AzureのVNetサービスエンドポイントを設定する方法｜StorageをサブネットIPに限定してPrivate Endpointと使い分ける実践手順

この記事のポイント

・--service-endpointsオプションでサブネット単位にService Endpointを有効化できる
・Private EndpointはVNetのサブネットに仮想NICを払い出し、サービスをプライベートIPで使う仕組み
・Private EndpointはStorageのPublic AccessをDisabledに設定しながらVNet内からのアクセスを維持できる
・Private EndpointはDNS Zone作成→VNetリンク→DNS Zone Group作成→疎通確認の4段階で構築する
・NSGとの組み合わせ時はサービスタグ（Microsoft.Storage）を使ったアウトバウンドルールが必要
・digでグローバルIPが返る場合はVNetリンク・DNSゾーングループの設定漏れとVMのDNSリゾルバ設定（168.63.129.16）を先に確認する

# 変数定義
RG="pe-demo-rg"
LOCATION="japaneast"
VNET_NAME="pe-demo-vnet"
SUBNET_VM="vm-subnet"
SUBNET_PE="pe-subnet"
# Storageアカウント名：末尾にエポック秒の下6桁で一意性を確保
STORAGE_ACCOUNT="pedemostr$(date +%s | tail -c 6)"
PE_NAME="pe-demo-blob"

# リソースグループとVNet作成
$ az group create --name $RG --location $LOCATION
$ az network vnet create \
    --resource-group $RG \
    --name $VNET_NAME \
    --address-prefix 10.10.0.0/16

# VM用サブネット（10.10.1.0/24）
$ az network vnet subnet create \
    --resource-group $RG \
    --vnet-name $VNET_NAME \
    --name $SUBNET_VM \
    --address-prefix 10.10.1.0/24

# Private Endpoint用サブネット（10.10.2.0/24）
$ az network vnet subnet create \
    --resource-group $RG \
    --vnet-name $VNET_NAME \
    --name $SUBNET_PE \
    --address-prefix 10.10.2.0/24

# テスト用VMをVM用サブネットに作成（Ubuntu 22.04 LTS、Standard_B1s）
$ az vm create \
    --resource-group $RG \
    --name vm-test \
    --image Ubuntu2204 \
    --vnet-name $VNET_NAME \
    --subnet $SUBNET_VM \
    --generate-ssh-keys \
    --public-ip-sku Standard \
    --size Standard_B1s

$ az storage account create \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --sku Standard_LRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --https-only true \
    --public-network-access Disabled

# パブリックアクセスの無効状態をJSON形式で確認
$ az storage account show \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --query "{name:name, publicNetworkAccess:publicNetworkAccess}" \
    -o json
{
  "name": "pedemostr12345678",
  "publicNetworkAccess": "Disabled"
}

# Storage AccountのリソースIDを取得
STORAGE_ID=$(az storage account show \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --query id -o tsv)

# Private Endpointを作成
$ az network private-endpoint create \
    --resource-group $RG \
    --name $PE_NAME \
    --vnet-name $VNET_NAME \
    --subnet $SUBNET_PE \
    --private-connection-resource-id $STORAGE_ID \
    --group-id blob \
    --connection-name "${PE_NAME}-connection"

# エンドポイントに割り当てられたプライベートIPを確認
$ az network private-endpoint show \
    --resource-group $RG \
    --name $PE_NAME \
    --query 'customDnsConfigs[].{fqdn:fqdn,ipAddresses:ipAddresses}' \
    --output table
FQDN                                                IpAddresses
--------------------------------------------------  ---------------
pedemostr12345678.blob.core.windows.net             ['10.10.2.4']
pedemostr12345678.privatelink.blob.core.windows.net ['10.10.2.4']

# Private DNS Zoneを作成
$ az network private-dns zone create \
    --resource-group $RG \
    --name "privatelink.blob.core.windows.net"

# DNS ZoneをVNetにリンク（registration-enabled falseでVM名の自動登録を無効化）
$ az network private-dns link vnet create \
    --resource-group $RG \
    --zone-name "privatelink.blob.core.windows.net" \
    --name "pe-demo-vnet-link" \
    --virtual-network $VNET_NAME \
    --registration-enabled false

# DNSゾーングループを作成（AレコードをPrivate DNS Zoneに自動登録）
DNS_ZONE_ID=$(az network private-dns zone show \
    --resource-group $RG \
    --name "privatelink.blob.core.windows.net" \
    --query id -o tsv)

$ az network private-endpoint dns-zone-group create \
    --resource-group $RG \
    --endpoint-name $PE_NAME \
    --name "blob-dns-group" \
    --private-dns-zone $DNS_ZONE_ID \
    --zone-name "privatelink.blob.core.windows.net"

# AレコードがDNS Zoneに登録されたか確認
$ az network private-dns record-set a list \
    --resource-group $RG \
    --zone-name "privatelink.blob.core.windows.net" \
    --output table
Name                  Ttl    Type    AutoRegistered    Metadata
--------------------  -----  ------  ----------------  ----------
pedemostr12345678     3600   A       False

# digでDNS解決を確認（プライベートIPが返ればOK）
$ dig pedemostr12345678.blob.core.windows.net

;; ANSWER SECTION:
pedemostr12345678.blob.core.windows.net. 300 IN CNAME pedemostr12345678.privatelink.blob.core.windows.net.
pedemostr12345678.privatelink.blob.core.windows.net. 3600 IN A 10.10.2.4

;; SERVER: 168.63.129.16#53(168.63.129.16)

# nslookupでDNS解決を確認（dig代替）
$ nslookup pedemostr12345678.blob.core.windows.net
Server:         168.63.129.16
Address:        168.63.129.16#53

Non-authoritative answer:
pedemostr12345678.blob.core.windows.net
        canonical name = pedemostr12345678.privatelink.blob.core.windows.net.
Name:   pedemostr12345678.privatelink.blob.core.windows.net
Address: 10.10.2.4

# nc -zvでポート443へのTCP到達確認（プライベートIPへの直接指定）
$ nc -zv 10.10.2.4 443
Ncat: Version 7.80 ( https://nmap.org/ncat )
Ncat: Connected to 10.10.2.4:443.
Ncat: 0 bytes sent, 0 bytes received in 0.03 seconds.

# curlで未認証アクセス（400が返れば到達できている）
$ curl -I https://pedemostr12345678.blob.core.windows.net/
HTTP/1.1 400 Bad Request
Content-Length: 0
Server: Microsoft-HTTPAPI/2.0
# ネットワーク的に到達できない場合はConnection refusedやcurl: (6) Could not resolve host

# VNet内VMからaz CLIでBlobコンテナーの一覧を取得（実データで疎通確認）
$ az storage container list \
    --account-name $STORAGE_ACCOUNT \
    --auth-mode login \
    --output table
Name        Lease State    Last Modified
----------  -------------  --------------------
mycontainer available      2026-09-12T04:15:32+00:00
# VNet外から同じコマンドを実行するとAuthorizationFailureまたは接続エラーになる

# コンテナー作成とBlobアップロードで書き込み疎通も確認する
$ az storage container create \
    --account-name $STORAGE_ACCOUNT \
    --name test-container \
    --auth-mode login
$ echo "private endpoint test" > /tmp/pe-test.txt
$ az storage blob upload \
    --account-name $STORAGE_ACCOUNT \
    --container-name test-container \
    --name pe-test.txt \
    --file /tmp/pe-test.txt \
    --auth-mode login
$ az storage blob list \
    --account-name $STORAGE_ACCOUNT \
    --container-name test-container \
    --auth-mode login \
    --output table
Name         Blob Type    Blob Tier    Length    Content Type              Last Modified
-----------  -----------  -----------  --------  ------------------------  -------------------------
pe-test.txt  BlockBlob    Hot          22        application/octet-stream  2026-09-15T04:30:00+00:00

# Azure SQL ServerのリソースIDを取得（事前にSQL Serverが作成済みの前提）
SQL_SERVER_ID=$(az sql server show \
    --resource-group $RG \
    --name my-sql-server \
    --query id -o tsv)

# Azure SQL用Private Endpointを作成（group-idはsqlServer）
$ az network private-endpoint create \
    --resource-group $RG \
    --name pe-demo-sql \
    --vnet-name $VNET_NAME \
    --subnet $SUBNET_PE \
    --private-connection-resource-id $SQL_SERVER_ID \
    --group-id sqlServer \
    --connection-name "pe-demo-sql-connection"

# Private DNS Zone（SQL用はprivatelink.database.windows.net）
$ az network private-dns zone create \
    --resource-group $RG \
    --name "privatelink.database.windows.net"

$ az network private-dns link vnet create \
    --resource-group $RG \
    --zone-name "privatelink.database.windows.net" \
    --name "pe-demo-sql-vnet-link" \
    --virtual-network $VNET_NAME \
    --registration-enabled false

# DNSゾーングループを作成
SQL_DNS_ZONE_ID=$(az network private-dns zone show \
    --resource-group $RG \
    --name "privatelink.database.windows.net" \
    --query id -o tsv)

$ az network private-endpoint dns-zone-group create \
    --resource-group $RG \
    --endpoint-name pe-demo-sql \
    --name "sql-dns-group" \
    --private-dns-zone $SQL_DNS_ZONE_ID \
    --zone-name "privatelink.database.windows.net"

# VMからnslookupで疎通確認（プライベートIPが返ればOK）
$ nslookup my-sql-server.database.windows.net
Server:         168.63.129.16
Address:        168.63.129.16#53

Non-authoritative answer:
my-sql-server.database.windows.net
        canonical name = my-sql-server.privatelink.database.windows.net.
Name:   my-sql-server.privatelink.database.windows.net
Address: 10.10.2.5

# バージョン確認（2.50以上を推奨）
$ az --version
azure-cli  2.61.0

# ログイン状態確認（サブスクリプション名が表示されれば認証済み）
$ az account show --output table
Name              CloudName    SubscriptionId                        State    IsDefault
----------------  -----------  ------------------------------------  -------  -----------
MySubscription    AzureCloud   xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx  Enabled  True

# 変数の定義（環境に合わせて変更してください）
RG="rg-service-endpoint-demo"
LOCATION="japaneast"
VNET="vnet-demo"
SUBNET="snet-app"
STORAGE_ACCOUNT="stsvcepdemo0923"   # 小文字・3～24文字・グローバル一意
ADDRESS_PREFIX="10.0.0.0/16"
SUBNET_PREFIX="10.0.1.0/24"

# リソースグループを作成
$ az group create \
    --name $RG \
    --location $LOCATION
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-service-endpoint-demo",
  "location": "japaneast",
  "name": "rg-service-endpoint-demo",
  "properties": {
    "provisioningState": "Succeeded"
  }
}

# VNetを作成（アドレス空間だけ先に定義）
$ az network vnet create \
    --resource-group $RG \
    --name $VNET \
    --address-prefix $ADDRESS_PREFIX
{
  "name": "vnet-demo",
  "addressSpace": {
    "addressPrefixes": ["10.0.0.0/16"]
  },
  "provisioningState": "Succeeded"
}

# アプリケーション用サブネットを追加
$ az network vnet subnet create \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --address-prefix $SUBNET_PREFIX
{
  "name": "snet-app",
  "addressPrefix": "10.0.1.0/24",
  "provisioningState": "Succeeded"
}

# snet-appにStorageのService Endpointを有効化
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --service-endpoints Microsoft.Storage

# 有効化されたことを確認
$ az network vnet subnet show \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --query serviceEndpoints \
    --output table
Service              ProvisioningState    Locations
-------------------  -------------------  ------------------
Microsoft.Storage    Succeeded            japaneast, japanwest

# Storageアカウントを作成（Standard LRS）
$ az storage account create \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --location $LOCATION \
    --sku Standard_LRS
{
  "name": "stsvcepdemo0806",
  "provisioningState": "Succeeded",
  "statusOfPrimary": "available"
}

# ステップ1: サブネットからのアクセスを許可するルールを追加
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --vnet-name $VNET \
    --subnet $SUBNET
{
  "action": "Allow",
  "state": "Succeeded",
  "virtualNetworkResourceId": "/subscriptions/.../snet-app"
}

# ステップ2: デフォルトアクションをDeny（ルールに一致しない接続を拒否）に変更
$ az storage account update \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --default-action Deny

$ az storage account show \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --query networkRuleSet \
    --output json
{
  "bypass": "AzureServices",
  "defaultAction": "Deny",
  "ipRules": [],
  "virtualNetworkRules": [
    {
      "action": "Allow",
      "state": "Succeeded",
      "virtualNetworkResourceId": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-service-endpoint-demo/providers/Microsoft.Network/virtualNetworks/vnet-demo/subnets/snet-app"
    }
  ]
}

# snet-app上のVM（10.0.1.x）からcurlでBlobエンドポイントに疎通確認
[azureuser@vm-app ~]$ curl -s -o /dev/null -w "%{http_code}" \
    "https://stsvcepdemo0806.blob.core.windows.net/?restype=account&comp=properties" \
    -H "x-ms-version: 2020-10-02" \
    -H "x-ms-date: $(date -u +%a,\ %d\ %b\ %Y\ %H:%M:%S\ GMT)"
400
# 400=認証エラーは「到達できた」こと。ネットワーク的にはOK

# 別のVMまたは自分のPCから（ルールに含まれないIPアドレス）
$ curl -s -o /dev/null -w "%{http_code}" \
    "https://stsvcepdemo0806.blob.core.windows.net/?restype=account&comp=properties" \
    -H "x-ms-version: 2020-10-02"
403
# 403=アクセス拒否。ネットワークルールがDenyとして機能している

# StorageとKey Vaultを同時に有効化
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --service-endpoints Microsoft.Storage Microsoft.KeyVault

# 確認
$ az network vnet subnet show \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --query serviceEndpoints[].service \
    --output tsv
Microsoft.KeyVault
Microsoft.Storage

# Key Vaultのネットワークルールにサブネットを追加
$ KEYVAULT_NAME="kv-sepdemo0806"

$ az keyvault network-rule add \
    --name $KEYVAULT_NAME \
    --resource-group $RG \
    --vnet-name $VNET \
    --subnet $SUBNET

# デフォルトアクションをDenyに設定
$ az keyvault update \
    --name $KEYVAULT_NAME \
    --resource-group $RG \
    --default-action Deny

# NSGを作成してサブネットに紐付ける（既存NSGがある場合はスキップ）
$ az network nsg create \
    --resource-group $RG \
    --name nsg-app

$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET \
    --name $SUBNET \
    --network-security-group nsg-app

# StorageへのService Endpointトラフィックを許可するアウトバウンドルール（優先度100）
$ az network nsg rule create \
    --resource-group $RG \
    --nsg-name nsg-app \
    --name allow-storage-service-endpoint \
    --priority 100 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --destination-address-prefixes Microsoft.Storage \
    --destination-port-ranges 443

# 全アウトバウンドを拒否するルール（Service Endpoint許可より低い優先度）
$ az network nsg rule create \
    --resource-group $RG \
    --nsg-name nsg-app \
    --name deny-all-outbound \
    --priority 4096 \
    --direction Outbound \
    --access Deny \
    --protocol "*" \
    --destination-address-prefixes "*" \
    --destination-port-ranges "*"

# ルール一覧の確認
$ az network nsg rule list \
    --resource-group $RG \
    --nsg-name nsg-app \
    --query "[].{Name:name, Priority:priority, Direction:direction, Access:access, DestAddr:destinationAddressPrefix}" \
    --output table
Name                            Priority  Direction  Access  DestAddr
------------------------------  --------  ---------  ------  -----------------
allow-storage-service-endpoint  100       Outbound   Allow   Microsoft.Storage
deny-all-outbound               4096      Outbound   Deny    *

# Private Endpointサブネットのポリシー設定を確認
$ az network vnet subnet show \
    --resource-group $RG \
    --vnet-name $VNET_NAME \
    --name $SUBNET_PE \
    --query privateEndpointNetworkPolicies \
    --output tsv
# Enabled（NSGが有効）または Disabled（2021年以前の古い設定）

# Disabledの場合はEnabledに変更する
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET_NAME \
    --name $SUBNET_PE \
    --private-endpoint-network-policies Enabled

# Private Endpointサブネット用NSGを作成
$ az network nsg create \
    --resource-group $RG \
    --name nsg-pe

# アプリサブネットからのHTTPS（443）のみ許可するインバウンドルール
$ az network nsg rule create \
    --resource-group $RG \
    --nsg-name nsg-pe \
    --name allow-appsubnet-to-blob \
    --priority 100 \
    --direction Inbound \
    --protocol Tcp \
    --source-address-prefix 10.0.1.0/24 \
    --destination-port-range 443 \
    --access Allow

# その他のインバウンドを拒否
$ az network nsg rule create \
    --resource-group $RG \
    --nsg-name nsg-pe \
    --name deny-all-inbound \
    --priority 200 \
    --direction Inbound \
    --protocol "*" \
    --source-address-prefix "*" \
    --destination-port-range "*" \
    --access Deny

# NSGをPrivate Endpointサブネットに適用
$ az network vnet subnet update \
    --resource-group $RG \
    --vnet-name $VNET_NAME \
    --name $SUBNET_PE \
    --network-security-group nsg-pe

# 現在のネットワークルールを確認
$ az storage account show \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --query networkRuleSet

# virtualNetworkRulesにサブネットが含まれているか確認
# 含まれていない場合はnetwork-rule addを再実行する
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --vnet-name $VNET \
    --subnet $SUBNET

# 現在のロール割り当てを確認
$ az role assignment list \
    --assignee $(az account show --query user.name -o tsv) \
    --scope /subscriptions/$(az account show --query id -o tsv) \
    --query "[].{Role:roleDefinitionName}" \
    --output table

Role
----------
Contributor

# 接続元のIPアドレスを確認（ピアリング先VMなど）
$ ip addr show eth0 | grep "inet "
inet 10.1.0.4/24   # 別VNetの場合はService Endpointが適用されない

# 対処方法: そのIPレンジをipRulesとして個別追加するか、Private Endpointへ移行
$ az storage account network-rule add \
    --resource-group $RG \
    --account-name $STORAGE_ACCOUNT \
    --ip-address 10.1.0.4

# VMのNICに適用されているNSGの有効ルールを確認
$ az network nic list-effective-nsg \
    --resource-group $RG \
    --name  \
    --query "effectiveSecurityRules[?direction=='Outbound'].{Name:name,Priority:priority,Access:access,DestAddr:destinationAddressPrefix}" \
    --output table

# DenyAllが先に評価されている場合は、より低い優先度番号のAllowルールを追加する
$ az network nsg rule create \
    --resource-group $RG \
    --nsg-name nsg-app \
    --name allow-storage-service-endpoint \
    --priority 100 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --destination-address-prefixes Microsoft.Storage \
    --destination-port-ranges 443

# ネットワークルール変更後、反映を待ってからテスト
$ az storage account update \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --default-action Deny

# 60秒待機してからcurlで確認
$ sleep 60
$ curl -s -o /dev/null -w "%{http_code}" \
    "https://${STORAGE_ACCOUNT}.blob.core.windows.net/?restype=account&comp=properties" \
    -H "x-ms-version: 2020-10-02"
403
# 403が返れば変更が反映されている

# Private DNS ZoneのVNetリンクを確認（Completedが正常）
$ az network private-dns link vnet show \
    --resource-group $RG \
    --zone-name "privatelink.blob.core.windows.net" \
    --name "pe-demo-vnet-link" \
    --query virtualNetworkLinkState \
    --output tsv
Completed
# 出力がない・エラーになる場合はVNetリンクが未設定

# VNetにリンクされているすべてのゾーンを一覧表示する場合
$ az network private-dns link vnet list \
    --resource-group $RG \
    --zone-name "privatelink.blob.core.windows.net" \
    --output table

# DNSゾーングループを確認
$ az network private-endpoint dns-zone-group list \
    --resource-group $RG \
    --endpoint-name $PE_NAME \
    --output table
# 出力がなければゾーングループが未設定

# VMのDNSリゾルバ設定を確認（168.63.129.16が正常）
$ cat /etc/resolv.conf
nameserver 168.63.129.16

# VNet自体のDNSサーバー設定を確認（空欄ならAzureデフォルト168.63.129.16を使用）
$ az network vnet show \
    --resource-group $RG \
    --name $VNET_NAME \
    --query "dhcpOptions.dnsServers" \
    --output tsv
# 出力が空なら問題なし。カスタムDNSが設定されている場合はPrivate DNS Zoneへの転送設定が必要

# VMのマネージドIDのプリンシパルIDを確認
$ az vm show \
    --resource-group $RG \
    --name  \
    --query identity.principalId \
    --output tsv
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

# BlobデータへのReader権限を付与
STORAGE_ID=$(az storage account show \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --query id -o tsv)

$ az role assignment create \
    --role "Storage Blob Data Reader" \
    --assignee <上記のプリンシパルID> \
    --scope $STORAGE_ID

# 一時的にパブリックアクセスを再開（作業後は必ず元に戻す）
$ az storage account update \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --public-network-access Enabled

# 操作が完了したら再度無効化
$ az storage account update \
    --resource-group $RG \
    --name $STORAGE_ACCOUNT \
    --public-network-access Disabled

# Private Endpoint接続の承認状況を確認
$ az network private-endpoint-connection list \
    --name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --type Microsoft.Storage/storageAccounts \
    --output table
Name                           PrivateLinkServiceConnectionState    ProvisioningState
-----------------------------  -----------------------------------  -------------------
pe-demo-blob-connection        Pending                              Succeeded

# Pending状態の接続を承認する
$ az network private-endpoint-connection approve \
    --name pe-demo-blob-connection \
    --resource-name $STORAGE_ACCOUNT \
    --resource-group $RG \
    --type Microsoft.Storage/storageAccounts \
    --description "承認"