Azure Private Link入門！Private EndpointでストレージやDBをVNet内に隠蔽する手順を完全解説

Azure Private Endpoint作成手順｜ストレージやDBをVNet内に隠蔽する方法

先生と生徒の会話形式で理解しよう

生徒

「Azureで構築したデータベース（データベース）やストレージ（ストレージ）を、インターネットから完全に遮断して、自分たちの仮想ネットワーク内だけで安全に使いたいのですが、どうすればいいですか？」

先生

「それは非常に重要なセキュリティ対策ですね。Azure Private Link（アジュールプライベートリンク）とPrivate Endpoint（プライベートエンドポイント）という仕組みを使えば、クラウド上のサービスにプライベートIPアドレスを割り当てて、仮想ネットワークの中に隠蔽（いんぺい）することができますよ。」

生徒

「プライベートIPアドレスでアクセスできるようになるんですね！設定は難しいのでしょうか？」

先生

「手順をしっかり踏めば初心者の方でも大丈夫です。今回は、その仕組みと具体的な作成手順を分かりやすく解説していきますね！」

1. Azure Private LinkとPrivate Endpointの基礎知識

Azure Private Link（アジュールプライベートリンク）とは、Azure上のPaaS（パース）サービス、例えばAzure SQL DatabaseやAzure Storageなどを、自身の仮想ネットワーク（VNet：ブイネット）に直接取り込むためのテクノロジーです。通常、これらのサービスはパブリックなエンドポイントを持ち、インターネット経由でアクセスされますが、Private Linkを使用することで、インターネットに晒（さら）すことなく通信が可能になります。

ここで登場するのがPrivate Endpoint（プライベートエンドポイント）です。これは、仮想ネットワーク内の特定のサブネットに配置される「特殊なネットワークインターフェイス（NIC）」のようなものです。このインターフェイスには、あなたのVNet内のプライベートIPアドレスが割り振られます。これにより、外部からの攻撃リスクを劇的に減らし、社内規定で「インターネット経由のデータ転送は禁止」とされている環境でも安心してクラウドを利用できるようになります。

2. インターネットから隠蔽するメリットと活用例

なぜサービスを「隠蔽」する必要があるのでしょうか。最大の理由はセキュリティの強化です。従来、サービスへのアクセス制限には「ファイアウォール」が使われてきましたが、IPアドレス制限だけでは設定ミスによる漏洩のリスクがゼロではありません。Private Endpointを使えば、そもそもパブリックIPアドレス自体を使わないため、経路が完全に閉鎖的になります。

具体的な活用例としては、顧客情報を管理するデータベースへのアクセスを、特定の管理用サーバー（踏み台サーバー）や、アプリケーションサーバーからのみ許可したい場合などが挙げられます。また、オンプレミスの社内ネットワークとAzureをVPNやExpressRoute（エクスプレスルート）で接続している場合、社内PCからインターネットを経由せずに、直接Azure上のファイル共有サービス（Azure Files）を利用することも可能になります。

3. 事前準備：仮想ネットワークとリソースの確認

Private Endpointを作成する前に、土台となる環境を整えておく必要があります。最低限必要なものは以下の3点です。まず、リソースを配置するための仮想ネットワーク（VNet）が存在すること。次に、そのVNetの中にエンドポイント用のIPアドレスを払い出すためのサブネットがあることです。最後に、接続対象となるAzureリソース（Storage AccountやSQL Databaseなど）を作成済みである必要があります。

ここで重要なのが「ネットワークセキュリティグループ（NSG）」の設定です。デフォルトではプライベートエンドポイントへの通信は許可されていますが、特定の通信のみを許可するガチガチのセキュリティ設定を行いたい場合は、あらかじめポリシーを検討しておきましょう。以下のコマンドは、現在のリソースグループ内にあるVNetの一覧を確認する例です。


az network vnet list --resource-group MyResourceGroup --output table
Name          ResourceGroup    Location    AddressPrefixes
------------  ---------------  ----------  -----------------
VNet-ProjectA MyResourceGroup  japaneast   10.0.0.0/16

4. Azure PortalでのPrivate Endpoint作成ステップ

それでは、具体的な作成手順を見ていきましょう。Azure Portal（管理画面）から操作する場合の流れは以下の通りです。まず「プライベートエンドポイント」を検索し、「＋作成」をクリックします。基本タブでは、配置するサブスクリプション、リソースグループ、そしてエンドポイントの名前を入力します。次に「リソース」タブで、接続先のサービス（例：Microsoft.Storage/storageAccounts）を選択し、対象のターゲットサブリソース（例：blob）を指定します。

「構成」タブが最も重要なポイントです。ここで、どのVNetのどのサブネットにIPアドレスを配置するかを選択します。また、後述する「プライベートDNSゾーン」との統合についてもここでチェックを入れます。設定を完了させると、Azureが自動的に仮想ネットワーク内の未使用IPアドレスを1つ確保し、エンドポイントとして割り当ててくれます。これで、あなたのストレージはVNet内の住民の一人になったわけです。

5. プライベートDNSゾーンの重要性と名前解決

プライベートエンドポイントを作成しただけでは、まだ不十分な場合があります。それは「名前解決（なまえかいけつ）」の問題です。通常、ストレージへのアクセスには「mystorage.blob.core.windows.net」といったFQDN（エフキューディーエヌ）を使用します。しかし、何もしないとこの名前はパブリックIPを指したままです。これをVNet内のプライベートIPに向ける仕組みが「AzureプライベートDNSゾーン」です。

Private Endpoint作成時に「プライベートDNSゾーンと統合する」を選択すると、Azureが自動的にAレコード（IPアドレスと名前の紐付け）を作成してくれます。これにより、プログラム側の接続文字列を書き換えることなく、自動的にセキュアな経路へ通信が誘導されるようになります。以下のPythonコードは、名前解決が正しく行われている環境で、Azure Storageに安全にアクセスする簡単な例です。


from azure.storage.blob import BlobServiceClient

# 接続文字列は環境変数などから取得するのが一般的
connection_string = "DefaultEndpointsProtocol=https;AccountName=mystorage;AccountKey=xxx;EndpointSuffix=core.windows.net"

try:
    # プライベートエンドポイント経由で接続を試行
    blob_service_client = BlobServiceClient.from_connection_string(connection_string)
    containers = blob_service_client.list_containers()
    for container in containers:
        print(f"Container Name: {container.name}")
except Exception as e:
    print(f"エラーが発生しました: {e}")

6. 接続確認：nslookupコマンドで検証する

設定が終わったら、本当にプライベートIPで通信できているかを確認しましょう。VNet内にある仮想マシン（VM）にログインし、WindowsであればコマンドプロンプトやPowerShellを開きます。そこでnslookupコマンドを実行し、サービスのドメイン名を入力します。もし、応答として返ってきたIPアドレスが、あなたが設定したVNetのプライベートIP範囲（10.0.x.xなど）であれば成功です。

もしパブリックIPが返ってくる場合は、DNSの設定が反映されていないか、VNetのDNSサーバー設定が正しくない可能性があります。ネットワークの世界では、見た目上の設定が合っていても、この名前解決の段階でつまづくことが非常に多いため、必ずこの検証工程を挟むようにしましょう。実際の検証結果のイメージは以下のようになります。


nslookup mystorage.blob.core.windows.net
Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    mystorage.privatelink.blob.core.windows.net
Address:  10.0.0.5

7. データベース接続におけるPrivate Linkの活用

ストレージだけでなく、Azure SQL Database（アジュールエスキューエルデータベース）においてもPrivate Linkは強力な武器になります。データベースには重要な顧客データが格納されているため、インターネットからのアクセスを完全に遮断したいという要望は非常に多いです。Private Endpointを作成し、データベース側の「パブリックネットワークアクセスの拒否」を「はい」に設定することで、VNet内からしか繋がらない最強のデータベース環境が完成します。

以下は、VNet内のアプリケーションからSQL Databaseに接続するための典型的な接続文字列と、データベース内のテーブル情報を取得するイメージです。IPアドレスを直接指定するのではなく、ホスト名を利用することで、Azure側でIPが変わっても柔軟に対応できます。


id | product_name   | stock | location
---+----------------+-------+----------
1  | Cloud Server   | 50    | Tokyo
2  | Virtual Disk   | 100   | Osaka
3  | Secure Gateway | 20    | Tokyo
4  | Data Backup    | 75    | Osaka


-- プライベートリンク経由でセキュアにデータを抽出
SELECT id, product_name, stock
FROM Inventory
WHERE location = 'Tokyo'
ORDER BY stock DESC;


id | product_name   | stock
---+----------------+-------
1  | Cloud Server   | 50
3  | Secure Gateway | 20

8. 注意点：コストとサブネットの設計

Private Linkの導入には、いくつかの注意点も存在します。まずコストです。プライベートエンドポイントの維持には時間単位の利用料金が発生し、さらにデータの処理量（受信・送信データ）に応じた課金も行われます。大量のデータをやり取りする場合、パブリック経由よりもコストが嵩（かさ）む可能性があることを念頭に置いておきましょう。また、IPアドレスを1つ消費するため、将来的な拡張を見越したサブネットの設計が重要です。

さらに、1つのリソースに対して複数のPrivate Endpointを作成することも可能ですが、管理が複雑になるため、必要最小限の構成から始めるのが鉄則です。エンジニアとしては「とりあえず全部プライベート化する」のではなく、データの機密性や通信要件、予算のバランスを見て最適なアーキテクチャを選択する視点が求められます。最後に、エンドポイントを作成したリソースのプロパティをプログラムで確認する例を紹介します。


using System;
using Azure.Identity;
using Azure.ResourceManager;
using Azure.ResourceManager.Network;

// Azure SDKを使用してプライベートエンドポイントの状態を取得
ArmClient client = new ArmClient(new DefaultAzureCredential());
ResourceIdentifier resourceId = new ResourceIdentifier("/subscriptions/sub-id/resourceGroups/rg/providers/Microsoft.Network/privateEndpoints/pe-name");
PrivateEndpointResource privateEndpoint = client.GetPrivateEndpointResource(resourceId);

var data = privateEndpoint.Get().Value.Data;
Console.WriteLine($"Name: {data.Name}");
Console.WriteLine($"Provisioning State: {data.ProvisioningState}");
Console.WriteLine($"VNet Subnet ID: {data.Subnet.Id}");

まとめ

アジュールプライベートリンク（Azure Private Link）とプライベートエンドポイント（Private Endpoint）の導入は、現代のクラウドセキュリティにおいて欠かせない要素です。これまでは、クラウド上のストレージやデータベースにアクセスする際、どうしてもインターネットという公共のネットワークを経由する必要がありました。しかし、プライベートリンクを活用することで、マイクロソフトのバックボーンネットワークのみを利用し、仮想ネットワーク（VNet）内のプライベートな領域で完結した通信が可能になります。これにより、外部からの不正アクセスや中間者攻撃のリスクを最小限に抑えることができるのです。

構築のポイントは、単にエンドポイントを作成するだけでなく、プライベートＤＮＳゾーンによる名前解決を正しく設定することにあります。プログラムやアプリケーションからサービスを呼び出す際、接続文字列を変更せずにセキュアな経路へと自動誘導できる点は、開発者にとっても大きなメリットです。また、ネットワークセキュリティグループ（ＮＳＧ）による細かな制御を組み合わせることで、特定のサブネットや特定の仮想マシンからのみ接続を許可するといった、より堅牢なインフラ構成を実現できます。

一方で、導入にあたってはコスト面やネットワーク設計の複雑さも考慮しなければなりません。プライベートエンドポイントごとに発生する時間単価の料金や、処理データ量に応じた従量課金は、大規模なシステムになればなるほど無視できない金額になります。また、プライベートＩＰアドレスを消費するため、将来的な拡張性を踏まえたサブネットの範囲設計も重要です。運用フェーズでは、常に疎通確認や名前解決の検証を行い、ネットワークの健全性を保つことが求められます。

セキュリティとネットワークの整合性を保つ実装例

実際にシステムを運用する際、データベースの接続情報を取得したり、テーブルの状態を確認したりする場面は多々あります。ここでは、プライベートリンク経由で接続されたデータベースに対して、どのようにデータの整合性を確認するか、具体的なＳＱＬの実行例を交えて振り返ります。

まずは、現在の在庫管理テーブルの状態を確認してみましょう。このテーブルは、プライベートエンドポイントを通じてのみアクセス可能な安全なデータベース内に保持されています。


id | product_name   | stock | updated_at
---+----------------+-------+--------------------
1  | Azure Storage  | 150   | 2026-03-30 10:00:00
2  | SQL Database   | 80    | 2026-03-30 11:00:00
3  | App Service    | 200   | 2026-03-30 12:00:00
4  | Key Vault      | 45    | 2026-03-30 13:00:00

次に、在庫数が一定以下のリソースを抽出して、運用の優先度を確認するためのＳＱＬコードを実行します。この通信もすべて仮想ネットワーク内の閉じた経路で行われます。


-- 在庫が100未満の重要なクラウドリソースを抽出
SELECT id, product_name, stock, updated_at
FROM CloudResourceInventory
WHERE stock < 100
ORDER BY updated_at DESC;

実行結果は以下のようになります。プライベートリンクを使用しているため、パブリックインターネットにこのデータが漏洩することはありません。


id | product_name   | stock | updated_at
---+----------------+-------+--------------------
4  | Key Vault      | 45    | 2026-03-30 13:00:00
2  | SQL Database   | 80    | 2026-03-30 11:00:00

さらに、アプリケーション側でネットワークの接続状態やエンドポイントの構成を管理するために、Ｃ＃を用いたプログラミングも有効です。以下のコードは、特定のエンドポイントが正常にプロビジョニングされているか、そしてどのＩＰアドレスが割り当てられているかを確認するロジックの抜粋です。


using System;
using System.Collections.Generic;

public class NetworkMonitor
{
    public void CheckEndpointStatus(string endpointName, string status)
    {
        if (status == "Succeeded")
        {
            Console.WriteLine($"<i class='bi bi-check-circle-fill'></i> エンドポイント {endpointName} は正常に動作しています。");
        }
        else
        {
            Console.WriteLine($"<i class='bi bi-exclamation-triangle-fill'></i> エンドポイント {endpointName} の状態に問題があります。");
        }
    }
}

このように、インフラの設定、データベースの操作、そしてプログラムによる管理を統合することで、真に安全で効率的なクラウド環境が構築できます。アジュールの機能を最大限に引き出し、ビジネスの信頼性を高めていきましょう。

先生と生徒の振り返り会話

生徒

「先生、まとめを読んでプライベートリンクの重要性がさらによく分かりました！インターネットを通さないだけで、こんなに安心感が違うんですね。」

先生

「その通りです。特に企業システムでは、データがどこを通るかが非常に厳しく問われますからね。プライベートエンドポイントを使えば、アジュールの強力なサービスをまるで自社の社内サーバーのように扱えるのが最大の強みですよ。」

生徒

「設定の中で、ＤＮＳの話が出てきましたが、あそこが一番の肝になりそうですね。名前解決がうまくいかないと、せっかくエンドポイントを作っても繋がらないという罠にはまりそうです。」

先生

「よく気づきましたね！実はトラブルの多くがＤＮＳの設定ミスなんです。自動統合機能を使うのが一番簡単ですが、手動で設定する場合はＡレコードの向け先に十分注意してくださいね。あと、コストの話も忘れずに。」

生徒

「はい、便利だからといって何でもかんでも作るのではなく、守るべきデータの優先順位を考えて設計してみます。まずは自分のテスト環境で、実際にストレージを隠蔽してアクセスできるか試してみます！」

先生

「素晴らしい意気込みですね。実際に手を動かして、コマンドやコードで確認する経験が、エンジニアとしてのスキルを支えてくれます。頑張ってくださいね！応援していますよ。」