azureサービスエンドポイントとプライベートエンドポイントの違い｜コスト・DNS設計で選ぶ

この記事のポイント

・サービスエンドポイントは無料・DNS変更不要・VNet外（オンプレ）からは届かない
・プライベートエンドポイントは有料・プライベートDNSゾーン設定が必須
・コスト優先かつVNetのみの用途ならサービスエンドポイントで十分
・オンプレ接続・コンプライアンス要件があるならプライベートエンドポイント一択

# サブネット一覧とサービスエンドポイントの状態を確認
az network vnet subnet list   --resource-group myRG   --vnet-name myVNet   --query "[].{name:name, serviceEndpoints:serviceEndpoints}"   -o table

Name      ServiceEndpoints
--------  ----------------
default   None
app-sub   None
db-sub    None

# db-sub サブネットにサービスエンドポイントを有効化
az network vnet subnet update   --resource-group myRG   --vnet-name myVNet   --name db-sub   --service-endpoints Microsoft.Storage

{
  "name": "db-sub",
  "serviceEndpoints": [
    {
      "locations": ["japaneast", "*"],
      "provisioningState": "Succeeded",
      "service": "Microsoft.Storage"
    }
  ]
}

# db-sub からのアクセスを許可するVNetルールを追加
az storage account network-rule add   --resource-group myRG   --account-name mystorageaccount   --vnet-name myVNet   --subnet db-sub

# デフォルトアクセスをDenyに変更（VNetルール以外の通信を遮断）
az storage account update   --resource-group myRG   --name mystorageaccount   --default-action Deny

az storage account show   --resource-group myRG   --name mystorageaccount   --query "networkRuleSet" -o json

{
  "bypass": "AzureServices",
  "defaultAction": "Deny",
  "virtualNetworkRules": [
    {
      "action": "Allow",
      "state": "Succeeded",
      "virtualNetworkResourceId": "/subscriptions/xxxxxxxx/...subnets/db-sub"
    }
  ]
}

# VNet内のVMから実行
nslookup mystorageaccount.blob.core.windows.net

Server:  168.63.129.16
Address: 168.63.129.16#53

Non-authoritative answer:
Name:    blob.ty1prdstr03a.store.core.windows.net
Address: 20.60.xxx.xxx   ← パブリックIPが返る（これが正常）

# ストレージアカウントのリソースIDを変数に取得
STORAGE_ID=$(az storage account show   --resource-group myRG   --name mystorageaccount   --query id -o tsv)

# app-sub サブネットにプライベートエンドポイントを作成
az network private-endpoint create   --resource-group myRG   --name myStoragePE   --vnet-name myVNet   --subnet app-sub   --private-connection-resource-id "$STORAGE_ID"   --group-id blob   --connection-name myStoragePEConnection

{
  "name": "myStoragePE",
  "customDnsConfigs": [
    {
      "fqdn": "mystorageaccount.blob.core.windows.net",
      "ipAddresses": ["10.1.1.5"]
    }
  ],
  "provisioningState": "Succeeded"
}

# プライベートDNSゾーンを作成
az network private-dns zone create   --resource-group myRG   --name "privatelink.blob.core.windows.net"

# VNetにDNSゾーンをリンク（自動登録は不要なのでfalse）
az network private-dns link vnet create   --resource-group myRG   --zone-name "privatelink.blob.core.windows.net"   --name myDNSLink   --virtual-network myVNet   --registration-enabled false

# プライベートエンドポイントとDNSゾーンを紐付け
az network private-endpoint dns-zone-group create   --resource-group myRG   --endpoint-name myStoragePE   --name myDNSZoneGroup   --private-dns-zone "privatelink.blob.core.windows.net"   --zone-name blob

# VNet内のVMから実行
nslookup mystorageaccount.blob.core.windows.net

Server:  168.63.129.16
Address: 168.63.129.16#53

Non-authoritative answer:
mystorageaccount.blob.core.windows.net
    canonical name = mystorageaccount.privatelink.blob.core.windows.net.
Name:    mystorageaccount.privatelink.blob.core.windows.net
Address: 10.1.1.5    ← プライベートIPが返る（DNS設定成功）

# 確認コマンド（Denyになっていることを確認）
az storage account show   --resource-group myRG   --name mystorageaccount   --query "networkRuleSet.defaultAction" -o tsv
# 期待値: Deny

# StorageサービスタグへのアウトバウンドをNSGで許可
az network nsg rule create   --resource-group myRG   --nsg-name myNSG   --name AllowStorageServiceTag   --priority 200   --direction Outbound   --destination-address-prefix Storage   --destination-port-range 443   --protocol Tcp   --access Allow

# DNSゾーングループが存在するか確認
az network private-endpoint dns-zone-group list   --resource-group myRG   --endpoint-name myStoragePE   -o table

# VMのDNSキャッシュをクリア（Rocky Linux/RHEL 9の場合）
sudo systemd-resolve --flush-caches
# または
sudo resolvectl flush-caches