AzureのVNetサービスエンドポイントを設定する方法｜StorageをサブネットIPに限定してPrivate Endpointと使い分ける実践手順

この記事のポイント

・--service-endpointsオプションでサブネット単位にService Endpointを有効化できる
・az storage account network-rule addでStorageをVNetサブネットIPに限定できる
・Private Endpointは追加コストが必要だがサービスにプライベートIPを付与し完全遮断できる
・Service Endpointは追加コストなし・設定が簡単で既存アーキテクチャを変えずに導入できる

# 変数の定義（環境に合わせて変更してください）
RG="rg-service-endpoint-demo"
LOCATION="japaneast"
VNET="vnet-demo"
SUBNET="snet-app"
STORAGE_ACCOUNT="stsvcepdemo$(date +%m%d)"   # 小文字・3～24文字・グローバル一意
ADDRESS_PREFIX="10.0.0.0/16"
SUBNET_PREFIX="10.0.1.0/24"

# リソースグループを作成
$ az group create \
    --name $RG \
    --location $LOCATION
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-service-endpoint-demo",
  "location": "japaneast",
  "name": "rg-service-endpoint-demo",
  "properties": {
    "provisioningState": "Succeeded"
  }
}

# VNetを作成（アドレス空間だけ先に定義）
$ az network vnet create \
    --resource-group $RG \
    --name $VNET \
    --address-prefix $ADDRESS_PREFIX
{
  "name": "vnet-demo",
  "addressSpace": {
    "addressPrefixes": ["10.0.0.0/16"]
  },
  "provisioningState": "Succeeded"
}

# アプリケーション用サブネットを追加
$ az network vnet subnet create \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --address-prefix $SUBNET_PREFIX
{
  "name": "snet-app",
  "addressPrefix": "10.0.1.0/24",
  "provisioningState": "Succeeded"
}

# snet-appにStorageのService Endpointを有効化
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --service-endpoints Microsoft.Storage

# 有効化されたことを確認
$ az network vnet subnet show \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --query serviceEndpoints \
    --output table
Service              ProvisioningState    Locations
-------------------  -------------------  ------------------
Microsoft.Storage    Succeeded            japaneast, japanwest

# Storageアカウントを作成（Standard LRS）
$ az storage account create \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --location $LOCATION \
    --sku Standard_LRS
{
  "name": "stsvcepdemo0806",
  "provisioningState": "Succeeded",
  "statusOfPrimary": "available"
}

# ステップ1: サブネットからのアクセスを許可するルールを追加
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --vnet-name $VNET \
    --subnet $SUBNET
{
  "action": "Allow",
  "state": "Succeeded",
  "virtualNetworkResourceId": "/subscriptions/.../snet-app"
}

# ステップ2: デフォルトアクションをDeny（ルールに一致しない接続を拒否）に変更
$ az storage account update \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --default-action Deny

$ az storage account show \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --query networkRuleSet \
    --output json
{
  "bypass": "AzureServices",
  "defaultAction": "Deny",
  "ipRules": [],
  "virtualNetworkRules": [
    {
      "action": "Allow",
      "state": "Succeeded",
      "virtualNetworkResourceId": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-service-endpoint-demo/providers/Microsoft.Network/virtualNetworks/vnet-demo/subnets/snet-app"
    }
  ]
}

# snet-app上のVM（10.0.1.x）からcurlでBlobエンドポイントに疎通確認
[azureuser@vm-app ~]$ curl -s -o /dev/null -w "%{http_code}" \
    "https://stsvcepdemo0806.blob.core.windows.net/?restype=account&comp=properties" \
    -H "x-ms-version: 2020-10-02" \
    -H "x-ms-date: $(date -u +%a,\ %d\ %b\ %Y\ %H:%M:%S\ GMT)"
400
# 400=認証エラーは「到達できた」こと。ネットワーク的にはOK

# 別のVMまたはローカルPCから（ルールに含まれないIPアドレス）
$ curl -s -o /dev/null -w "%{http_code}" \
    "https://stsvcepdemo0806.blob.core.windows.net/?restype=account&comp=properties" \
    -H "x-ms-version: 2020-10-02"
403
# 403=アクセス拒否。ネットワークルールがDenyとして機能している

# StorageとKey Vaultを同時に有効化
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --service-endpoints Microsoft.Storage Microsoft.KeyVault

# 確認
$ az network vnet subnet show \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --query serviceEndpoints[].service \
    --output tsv
Microsoft.KeyVault
Microsoft.Storage

# Key Vaultのネットワークルールにサブネットを追加
$ KEYVAULT_NAME="kv-sepdemo0806"

$ az keyvault network-rule add \
    --name $KEYVAULT_NAME \
    --resource-group $RG \
    --vnet-name $VNET \
    --subnet $SUBNET

# デフォルトアクションをDenyに設定
$ az keyvault update \
    --name $KEYVAULT_NAME \
    --resource-group $RG \
    --default-action Deny

# 現在のネットワークルールを確認
$ az storage account show \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --query networkRuleSet

# virtualNetworkRulesにサブネットが含まれているか確認
# 含まれていない場合はnetwork-rule addを再実行する
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --vnet-name $VNET \
    --subnet $SUBNET

# 現在のロール割り当てを確認
$ az role assignment list \
    --assignee $(az account show --query user.name -o tsv) \
    --scope /subscriptions/$(az account show --query id -o tsv) \
    --query "[].{Role:roleDefinitionName}" \
    --output table

Role
----------
Contributor

# 接続元のIPアドレスを確認（ピアリング先VMなど）
$ ip addr show eth0 | grep "inet "
inet 10.1.0.4/24   # 別VNetの場合はService Endpointが適用されない

# 対処方法: そのIPレンジをipRulesとして個別追加するか、Private Endpointへ移行
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --ip-address 10.1.0.4