AzureのPrivate DNSゾーンを設定する方法｜VNet内の名前解決をazコマンドで構成する

この記事のポイント

・azure private dns zoneはVNet専用の非公開ゾーンで外部から参照できない
・az network private-dns zone create でゾーン作成、vnet linkでVNetに接続する
・オートレジストレーションを有効にするとVM作成時にAレコードが自動登録される
・オンプレとAzureのDNSを双方向に統合するにはDNS Private Resolverを使う（VM不要）
・DNS Private ResolverのInbound/Outbound Endpointはそれぞれ専用サブネット（/28以上）が必要
・VNetサービスエンドポイントと異なり、Private EndpointはPaaS側にプライベートIPを割り当てる
・Private Endpoint専用サブネットは --disable-private-endpoint-network-policies true の設定が必要
・Private Endpoint のDNS統合には privatelink.* ゾーン + DNSゾーングループの両方が必要
・サービスごとに --group-id（blob/file/sqlServer/vault等）と privatelink.* ゾーン名が異なる
・nslookupでプライベートIPが返り、curlで403が返ることで閉域通信の確立を確認できる

# az CLIのインストール（Ubuntu/Debian系）
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

# バージョン確認
az --version

# Azureアカウントへのログイン
az login

# 変数を定義しておく
RG="rg-dns-lab"
LOCATION="japaneast"
VNET="vnet-main"
SUBNET="subnet-private"
PE_SUBNET="subnet-pe"

# リソースグループの作成
az group create --name $RG --location $LOCATION

# VNetとVM用サブネットの作成
az network vnet create \
  --resource-group $RG \
  --name $VNET \
  --address-prefix 10.0.0.0/16 \
  --subnet-name $SUBNET \
  --subnet-prefix 10.0.1.0/24

# Private Endpoint専用サブネットを追加する（VM用と分離するとNSG管理が楽になる）
# --disable-private-endpoint-network-policies true が必須。省略すると作成時にエラーになる
az network vnet subnet create \
  --resource-group $RG \
  --vnet-name $VNET \
  --name $PE_SUBNET \
  --address-prefixes 10.0.2.0/24 \
  --disable-private-endpoint-network-policies true

# 実行結果（抜粋）
# "provisioningState": "Succeeded"

# Private DNSゾーンの作成（ゾーン名はカスタムドメイン名）
az network private-dns zone create \
  --resource-group $RG \
  --name "corp.internal"

# 実行結果（抜粋）
# {
#   "location": "global",
#   "name": "corp.internal",
#   "provisioningState": "Succeeded"
# }

# VNetリンクを作成（オートレジストレーションは後で有効化する）
az network private-dns link vnet create \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --name "link-vnet-main" \
  --virtual-network $VNET \
  --registration-enabled false

# リンク状態の確認
az network private-dns link vnet list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 期待する出力
# Name            ProvisioningState  VirtualNetworkLinkState
# link-vnet-main  Succeeded          Completed

# vmapp01.corp.internal → 10.0.1.4 を登録する例
az network private-dns record-set a add-record \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --record-set-name "vmapp01" \
  --ipv4-address "10.0.1.4"

# ゾーン内の全レコードを一覧表示
az network private-dns record-set list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 出力例
# Name     Type  Ttl
# vmapp01  A     3600

# DNSクエリツールのインストール（Rocky Linux 9の場合）
sudo dnf install -y bind-utils

# Ubuntu 24.04 LTSの場合
sudo apt-get install -y dnsutils

# digで名前解決を確認
dig vmapp01.corp.internal

# 出力例（正常時）
# ;; ANSWER SECTION:
# vmapp01.corp.internal.  3600  IN  A  10.0.1.4

# nslookupでの確認
nslookup vmapp01.corp.internal
# Server:  168.63.129.16
# Address: 168.63.129.16#53
#
# Name:   vmapp01.corp.internal
# Address: 10.0.1.4

# updateコマンドでオートレジストレーションを有効化
az network private-dns link vnet update \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --name "link-vnet-main" \
  --registration-enabled true

# テスト用VMを作成（Rocky Linux 9ベースのRHELイメージ使用）
az vm create \
  --resource-group $RG \
  --name vmtest02 \
  --image RedHat:RHEL:9-lvm-gen2:latest \
  --vnet-name $VNET \
  --subnet $SUBNET \
  --admin-username azureuser \
  --generate-ssh-keys \
  --public-ip-sku Standard

# VM作成後にAレコードを確認
az network private-dns record-set list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# vmtest02.corp.internalのAレコードが自動登録されているはず
# Name      Type  Ttl
# vmapp01   A     3600
# vmtest02  A     10

# Inbound Endpoint専用サブネット（他リソースと共存不可・/28以上が必須）
az network vnet subnet create \
  --resource-group $RG \
  --vnet-name $VNET \
  --name subnet-dns-inbound \
  --address-prefix 10.0.3.0/28

# Outbound Endpoint専用サブネット
az network vnet subnet create \
  --resource-group $RG \
  --vnet-name $VNET \
  --name subnet-dns-outbound \
  --address-prefix 10.0.4.0/28

VNET_ID=$(az network vnet show \
  --resource-group $RG \
  --name $VNET \
  --query id -o tsv)

az dns-resolver create \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --location $LOCATION \
  --id "$VNET_ID"

# 状態確認
az dns-resolver show \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --query provisioningState -o tsv
# Succeeded

INBOUND_SUBNET_ID=$(az network vnet subnet show \
  --resource-group $RG \
  --vnet-name $VNET \
  --name subnet-dns-inbound \
  --query id -o tsv)

az dns-resolver inbound-endpoint create \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --inbound-endpoint-name inbound-ep \
  --location $LOCATION \
  --ip-configurations private-ip-allocation-method=Dynamic id="$INBOUND_SUBNET_ID"

# 割り当てられたIPアドレスを確認する
az dns-resolver inbound-endpoint show \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --inbound-endpoint-name inbound-ep \
  --query "ipConfigurations[0].privateIpAddress" -o tsv
# 出力例: 10.0.3.4

OUTBOUND_SUBNET_ID=$(az network vnet subnet show \
  --resource-group $RG \
  --vnet-name $VNET \
  --name subnet-dns-outbound \
  --query id -o tsv)

# Outbound Endpoint作成
az dns-resolver outbound-endpoint create \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --outbound-endpoint-name outbound-ep \
  --location $LOCATION \
  --id "$OUTBOUND_SUBNET_ID"

# Forwardingルールセット作成
OUTBOUND_EP_ID=$(az dns-resolver outbound-endpoint show \
  --resource-group $RG \
  --dns-resolver-name dns-resolver-hub \
  --outbound-endpoint-name outbound-ep \
  --query id -o tsv)

az dns-resolver forwarding-ruleset create \
  --resource-group $RG \
  --forwarding-ruleset-name fwdrs-hub \
  --location $LOCATION \
  --outbound-endpoints id="$OUTBOUND_EP_ID"

# 転送ルールを追加する（ドメイン名は末尾に「.」が必須）
# intra.example.co.jp の問い合わせをオンプレDNS（192.168.1.10）へ転送する例
az dns-resolver forwarding-rule create \
  --resource-group $RG \
  --forwarding-ruleset-name fwdrs-hub \
  --forwarding-rule-name rule-onprem \
  --domain-name "intra.example.co.jp." \
  --target-dns-servers ip-address=192.168.1.10 port=53

# ForwardingルールセットをVNetにリンクする
az dns-resolver vnet-link create \
  --resource-group $RG \
  --forwarding-ruleset-name fwdrs-hub \
  --vnet-link-name link-vnet-hub \
  --id "$VNET_ID"

# Blob用のPrivate DNSゾーンを作成する
az network private-dns zone create \
  --resource-group $RG \
  --name "privatelink.blob.core.windows.net"

# VNetにDNSゾーンをリンクする（オートレジストレーションは不要）
az network private-dns link vnet create \
  --resource-group $RG \
  --zone-name "privatelink.blob.core.windows.net" \
  --name "dnslink-blob" \
  --virtual-network $VNET \
  --registration-enabled false

# ストレージアカウントのリソースIDを取得する
STORAGE_ID=$(az storage account show \
  --name <ストレージアカウント名> \
  --resource-group $RG \
  --query id \
  --output tsv)

# Private Endpointを作成する（--group-id でサービス種別を指定）
az network private-endpoint create \
  --name pe-blob-storage \
  --resource-group $RG \
  --vnet-name $VNET \
  --subnet $PE_SUBNET \
  --private-connection-resource-id $STORAGE_ID \
  --group-id blob \
  --connection-name pe-blob-connection \
  --location $LOCATION

# 実行結果（抜粋）
# {
#   "name": "pe-blob-storage",
#   "provisioningState": "Succeeded",
#   "type": "Microsoft.Network/privateEndpoints"
# }

# 割り当てられたプライベートIPを確認する（方法1: customDnsConfigs）
az network private-endpoint show \
  --name pe-blob-storage \
  --resource-group $RG \
  --query "customDnsConfigs[].{fqdn:fqdn,ip:ipAddresses[0]}" \
  --output table

# 出力例
# Fqdn                                              Ip
# ------------------------------------------------  ----------
# <ストレージ名>.blob.core.windows.net              10.0.2.4

# 方法2: NIC IDからIPアドレスを直接取得する（より確実）
NIC_ID=$(az network private-endpoint show \
  --name pe-blob-storage \
  --resource-group $RG \
  --query "networkInterfaces[0].id" \
  --output tsv)

az network nic show --ids $NIC_ID \
  --query "ipConfigurations[0].privateIPAddress" \
  --output tsv
# 10.0.2.4

# DNSゾーングループを作成してAレコードを自動登録する
az network private-endpoint dns-zone-group create \
  --resource-group $RG \
  --endpoint-name pe-blob-storage \
  --name zonegroup-blob \
  --private-dns-zone "privatelink.blob.core.windows.net" \
  --zone-name blob

# nslookupでプライベートIPが返るか確認する（VNet内のLinux VMから実行）
nslookup <ストレージ名>.blob.core.windows.net
# Server:  168.63.129.16
# Address: 168.63.129.16#53
#
# Non-authoritative answer:
# <ストレージ名>.blob.core.windows.net
#   canonical name = <ストレージ名>.privatelink.blob.core.windows.net
# Name: <ストレージ名>.privatelink.blob.core.windows.net
# Address: 10.0.2.4

# curlでHTTPS通信の経路を確認する（VNet内のLinux VMから実行）
# %{remote_ip} で実際の接続先IPアドレスを表示する
curl -s -o /dev/null -w "%{http_code} %{remote_ip}\n" \
  https://<ストレージ名>.blob.core.windows.net
# 403 10.0.2.4
# → 接続先がプライベートIPになっていることを確認。403は認証なしアクセスを拒否しているだけ

# ncコマンドで443ポートへの到達確認（Rocky Linux 9の場合はncatパッケージ）
nc -zv <ストレージ名>.blob.core.windows.net 443
# Ncat: Connected to 10.0.2.4:443.
# 接続先がプライベートIP（10.0.2.4）であればPrivate Endpoint経由と確認できる

# StorageアカウントのパブリックアクセスをDisabledにする
az storage account update \
  --name <ストレージアカウント名> \
  --resource-group $RG \
  --public-network-access Disabled

# 設定が反映されたことを確認する
az storage account show \
  --name <ストレージアカウント名> \
  --resource-group $RG \
  --query publicNetworkAccess

# 出力例
# "Disabled"

# VNet外のPC（インターネット経由のaz CLI）から実行 → 拒否される
az storage blob list \
  --account-name <ストレージアカウント名> \
  --container-name mycontainer \
  --auth-mode login 2>&1
# This request is not authorized to perform this operation.

# VNet内のLinux VMから実行 → 成功（プライベートIP経由のため）
az storage blob list \
  --account-name <ストレージアカウント名> \
  --container-name mycontainer \
  --auth-mode login
# []  ← 空のリストが返れば正常（コンテナが空の場合）

# VNetリンクの一覧と状態を確認
az network private-dns link vnet list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 期待する出力
# Name            ProvisioningState  VirtualNetworkLinkState
# link-vnet-main  Succeeded          Completed

# Rocky Linux 9でのDNSリゾルバ確認
cat /etc/resolv.conf

# Azureデフォルトリゾルバが含まれているか確認
# nameserver 168.63.129.16

# nmcliで現在のDNS設定を確認
nmcli dev show | grep DNS

# systemd-resolvedのDNSキャッシュをクリアする
sudo resolvectl flush-caches

# キャッシュクリア後に再確認
nslookup <ストレージ名>.blob.core.windows.net

# curlの接続先IPも再確認する
curl -s -o /dev/null -w "http_code: %{http_code}  remote_ip: %{remote_ip}\n" \
  https://<ストレージ名>.blob.core.windows.net
# http_code: 403  remote_ip: 10.0.2.4 ← プライベートIPになっていれば正常

# NSGのルール一覧を確認
az network nsg list --resource-group $RG --output table

# 特定NSGのルールを詳細確認（NSG名はAzureポータルまたは上記コマンドで取得）
az network nsg rule list \
  --resource-group $RG \
  --nsg-name  \
  --output table

# DNS Private Resolver使用時：Inbound Endpointサブネット向けNSGにDNSポートを許可する
az network nsg rule create \
  --resource-group $RG \
  --nsg-name nsg-dns-inbound \
  --name allow-dns-from-onprem \
  --priority 100 \
  --direction Inbound \
  --protocol Udp \
  --destination-port-ranges 53 \
  --access Allow

# DNSゾーングループの存在を確認する
az network private-endpoint dns-zone-group list \
  --resource-group $RG \
  --endpoint-name pe-blob-storage \
  --output table

# ゾーングループが存在しない場合はnslookupがパブリックIPを返し続ける

# Private Endpointのプロビジョニング状態を確認する
az network private-endpoint show \
  --name pe-blob-storage \
  --resource-group $RG \
  --query "provisioningState" \
  --output tsv
# "Succeeded" が返れば作成は完了している

# VM用サブネットに適用されているNSGのルールを確認する
az network nsg rule list \
  --resource-group $RG \
  --nsg-name  \
  --output table
# ポート443のアウトバウンド許可ルールが存在するか確認する

# 既存サブネットのNetwork Policiesを無効化する（後から修正する場合）
az network vnet subnet update \
  --resource-group $RG \
  --vnet-name $VNET \
  --name $PE_SUBNET \
  --disable-private-endpoint-network-policies true

# 変更後に再度Private Endpoint作成を試みる

# ForwardingルールセットのVNetリンク状況を確認する
az dns-resolver vnet-link list \
  --resource-group $RG \
  --forwarding-ruleset-name fwdrs-hub \
  --query "[].{Name:name, VNet:virtualNetwork.id}" -o table

# 出力例（リンク済みの場合）
# Name            VNet
# link-vnet-hub   /subscriptions/.../virtualNetworks/vnet-main

# 出力が空の場合はリンクが未設定 → az dns-resolver vnet-link create で追加する