AzureのPrivate DNSゾーンを設定する方法｜VNet内の名前解決をazコマンドで構成する

この記事のポイント

・azure private dns zoneはVNet専用の非公開ゾーンで外部から参照できない
・az network private-dns zone create でゾーン作成、vnet linkでVNetに接続する
・オートレジストレーションを有効にするとVM作成時にAレコードが自動登録される
・Private Endpoint のDNS統合には privatelink.* ゾーン + DNSゾーングループの両方が必要
・サービスごとに --group-id（blob/file/sqlServer/vault等）と privatelink.* ゾーン名が異なる
・nslookupでプライベートIPが返り、curlで403が返ることで閉域通信の確立を確認できる

# az CLIのインストール（Ubuntu/Debian系）
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

# バージョン確認
az --version

# Azureアカウントへのログイン
az login

# 変数を定義しておく
RG="rg-dns-lab"
LOCATION="japaneast"
VNET="vnet-main"
SUBNET="subnet-private"
PE_SUBNET="subnet-pe"

# リソースグループの作成
az group create --name $RG --location $LOCATION

# VNetとVM用サブネットの作成
az network vnet create \
  --resource-group $RG \
  --name $VNET \
  --address-prefix 10.0.0.0/16 \
  --subnet-name $SUBNET \
  --subnet-prefix 10.0.1.0/24

# Private Endpoint専用サブネットを追加する（VM用と分離するとNSG管理が楽になる）
az network vnet subnet create \
  --resource-group $RG \
  --vnet-name $VNET \
  --name $PE_SUBNET \
  --address-prefixes 10.0.2.0/24

# 実行結果（抜粋）
# "provisioningState": "Succeeded"

# Private DNSゾーンの作成（ゾーン名はカスタムドメイン名）
az network private-dns zone create \
  --resource-group $RG \
  --name "corp.internal"

# 実行結果（抜粋）
# {
#   "location": "global",
#   "name": "corp.internal",
#   "provisioningState": "Succeeded"
# }

# VNetリンクを作成（オートレジストレーションは後で有効化する）
az network private-dns link vnet create \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --name "link-vnet-main" \
  --virtual-network $VNET \
  --registration-enabled false

# リンク状態の確認
az network private-dns link vnet list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 期待する出力
# Name            ProvisioningState  VirtualNetworkLinkState
# link-vnet-main  Succeeded          Completed

# vmapp01.corp.internal → 10.0.1.4 を登録する例
az network private-dns record-set a add-record \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --record-set-name "vmapp01" \
  --ipv4-address "10.0.1.4"

# ゾーン内の全レコードを一覧表示
az network private-dns record-set list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 出力例
# Name     Type  Ttl
# vmapp01  A     3600

# DNSクエリツールのインストール（Rocky Linux 9の場合）
sudo dnf install -y bind-utils

# Ubuntu 24.04 LTSの場合
sudo apt-get install -y dnsutils

# digで名前解決を確認
dig vmapp01.corp.internal

# 出力例（正常時）
# ;; ANSWER SECTION:
# vmapp01.corp.internal.  3600  IN  A  10.0.1.4

# nslookupでの確認
nslookup vmapp01.corp.internal
# Server:  168.63.129.16
# Address: 168.63.129.16#53
#
# Name:   vmapp01.corp.internal
# Address: 10.0.1.4

# updateコマンドでオートレジストレーションを有効化
az network private-dns link vnet update \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --name "link-vnet-main" \
  --registration-enabled true

# テスト用VMを作成（Rocky Linux 9ベースのRHELイメージ使用）
az vm create \
  --resource-group $RG \
  --name vmtest02 \
  --image RedHat:RHEL:9-lvm-gen2:latest \
  --vnet-name $VNET \
  --subnet $SUBNET \
  --admin-username azureuser \
  --generate-ssh-keys \
  --public-ip-sku Standard

# VM作成後にAレコードを確認
az network private-dns record-set list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# vmtest02.corp.internalのAレコードが自動登録されているはず
# Name      Type  Ttl
# vmapp01   A     3600
# vmtest02  A     10

# Blob用のPrivate DNSゾーンを作成する
az network private-dns zone create \
  --resource-group $RG \
  --name "privatelink.blob.core.windows.net"

# VNetにDNSゾーンをリンクする（オートレジストレーションは不要）
az network private-dns link vnet create \
  --resource-group $RG \
  --zone-name "privatelink.blob.core.windows.net" \
  --name "dnslink-blob" \
  --virtual-network $VNET \
  --registration-enabled false

# ストレージアカウントのリソースIDを取得する
STORAGE_ID=$(az storage account show \
  --name <ストレージアカウント名> \
  --resource-group $RG \
  --query id \
  --output tsv)

# Private Endpointを作成する（--group-id でサービス種別を指定）
az network private-endpoint create \
  --name pe-blob-storage \
  --resource-group $RG \
  --vnet-name $VNET \
  --subnet $PE_SUBNET \
  --private-connection-resource-id $STORAGE_ID \
  --group-id blob \
  --connection-name pe-blob-connection

# 割り当てられたプライベートIPを確認する
az network private-endpoint show \
  --name pe-blob-storage \
  --resource-group $RG \
  --query "customDnsConfigs[].ipAddresses[]" \
  --output tsv
# 出力例: 10.0.2.4

# DNSゾーングループを作成してAレコードを自動登録する
az network private-endpoint dns-zone-group create \
  --resource-group $RG \
  --endpoint-name pe-blob-storage \
  --name zonegroup-blob \
  --private-dns-zone "privatelink.blob.core.windows.net" \
  --zone-name blob

# nslookupでプライベートIPが返るか確認する（VNet内のLinux VMから実行）
nslookup ストレージ名.blob.core.windows.net
# Server:  168.63.129.16
# Address: 168.63.129.16#53
#
# Non-authoritative answer:
# ストレージ名.blob.core.windows.net
#   canonical name = ストレージ名.privatelink.blob.core.windows.net
# Name: ストレージ名.privatelink.blob.core.windows.net
# Address: 10.0.2.4

# curlでHTTPS通信の経路を確認する（VNet内のLinux VMから実行）
curl -s -o /dev/null -w "%{http_code}" \
  https://ストレージ名.blob.core.windows.net
# 403 → 認証なしアクセスを拒否しているだけ。ネットワーク経路としては正常
# 000 → 接続タイムアウト。Private DNS ZoneかNSGの設定を見直す

# ncコマンドで443ポートへの到達確認（Rocky Linux 9の場合はncatパッケージ）
nc -zv ストレージ名.blob.core.windows.net 443
# Ncat: Connected to 10.0.2.4:443.
# 接続先がプライベートIP（10.0.2.4）であればPrivate Endpoint経由と確認できる

# VNetリンクの一覧と状態を確認
az network private-dns link vnet list \
  --resource-group $RG \
  --zone-name "corp.internal" \
  --output table

# 期待する出力
# Name            ProvisioningState  VirtualNetworkLinkState
# link-vnet-main  Succeeded          Completed

# Rocky Linux 9でのDNSリゾルバ確認
cat /etc/resolv.conf

# Azureデフォルトリゾルバが含まれているか確認
# nameserver 168.63.129.16

# nmcliで現在のDNS設定を確認
nmcli dev show | grep DNS

# NSGのルール一覧を確認
az network nsg list --resource-group $RG --output table

# 特定NSGのルールを詳細確認（NSG名はAzureポータルまたは上記コマンドで取得）
az network nsg rule list \
  --resource-group $RG \
  --nsg-name  \
  --output table

# DNSゾーングループの存在を確認する
az network private-endpoint dns-zone-group list \
  --resource-group $RG \
  --endpoint-name pe-blob-storage \
  --output table

# ゾーングループが存在しない場合はnslookupがパブリックIPを返し続ける

# Private Endpointのプロビジョニング状態を確認する
az network private-endpoint show \
  --name pe-blob-storage \
  --resource-group $RG \
  --query "provisioningState" \
  --output tsv
# "Succeeded" が返れば作成は完了している

# VM用サブネットに適用されているNSGのルールを確認する
az network nsg rule list \
  --resource-group $RG \
  --nsg-name  \
  --output table
# ポート443のアウトバウンド許可ルールが存在するか確認する