を使用したハイブリッド ネットワーク アーキテクチャの実装に関する記事を参照してください。

パフォーマンス効率

パフォーマンス効率は、効率的な方法でユーザーの要求に合わせてワークロードをスケーリングする機能です。 詳細については、「パフォーマンス効率のための設計レビュー チェックリスト」を参照してください。

スポーク ネットワーク内の仮想マシン スケール セットは、自動スケールをサポートします。 CPU 使用率や要求数などのメトリックに基づいて 自動スケール ルール を構成し、要求に応じてインスタンスが追加または削除されるようにします。 更新中の中断に対するワークロードの許容度に一致する オーケストレーション モードとアップグレード ポリシー を選択します。

VPN Gatewayの帯域幅制限の詳細については、「Gateway SKU」を参照してください。 帯域幅が広い場合は、ExpressRoute ゲートウェイへのアップグレードをご検討ください。 ExpressRoute では、VPN 接続よりも待機時間が短い最大 10 Gbps の帯域幅が提供されます。

Azure ゲートウェイのスケーラビリティの詳細については、次のスケーラビリティに関する考慮事項のセクションを参照してください。

大規模な仮想ネットワークと NSG の管理の詳細については、「Azure Virtual Network Manager (AVNM): セキュリティで保護されたハブ アンド スポーク ネットワークを作成する接続と NSG ルールを一元的に管理するための新しい (および既存の) ハブとスポークの仮想ネットワーク トポロジを作成する方法に関するページを参照してください。

次のステップ