Azure Front Door (classic) から Standard または Premium レベルへの移行

適用対象: ✔️ Front Door (クラシック)

Azure Front Door StandardおよびPremiumティアは、次世代のコンテンツ配信ネットワークサービスとして2022年3月にリリースされました。 この新しいレベルは、Azure Front Door (クラシック)、Microsoft CDN (クラシック)、Web Application Firewall (WAF) の機能を組み合わせたものです。 Private Link連携、強化されたルールエンジン、高度な診断などの機能を活用することで、ウェブアプリケーションの安全性と加速を実現し、顧客により良い体験をもたらします。

新機能や改善を活用するために、クラシックプロファイルを新しいティアに移行しましょう。 新しい階層への移行を容易にするために、Azure Front DoorはAzure Front Door(クラシック)からStandardまたはPremiumへのワークロード移行をゼロダウンタイムで提供しています。

この記事では、移行プロセスについて学び、関わる重要な変更点を理解し、移行の前後で何をすべきかを解説します。

移行プロセスの概要

Azure Front Door の Standard レベルまたは Premium レベルへの移行は、証明書を使用しているかどうかに応じて、3 つまたは 5 つのフェーズで行われます。 移行にかかる時間は、Azure Front Door (クラシック) プロファイルの複雑さによって異なります。 単純なAzure Front Doorプロファイルなら移行は数分で済みますが、複数のフロントエンドドメイン、バックエンドプール、ルーティングルール、ルールエンジンルールを持つプロファイルならそれより長くかかると予想されます。

移行のフェーズ

互換性を検証する

移行ツールは、Azure Front Door(classic)プロファイルが移行に対応しているかどうかをチェックします。 検証が失敗した場合は、再検証前に問題解決方法の提案を提供します。

• Azure Front Door Standard および Premium では,すべてのカスタム ドメインが HTTPS を使用する必要があります。 独自の証明書がない場合は、Azure Front Door マネージド証明書を使用できます。 証明書は無料で、あなたのために管理されています。

• セッションアフィニティは、Azure Front Door StandardまたはPremiumプロファイルのoriginグループ設定で有効にしています。 Azure Front Door(classic)では、セッションアフィニティをドメインレベルで設定します。 移行の一環として、セッション アフィニティは Front Door (クラシック) プロファイルの設定に基づいて設定されます。 Front Door(classic)プロファイルに同じバックエンドプールを共有する2つのドメインがある場合、移行検証が合格するには両方のドメインでセッションアフィニティが一貫している必要があります。

• Azure Front Door(classic)でBYOC(Bring Your Own Certificate)を使う場合、Azure Front Door StandardまたはPremiumのKey Vaultアクセス権を付与する必要があります。 この手順は、Azure Front Door Standard または Premium が Key Vault 内の証明書にアクセスするために必要です。 Azure Front Door管理証明書を使っている場合は、Key Vaultのアクセス権を付与する必要はありません。

  注

  現在、マネージド証明書 Azure Government Cloud の Azure Front Door Standard または Premium ではサポートされていません。 Azure Government Cloud で Azure Front Door Standard または Premium に BYOC を使用するか、この機能が使用可能になるまで待つ必要があります。

移行を準備する

Azure Front Door では、Front Door (クラシック) プロファイルの構成に基づいて、新しい Standard プロファイルまたは Premium プロファイルが作成されます。 新しい Front Door プロファイル レベルは、プロファイルに関連付けるWeb Application Firewall (WAF) ポリシー設定によって異なります。

• Premium - WAF ポリシーに Azure Front Door (クラシック) プロファイルに関連付けられたマネージド WAF ルールがある場合。

• Standard - WAF ポリシーに Azure Front Door (クラシック) プロファイルに関連付けられたカスタム WAF ルールがある場合。

準備フェーズ中に、Azure Front Door によって、Front Door (クラシック) プロファイルに関連付けられている各 WAF ポリシーのコピーが作成されます。 WAF ポリシー レベルは、移行先のレベルに固有です。 各 WAF ポリシーに既定の名前が指定されており、このフェーズ中に名前を変更できます。 また、コピーを作成する代わりに、移行先のティアに一致する既存の WAF ポリシーを選択することもできます。 準備段階が完了すると、新しいFront Doorプロファイルの読み取り専用ビューが表示され、構成の検証ができます。

マネージド ID の有効化

この手順では、Azure Key Vault の証明書にアクセスするための Azure Front Door のマネージド ID を構成します。 Azure Front Door(classic)でBYOC(Bring Your Own Certificate)を使う場合はマネージドIDが必要です。 Azure Front Door管理証明書を使っている場合は、Key Vaultのアクセス権を付与する必要はありません。

マネージド ID をキー・ボールトに付与する

この手順では、Front Door (クラシック) プロファイルで使用されているすべての Azure Key Vault にマネージド ID を追加します。

移行する

このステップで移行を決める前に、移行プロセスを進めたくない場合は「 中止移行」を選択してください。 移行を中止すると、作成された新しい Front Door プロファイルが削除されます。 Azure Front Door (クラシック) プロファイルはアクティブなままであり、引き続き使用できます。 WAFポリシーのコピーは手動で削除する必要があります。

しかし、この段階で移住を約束すれば、中絶や後退はありません。 移行が開始されると、Azure Front Door (クラシック) プロファイルが無効になり、Azure Front Door Standard または Premium プロファイルがアクティブになります。 移行が完了すると、トラフィックは新しいプロファイルを通過し始めます。

移行はコントロール プレーン上にあり、データ プレーンは変わりません。 通常の場合、移行は失敗しません。 しかし、まれにこの段階で移行が失敗しても、トラフィック配信には影響がありません。 唯一の影響は、Azure Front Doorのプロファイルに変更ができないことです。

Azure Front Door StandardまたはPremiumティアのサービス料金は移行完了時に開始されます。

移行後のエンドポイント切り替え

Azure Front Door (クラシック) では、Azure Front Door Standard または Premium とは異なる完全修飾ドメイン名 (FQDN) が使用されます。 たとえば、クラシック エンドポイントは contoso.azurefd.net であるのに対し、Standard または Premium エンドポイントは contoso-mdjf2jfgjf82mnzx.z01.azurefd.net である場合があります。 詳細については、Azure Front Door のエンドポイントに関する記事を参照してください。

Azure Front Doorは設定変更なしでクラシックエンドポイントから新しいStandardまたはPremiumプロファイルへ自動的にトラフィックをルーティングしますが、状況に応じて以下の移行後の手順を必ず実行する必要があります。

• カスタムドメイン:DNSレコードを新しいAzure Front Door Standard/Premiumエンドポイントに更新します。

• クラシックデフォルトエンドポイントの直接使用:アプリケーション、クライアント、統合でクラシックホスト名を新しいエンドポイントのホスト名に置き換えます。

両方のエンドポイントは移行中も機能し続けるため、ダウンタイムなしで変更を行い検証できます。

Standard レベルまたは Premium レベルに移行するときの重大な変更

DevOps

Azure Front Door Standard および Premium では、Microsoft.Cdn という別のリソース プロバイダー名前空間が使用されるのに対して、Azure Front Door (クラシック) では、Microsoft.Network が使用されます。 Azure Front Doorプロファイルを移行した後は、DevOpsスクリプトを新しい名前空間、更新されたAzure PowerShellモジュール、CLIコマンド、APIに変更する必要があります。

ハッシュ値を持つエンドポイント

Azure Front Door StandardおよびPremiumエンドポイントには、ドメインが乗っ取られるのを防ぐためのハッシュ値を含んでいます。 エンドポイント名の形式は、<endpointname>-<hashvalue>.z01.azurefd.net です。 Front Door(classic)エンドポイント名は移行後も引き続き機能しますが、新しいStandardまたはPremiumプロファイルから新たに作成したエンドポイント名に置き換えられます。 詳細については、「エンドポイント ドメイン名」を参照してください。

ログとメトリック

診断ログとメトリックは移行されません。 Azure Front Door Standard および Premium のログ フィールドは、Azure Front Door (クラシック) とは異なります。 Standard および Premium ティアでは正常性プローブのログ記録を利用できるため、移行後に診断ログを有効にする必要があります。 Standard および Premium レベルでは、移行完了後にデータの表示を開始する組み込みレポートもサポートされます。 詳細については、Azure Front Door のレポートに関するページを参照してください。

Web アプリケーション ファイアウォール (WAF)

WAFポリシーのルールの種類によって、移行のために選択されるデフォルトのAzure Front Door階層が決まります。 このセクションでは、WAFポリシーの異なるルールタイプに関するシナリオを扱います。

カスタムルールのみのクラシックWAFポリシーで、新しいAzure Front DoorプロファイルはデフォルトでStandardティアとなり、移行時にPremiumにアップグレードできます。 移行にポータルを使用する場合、Azure によって Standard 用のカスタム WAF ルールが作成されます。 移行中に Premium にアップグレードした場合、カスタム WAF ルールが移行プロセスの一部として作成されます。 管理されたWAFルールを使いたい場合は、移行後に手動で管理されたWAFルールを追加する必要があります。

マネージドWAFルールのみ、またはマネージドとカスタムWAFルールの両方を持つクラシックWAFポリシーです。新しいAzure Front Doorプロファイルはデフォルトでプレミアムティアとなり、移行中はダウングレードできません。 標準層を使いたい場合は、WAFポリシーの関連付けを削除するか、Front Door(クラシック)WAFポリシーから管理されているWAFルールを削除する必要があります。

Azure Front Door WAF に対する Azure Policy

Azure Policy for WAF は、Azure Front Door Standard および Premium では使用できません。 Azure Policy では、組織の WAF 標準を大規模に設定して確認できます。

移行で使用される名前付け規則

移行中、既定のプロファイル名が <endpointprefix>-migrated の形式で使用されます。 例えば、Azure Front Door(クラシック)エンドポイントの「myEndpoint.azurefd.net」はデフォルト名myEndpoint-migratedを持っています。 WAF ポリシー名では、クラシック WAF ポリシー名に -standard または -premium が追加されます。 例えば、フロントドア(クラシック)WAFポリシーの contosoWAF1 はデフォルト名 contosoWAF1-premiumを持っています。 移行プロセス中にフロントドアプロファイルとWAFポリシーの両方をリネームできます。 ルールエンジンの設定やルートの名前の変更はサポートされておらず、代わりにデフォルト名が割り当てられています。

Azure Front Door Standard および Premium では、ルール エンジンを通じて URL リダイレクトと URL 書き換えがサポートされるのに対して、Azure Front Door (クラシック) では、ルーティング規則を通じてサポートされます。 移行中、これら 2 つの規則は、Standard および Premium プロファイルでルールセットの規則として作成されます。 これらの規則の名前は、urlRewriteMigrated と urlRedirectMigrated です。

リソースの状態

以下の表は移行プロセスの各段階と、プロファイルの変更が可能かどうかを説明します。

関連コンテンツ

• Azure Front Door tiers 間の設定マッピング
• Azure portalを使ってAzure Front Door (classic)からStandardまたはPremium tierへ移行
• Azure PowerShell を使用して Azure Front Door (クラシック) から Standard または Premium レベルに移行する