Azure EnclaveとAzure Localはハイブリッドアーキテクチャの異なる部分に対応します。 Azure Localは顧客のサイトでインフラおよびローカル管理機能を提供します。 Azure Enclaveは、Azure上で動作するワークロードに対して、分離された仮想ネットワーク、ポリシー制御、管理された接続性を提供します。
ローカルインフラがエンクレーブとデータを交換したり、エンクレーブ内のワークロードにアクセスしたりする必要がある場合に、2つのサービスを同時に利用できます。 統合は環境間のネットワーク接続であり、エンクレーブをローカルインフラ上に置くわけではありません。
サポートされている統合パターン
ローカルインフラをエンクレーブに接続
Azure Localリソースはコミュニティトランジットハブを通じてエンクレイブに接続できます。 トランジットハブは外部ネットワークからコミュニティの仮想WANへの接続を提供します。 以下のいずれかの接続タイプを使用してください:
- サイト間VPN接続のためのVPN Gateway。 VPN Gateway接続テンプレートを参照してください。
- ExpressRoute ゲートウェイ は、ExpressRoute を通じたプライベート接続のためのものです。 ExpressRoute接続テンプレートをご覧ください。
接続が確立されたら、適切なコミュニティエンドポイントとエンクレーブ接続ルールを設定してください。 Azure Firewallとエンクレイブのネットワークセキュリティグループは、エンクレーブの設定に従ってトラフィックを引き続き管理しています。
ローカル環境は、エンクレーブ内のリソースへの制御されたアクセスが必要なアプリケーション、仮想マシン、その他のサービスをホストすることができます。 このパターンでは、エンクレーブワークロードは引き続きAzure上で動作します。
Azure Arcでローカルリソースを管理
Azure Arcを使って、AzureからサポートされているAzure Localリソースを管理できます。 Azure Enclave ポリシー設定では、既定で Azure Local リソース プロバイダーが許可されています。 これにより、顧客は管理およびガバナンスの要件を満たす場合に Azure Arc を利用できます。
Azure Arc管理はワークロードの実行場所を変えません。 Azure Local resourcesはローカルインフラストラクチャに残り、Azure EnclaveリソースはAzureに残ります。
接続運用モデルと切断運用モデルを使用する
Azure Localは、Azureへの接続が制限される、または一時的に利用できなくなる運用モデルをサポートしています。 たとえば、環境では次のことが考えられます。
- 定期的に接続してアップデートをダウンロードしましょう。
- データ転送が必要な時のみ接続してください。
- Azureとの接続が途切れた場合はローカル制御プレーンの操作を継続してください。
ローカル環境が切断されると、エンクレーブへのネットワークパスを使えなくなります。 データを交換したりエンクレーブ リソースにアクセスしたりするには、必要な VPN、ExpressRoute、またはその他の承認されたネットワーク接続を再確立してください。 ローカル運用モデルとエンクレーブ接続設計を一緒に考えてみてください。
重要なアーキテクチャ境界
Azure Enclave は Azure Local 上で実行できません。 Azure Localはより小さなローカルAzureコントロールプレーンを持ち、Azure Enclaveで使われているAzure Virtual Network構造ではなくローカル論理ネットワークを使用しています。 その結果、エンクレイブ、そのマネージド コミュニティ インフラストラクチャ、またはエンクレイブ ワークロードを直接 Azure Local にデプロイすることはできません。
Azure Localからエンクレーブへのネットワーク接続は、ローカル環境を離れ、サポートされているトランジット ハブ接続を介してエンクレーブに到達する必要があります。 Azure Enclaveの直接ローカルインストールはサポートされたデプロイメントモデルではありません。
アプローチの選択
アーキテクチャを計画する際は以下のガイダンスを用いてください:
| Requirement | 推奨される方法 |
|---|---|
| 顧客サイトでワークロードを実行し、エンクレーブとデータを交換します | ワークロードをAzure Localにデプロイし、トランジットハブを通じてローカルネットワークをエンクレーブに接続します。 |
| Azure を通じてサポートされているローカル リソースを管理する | Azure Arcを使いましょう。Azure Localのサポートされるリソースと接続の要件を確認してください。 |
| Azure接続が途絶えた際にローカル操作を利用可能に保つこと | Azure Local の切断された運用モデルを使用し、接続が回復するまでエンクレイブ アクセスを利用不可として扱います。 |
| エンクレイブワークロードはローカルサーバー上で実行します | サポートされていません。 代わりにワークロードをAzureエンクレイブにデプロイしてください。 |