プライベートソース移行にはAzure Storage Moverのプライベート接続を使います

Azureでは、プライベート ネットワークに接続するいくつかの方法がサポートされています。 最適なアプローチは、待機時間、帯域幅、セキュリティ、コスト、運用の複雑さの要件によって異なります。

• Azure ExpressRoute - パブリック インターネットを経由しないプライベートな専用接続。
• サイト間 IPsec VPN - パブリック インターネット経由の暗号化されたトンネル (通常は Azure VPN Gateway を使用)。
• ネットワーク仮想アプライアンス (NVA) 経由のSD-WAN - サード パーティ製アプライアンスは VPN/ファイアウォール機能を提供し、ネイティブ ゲートウェイを使用する代わりにトンネルを終了できます。

一般に、最も高い帯域幅と待機時間が最も短い場合は、ExpressRoute が推奨されます。 ExpressRoute を使用できない場合は、サイト間 VPN または SD-WAN/NVA ベースの設計を使用します。

主な概念

ExpressRoute: 接続プロバイダーを介した Azure へのプライベート接続。通常は、予測可能な待機時間とスループットの向上に使用されます。

Azure VPN Gateway SKU: ゲートウェイのサイズ/SKU は、トンネルの数とスループットに影響します。必要な帯域幅と回復性に基づいて選択します。

IPsec/IKE ポリシー: VPN トンネルの確立とセキュリティ保護に使用される暗号化アルゴリズムとパラメーター (AES および SHA ファミリ、DH/PFS グループなど)。

BGP (ボーダー ゲートウェイ プロトコル): ネットワーク間でプレフィックスを交換する動的ルーティング。一般に、アクティブ/アクティブ トンネルとルート フェールオーバーに使用されます。

ネットワーク仮想アプライアンス (NVA): Azureにデプロイされたサードパーティの仮想ネットワークデバイス（ファイアウォールやSD-WANなど）。高機能なインスペクション、ポリシー、ルーティングによく使用されます。

UDR (ユーザー定義ルート): 特定の次ホップ (NVA など) にトラフィックを誘導する Azure のカスタム ルート。

AWS トランジット ゲートウェイ (TGW) / 仮想プライベート ゲートウェイ (VGW):VPN/直接接続用の AWS ルーティング エンドポイント。一般に、ハブ アンド スポークとスケールには TGW が推奨されます。

Amazon S3 の AWS VPC エンドポイント (VPCE): VPC から S3 へのプライベート接続。多くの場合、 プライベート DNS およびエンドポイント/バケット ポリシーとペアになります。

S3 バケットポリシーと VPCE ポリシー: aws:SourceVpce を介した特定の VPCE への制限を含め、アクセスを許可/拒否できるリソースベースのポリシー。

Azure Private Link Service Direct Connect: Storage Mover プライベート接続などのサービスの宛先 IP (AWS VPCE IP など) への送信プライベート接続を作成する Azure 機能。

プライベート接続の承認: プライベート接続は、ワークロード/ジョブで使用する前に明示的な承認が必要になる場合があります。

リージョンの調整: 一部のリソース (AWS VPCEs や特定の Azure サービスコンストラクトなど) はリージョンスコープであり、互換性のあるリージョンにデプロイする必要があります。

各オプションを使用する場合

ExpressRoute: ハイブリッド接続の予測可能なパフォーマンス、プライベート接続、およびスループットの向上が必要なタイミングを選択します。

サイト間 VPN: セットアップの高速化、コストの削減、またはバックアップ パスとして選択します。パフォーマンスは、インターネットの状態とゲートウェイ SKU によって異なります。

SD-WAN/NVA: ベンダー固有のルーティング、セキュリティ検査、または既存の SD-WAN 運用モデルが必要な場合を選択します。

Azureの接続オプション

ExpressRoute

詳細情報:ExpressRoute のドキュメント

ルーティング： BGP は、Azure とネットワークの間でプレフィックスを交換するために、プライベート回線を介して一般的に使用されます。

接続プロバイダー: ExpressRoute は通常、コロケーションまたは接続プロバイダー (Equinix、Megaport など) を介してプロビジョニングされます。

サイト間 IPsec VPN (Azure VPN Gateway)

概要： パブリック インターネット経由で暗号化されたサイト間 IPsec トンネルには、Azure VPN Gateway を使用します。 スループットと回復性を高めるには、適切なゲートウェイ SKU (使用可能な場合は Generation2 やゾーン冗長 SKU など) を選択します。

詳細情報:チュートリアル - S2S VPN 接続を作成する

ルーティング： BGP を使用してルートを交換し、複数の接続間でアクティブ/アクティブ トンネルをサポートします。

Azure VPN Gateway と AWS の間のマルチトンネル BGP の詳細なチュートリアルについては、「 チュートリアル - Azure と AWS の間で BGP 対応接続を構成する」を参照してください。

実装のヒント (VPN パフォーマンス)

カスタム IPsec/IKE 設定の例 (デバイスの互換性に対して検証): IPsec 暗号化/整合性の GCMAES256 、IKE 整合性の SHA256 、 DHGroup14、 PFS2048。

詳細情報:カスタム IPsec/IKE 接続ポリシーを構成する。

ネットワーク仮想アプライアンス (NVA) を使用した SD-WAN

SD-WAN およびファイアウォール NVA は、VPN トンネルの終了、検査の実行、一元化されたルーティングとセキュリティ ポリシーの適用を行うことができます。 この方法は、ベンダー固有の機能が必要な場合や、サイト間で SD-WAN プラットフォームを既に運用している場合に便利です。

Fortinet: FortiGate 次世代ファイアウォール

Cisco: Catalyst SD-WAN、Meraki SD-WAN

HPE(アルバネットワークス):EdgeConnect SD-WAN

パロアルトネットワーク:プリズマ SD-WAN

Arista (VMware):VeloCloud SD-WAN Virtual Edge

SD-WAN NVA は、一般的に従量課金制 (PAYG) またはライセンス持ち込み (BYOL) の形式でライセンスされます。 ベンダーのサポートは、展開オプションによって異なります。

デプロイの例 (Azure の FortiGate NVA)

可用性とスループットの要件に基づいて、トポロジ (単一の VM、アクティブ/パッシブ、またはアクティブ/アクティブ) を選択します。

適切な VM サイズ (多くの場合、vCPU が高い F または D シリーズ) を選択し、サポートされている場合 は高速ネットワークを 有効にします。

ネットワーク設計: インターフェイスを WAN/LAN (および保護された) サブネットに配置し、必要な管理ポートと VPN ポート (IPsec の場合は UDP 500/4500 など) の NSG 規則を構成します。

ルーティング: UDR を使用して、NVA の次ホップを介して Azure から AWS へのプレフィックスを誘導します。

ベンダーのドキュメント: FortiGate デバイス間で IPsec を構成する手順の例については、以下の Fortinet Community の記事を参照してください。

FortiGate デバイス間で VPN サイト間を構成する方法 (Fortinet Community)

Azure への AWS 接続

Azure ExpressRoute への AWS 直接接続

AWS Direct Connect は、コロケーション/プロバイダーを介して Azure ExpressRoute とペアリングして、AWS と Azure の間にプライベートで高スループットのパスを作成できます。

ルーティング： プライベート回線経由の BGP

接続： 通常、コロケーション/接続プロバイダー経由

Direct Connect とは - AWS ダイレクトコネクト

直接接続ゲートウェイを作成する - AWS Direct Connect

AWS サイト間 VPN (BGP)

AWS から Azure への VPN の場合は、動的ルーティング (BGP) を使用し、必要に応じてスケーリングとパフォーマンスのために AWS Transit Gateway (TGW) を使用します。

詳細情報:チュートリアル - Azure と AWS の間で BGP 対応接続を構成する。

NVA を使用した AWS SD-WAN

AWS で SD-WAN プラットフォーム (たとえば、EC2 の FortiGate) を運用している場合は、オンプレミスで使用されているのと同じ SD-WAN ポリシー モデルを使用して、AWS でトンネルを終了し、Azure に接続できます。

1. AWS Marketplace から NVA を起動し、必要なスループットのためにインスタンスのサイズを設定します。
2. WAN/LAN インターフェイスをアタッチし、エラスティック IP を WAN インターフェイスに関連付け、アプライアンス ルーティング モデルで必要な場合は送信元/宛先チェックを無効にします。
3. セキュリティ グループとルート テーブルを構成して、Azure プレフィックスを許可し、アプライアンス経由でトラフィックを誘導します。

AWS FSxプライベートアクセス(VPCエンドポイント)の実装詳細

Amazon FSx用のAWS VPCエンドポイント(VPCE)を設定

FSx用のAWS VPCエンドポイント(VPCE)は、S3サービスにプライベートエンドポイントを提供し、VPCがFSxにプライベートにアクセスできるようにします。 FSx共有を作成しVPCにアタッチするには、 AWSのドキュメントをご覧ください。 シェアがAWS接続のあるVPC内にあり、FSxセキュリティでデフォルトでポート445での安全なトラフィックが可能であることを確認しましょう。

S3 プライベート アクセス (VPC エンドポイント) の実装の詳細

Amazon S3 用に AWS VPC エンドポイント (VPCE) を構成する

S3 用の AWS VPC エンドポイント (VPCE) を使用すると、VPC は S3 にプライベートに到達できます。 この設計では、通常はプライベート DNS を有効にし、VPCE とバケットポリシーを使用してアクセスを制限します。

高レベルの手順

1. VPC で DNS サポート と DNS ホスト名が 有効になっていることを確認します。
2. ターゲット VPC とサブネットに Amazon S3 用のインターフェイス VPCE を作成し、プライベート DNS を有効にします。
3. AWS :SourceVpce を使用して、必要な S3 アクションのみを許可し、(必要に応じて) 特定のエンドポイントへのアクセスを制限するように VPCE とバケットポリシーを構成します。

例: 特定の VPCE に制限された S3 バケット ポリシー。

メモ： VPCE プライベート IP アドレスを記録します。これは、Azure Private Link Service Direct Connect の宛先 IP として使用されます。

セキュリティ グループの考慮事項

Azure ソース プレフィックスから VPCE および関連する AWS リソースへの必要なトラフィックを許可します (最小特権の原則)。

Private Link Service Direct Connect の Azure 構成

Private Link Service Direct Connect リソースを作成する

Private Link Service Direct Connect を使用すると、Azure は宛先 IP アドレス (AWS VPCE IP など) への送信プライベート接続を作成できます。 このシナリオでは、Storage Mover プライベート接続が、確立された Azure から AWS へのネットワーク パス経由でプライベート S3 エンドポイントに到達できるようにします。

1. PLS Direct Connect リソースは、Storage Mover リソースおよび AWS に到達するために使用される Azure 仮想ネットワークと 同じ Azure リージョン にデプロイします。
2. 指定されたフライト リンク (Azure portal フライト リンク (PLS Direct Connect) を使用して、Azure portalの機能を有効にします。
3. ソース NAT 用に選択された Azure VNet/サブネットが AWS VPC と VPCE IP アドレスに接続されていることを確認します。

高レベルの手順

1. Direct Connect の Private Link Service (Your Service) リソースを適切なリージョンに作成します。
2. 送信設定を構成する:
3. 接続方法を 宛先 IP アドレス に設定し、 AWS VPCE IP アドレスを入力します。
4. AWS にルーティングできる ソース NAT 仮想ネットワークとサブネットを選択します。
5. 復元力を確保するために必要に応じて、プライベート IP アドレスの設定を行います（例: サポートされている増分で 2 つ以上のアドレスを使用します）。

プライベート接続の作成と承認

Direct Connect リソースを作成した後、Storage Mover でプライベート接続を作成し、使用前に承認してください。

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

クラウドからクラウドへの移行にプライベート接続を使用する

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

プライベートマイグレーションフロー(プライベートネットワーキング)

前述の図はAWSへのプライベートネットワーキングを示していますが、同じプライベート接続パターンは他のサポートされているプライベートソースシナリオにも適用されます。

クラウドからクラウドへの移行フロー (Azure BLOB へのパブリック S3 バケット)

Troubleshooting

接続と IP アドレス指定

• Azure PLS で宛先 IP を確認します。 Azure Private Link サービスが AWS VPC エンドポイントの IP アドレスを特に指していることを確認します。 ここで不一致が発生すると、最初のハンドシェイクが妨げられます。
• ネットワーク パスの検証: 基になるネットワーク インフラストラクチャ (VPN、ExpressRoute、クラウド相互接続など) が確立され、Azure 環境と AWS VPC の間でトラフィックが正しくルーティングされていることを確認します。
• インターフェイス設定を確認して下さい: AWS VPC エンドポイントの構成を確認して、それがアクティブであり、正しいサブネットとセキュリティグループに関連付けられていることを確認します。

VPCE ポリシーの構成

• リソースのアクセス許可の監査: VPCE ポリシーの Resource 要素を調べます。 ターゲット S3 バケットの ARN ( arn:aws:s3:::your-bucket-name や arn:aws:s3:::your-bucket-name/*など) を明示的に含める必要があります。
• 監査アクションのアクセス許可: VPCE ポリシーの Action 要素が必要な操作を許可していることを確認します。 少なくとも、データの読み取りと参照には、 s3:Get* と s3:List* が必要です。
• ポリシー ロジック: カスタム ポリシーを使用する場合は、Azure ソーストラフィックの "許可" ステートメントを誤ってオーバーライドする "Deny" ステートメントがないことを確認します。
  

S3 バケット ポリシーの制約

• VPCE 許可リスト:Condition ブロックの S3 バケット ポリシーを確認します。 バケットがアクセスを制限する場合は、使用されている VPC エンドポイントに対応する aws:SourceVpce を明示的に許可する必要があります。
• プリンシパル アクセス: IAM ID または匿名アクセス (VPCE 経由で該当する場合) が、バケットのアクセス制御リスト (ACL) またはパブリック アクセス ブロック設定によってブロックされていないことを確認します。

地域の整合

• リージョン スコープの検証: S3 の AWS VPC エンドポイントは、 リージョンスコープです。 us-west内の VPCE は、us-eastにある S3 バケットにトラフィックをルーティングできません。
• 浄化: 地域間の不一致が判明した場合は、S3バケットをVPCEと同じリージョンに移行するか、バケットのリージョン内で新しいVPCEを設立してください。 この方法は、より多くの地域横断ルーティングを必要とする場合があります。

Limits

• お客様は、最大 10 個のプライベート接続/リージョンを構成できます。 これには、承認済み/保留中/切断状態のプライベート接続状態が含まれます。
• PLS ダイレクトは、ストレージ ムーバー リソースと同じリージョンで構成する必要があります。

Performance

Azure Storage Mover は、厳密なネットワーク分離を必要とするシナリオを含め、クラウド環境間でのセキュリティで保護された大規模なデータ移行をサポートします。 Azure Private Linkとプライベートエンドポイントを使用することで、データ転送は Google Cloud VPC とAzure仮想ネットワークの間の信頼された境界内にとどまります。

この記事では、Google Cloud Storage (GCS) とAzureの間にプライベート ネットワーク接続を設定し、Storage Mover でプライベート接続を構成し、パブリック インターネットからデータを保持する移行ジョブを作成する方法について説明します。

前提条件

Azureの前提条件

• Azure Storage Mover リソースを作成および管理するアクセス許可がある、アクティブな Azure サブスクリプション。
• Azure サブスクリプションにデプロイされた Storage Mover リソース。
• GCS HMAC 資格情報 (アクセス キーとシークレット キー) を格納するAzure Key Vault。
• Azure Storage Mover リソース階層に関する知識。

Google Cloud の前提条件

• 移行する GCS バケットにアクセスできる Google Cloud アカウント。
• GCS サービス アカウント用に生成された HMAC キー (アクセス キー ID + 秘密鍵)。
• (クラウド VPN またはクラウド 相互接続経由で) Azureに接続できる Google Cloud VPC。
• GCS サービス アカウントが、ターゲット バケットに対して少なくとも Storage Legacy Bucket Reader ロールと Storage Legacy Object Reader ロールを持っていることを確認してください。
• GCP VPC で構成された Google API 用のプライベート サービス接続 (PSC) エンドポイント。Cloud Storage アクセス用に安定したプライベート IP が提供されます。

プライベート ネットワークの前提条件

• GCP PSC エンドポイント IP を宛先としてAzureに構成された Private Link サービス直接接続リソース。
• Azure Private Linkネットワーク ドキュメントに関する知識。

プライベート ネットワーク接続オプション

VPC で制限された GCS バケットからデータを移行するには、まず Google Cloud VPC と Azure の間にプライベート ネットワーク パスが必要です。 Azureでは、いくつかの接続オプションがサポートされています。

ほとんどのシナリオでは、サイト間 VPN はコストとパフォーマンスのバランスが良くなります。 最高のスループットを得る場合は、Google Cloud Interconnect と組み合わせて ExpressRoute を使用します。

Azureの接続オプション

ExpressRoute

詳細情報:ExpressRoute ドキュメントルーティング: BGP は、Azureとネットワークの間でプレフィックスを交換するためにプライベート回線経由で一般的に使用されます。 接続プロバイダー: ExpressRoute は通常、コロケーションまたは接続プロバイダー (Equinix、Megaport など) を介してプロビジョニングされます。

サイト間 IPsec VPN (Azure VPN Gateway)

概要： パブリック インターネット経由で暗号化されたサイト間 IPsec トンネルには、Azure VPN Gateway を使用します。 スループットと回復性を高めるには、適切なゲートウェイ SKU (使用可能な場合は Generation2 やゾーン冗長 SKU など) を選択します。 詳細情報:チュートリアル - S2S VPN 接続ルーティングを作成する: BGP を使用してルートを交換し、複数の接続間でアクティブ/アクティブ トンネルをサポートします。

Google Cloud と Azure 間の HA VPN の詳細なチュートリアルについては、「Google Cloud と Azure 間の HA VPN 接続の作成」を参照してください。

実装のヒント (VPN パフォーマンス)

カスタム IPsec/IKE 設定の例 (デバイスの互換性に対して検証): IPsec 暗号化/整合性の GCMAES256 、IKE 整合性の SHA256 、 DHGroup14、 PFS2048。

詳細情報:カスタム IPsec/IKE 接続ポリシーを構成する。

Azureと Google Cloud の間でサイト間 VPN を構成する

Google Cloud 側:

• VPC に HA VPN Gatewayを作成します。 2 つの自動割り当て外部 IP アドレスに注意してください。
• BGP セッションを管理するために、同じリージョンにクラウド ルーターを作成します。
• Azure VPN Gatewayパブリック IP アドレスを指す VPN トンネルを作成します。
• Azureと交換された BGP ピア IP を使用して、クラウド ルーターで BGP セッションを構成します。
• AZUREから VPN トンネル経由で PSC エンドポイント サブネットに到達できることを確認します。 Cloud Router は、BGP 経由で VPC サブネットのルートを Azure に自動的にアドバタイズします。

詳細情報：

• Google Cloud HA VPN

メモ： Google Cloud 側では、特定の暗号構成は必要ありません。 Google Cloud HA VPN は、Azure VPN Gatewayから受信した内容に基づいて IPsec 設定を自動ネゴシエートします。

GCS へのプライベート アクセスを構成する

Private Service Connect (PSC) は、クラウド ストレージを含む Google API にアクセスするために、Google Cloud VPC 内に安定した RFC 1918 IP アドレスを持つプライベート エンドポイントを作成します。 この IP アドレスは、Azure Private Link Service Direct Connect で構成する宛先です。

• Google Cloud コンソールで、ネットワーク サービス>Private Service Connect に移動します。

• [ エンドポイントの接続] を選択し、ターゲットとして Google API を 選択します。

• セキュリティ要件に応じて、[バンドルの種類] フィールドで [すべての Google Cloud API] または [VPC-SC] の値を選択します。

• VPC サブネットからプライベート IP アドレスを割り当てます。

  このプライベート IP アドレスを記録します。 AZURE PLS Direct Connect リソースを構成するときに必要です。

詳細情報

GCS バケット アクセスを制限する (省略可能)

GCS バケットをさらに VPC 専用アクセスに制限するには、GCS バケット IP フィルタリングを使用できます。

• 特定の GCP VPC ネットワークまたは IP 範囲へのアクセスを制限します。

• 制限: 最大 200 CIDR ブロック、バケットあたり 25 個の VPC ネットワーク。

  詳細情報

プライベート リンク サービスの直接接続リソースを作成する

Private Link サービス (PLS) 直接接続では、Azureから宛先 IP アドレスへの送信プライベート接続が作成されます。 GCS の場合、宛先 IP は Google Cloud VPC の PSC エンドポイント IP であり、VPN または相互接続トンネル経由で到達可能です。

• Azure ポータルで、ホーム > Network Foundation > Private Link サービスに移動します。
• [プライベート リンク サービスの作成] を選択します。
• [基本] タブで、Storage Mover リソースと同じAzureリージョンを選択します。
• [送信設定] タブで、次の手順を実行します。
• 接続方法: 宛先 IP アドレスの選択
• IP アドレス: 前に記録した GCP プライベート サービス接続 (PSC) エンドポイントの IP アドレスを入力します。
• ソース NAT 仮想ネットワーク: Azure VPN Gatewayを含む VNet を選択します
• ソース NAT サブネット: GCP への VPN 接続を使用するサブネットを選択します
• プライベート IP アドレスの設定: 少なくとも 2 つの NAT IP を構成する (偶数が必要)
• [アクセス セキュリティ] タブ: 適切な可視性設定を選択します (ロールベースのアクセス制御のみが最も制限されています)
• [Review + create]\(レビュー + 作成\) を選択します。

プライベート接続の作成と承認

PLS Direct Connect リソースを作成した後、Storage Mover でプライベート接続を作成し、使用する前に承認します。

プライベート接続を作成する

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

プライベート接続を承認する

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

プライベート接続を使用して移行ジョブを作成する

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Troubleshooting

接続と IP アドレス指定

• Azure PLS の宛先 IP アドレスを確認する: PLS Direct Connect が GCP PSC エンドポイントの IP アドレスを指していることを確認します。 不一致により、接続が防止されます。
• ネットワーク パスを検証する: クラウド VPN トンネルに、Google Cloud Console > Hybrid Connectivity > VPN で確立済みの状態が表示されていることを確認します。
• BGP の確認: Cloud Router BGP セッションがアクティブであり、VPC サブネット (PSC エンドポイント サブネットを含む) がAzureにアドバタイズされていることを確認します。
• PSC エンドポイントを確認する: PSC エンドポイントの状態が Google Cloud Console > Network サービス > Private Service Connect で接続されていることを確認します。
• リージョンの配置を確認する: PLS 直接接続と記憶域ムーバーは、同じAzureリージョンに存在する必要があります。 認証 (HMAC)
• Azure Key Vaultの HMAC アクセス キーとシークレット キーがアクティブであり、有効期限が切れていないかどうかを確認します。
• ソース エンドポイントのマネージド ID に、Key Vault に対する Key Vault Secrets User ロールが付与されていることを確認してください。
• GCS サービス アカウントが、ターゲット バケットに対して少なくとも Storage Legacy Bucket Reader ロールと Storage Legacy Object Reader ロールを持っていることを確認してください。
• HMAC キーは GCS XML API でのみ機能します (JSON API では機能しません)。
• 新しい HMAC キーを作成した後、アクティブになるまで最大 60 秒待ちます。 プライベート接続
• ジョブ ウィザードには、承認済み状態の接続のみが表示されます。 プライベート接続 (プレビュー) > ストレージ エンドポイントの状態を確認します。
• 状態が [保留中] の場合: 接続を選択し、[承認] を選択します。
• 状態が [切断] の場合: PLS 直接接続リソースが削除または変更されている可能性があります。 問題解決移行ジョブでエラー メッセージのコピーとジョブ ログの確認に失敗しました。 一般的な原因: 無効な資格情報、ネットワーク接続。 認証エラー Key Vaultの HMAC キーが正しくアクティブであることを確認します。 Key Vault Secrets User ロールが割り当てられていることを確認します。 ターゲットでのアクセス許可エラー。ターゲット エンドポイントのマネージド ID に、Blob コンテナーに対する Storage Blob Data Contributor ロールが割り当てられていることを確認してください。 データ転送が遅い ネットワーク帯域幅を確認します。 GCS は、S3 互換 API 要求のレート制限を行う場合があります。 プライベート接続をさらに追加します。 同期 GCS タイムスタンプの後に欠落しているオブジェクトには、第 2 レベルの細分性があります。 前回の同期と同じ秒に変更されたオブジェクトは、次の実行まで検出されない場合があります。 ソース URL が拒否されました。 URL が HTTPS を使用していることを確認します。クエリ パラメーターやフラグメントは使用しません。 有効な完全修飾ドメイン名を使用します。

既知の制限

• リージョンあたりのサブスクリプションあたり最大 10 個のプライベート接続 (承認済み + 保留中 + 切断の組み合わせ)。 詳細については、「Private Link Service Direct Connect の構成」を参照してください。
• PLS Direct Connect は、Storage Mover リソースと同じリージョンで構成する必要があります。
• GCS ソースの種類では、スケジュール設定を使用できません。 ジョブは手動で実行する必要があります。
• 各移行ジョブでは、最大 5 億個のオブジェクトの転送がサポートされています。
• S3 互換ソースへの HTTPS アクセスのみがサポートされています。
• S3 互換ソースは、AWS Signature Version 4 (SigV4) 認証をサポートしている必要があります。
• GCS サービス アカウントあたり最大 10 個の HMAC キー。

Performance

次のベンチマークは、複数の IPsec トンネルと Storage Mover プライベート接続を組み合わせたAzure VPN Gatewayを使用して測定されました。

前提条件

Azureの前提条件

• Azure Storage Mover リソースを作成および管理するアクセス許可がある、アクティブな Azure サブスクリプション。
• Azure サブスクリプションにデプロイされた Storage Mover リソース。
• OCIのカスタマーシークレットキー(Access KeyとSecret Key)を保存するためのAzure Key Vault。
• Azure Storage Mover リソース階層に関する知識。

OCIの前提条件

• 移行したいオブジェクトストレージバケットへのアクセスを持つOracle Cloud Infrastructure(OCI)テナンシーです。
• OCIユーザー向けに生成された顧客シークレットキー(アクセスキーID + シークレットキー)。
• Azure(サイト間VPNまたはFastConnect経由)に接続可能なOCI仮想クラウドネットワーク(VCN)です。
• ユーザーやグループにターゲットのバケットやオブジェクト(例: Allow group <G> to read buckets in compartment <C> や Allow group <G> to read objects in compartment <C>)への読み取りアクセスを許可するIAMポリシーです。
• OCIオブジェクトストレージのプライベートエンドポイント(またはサービスゲートウェイ)で、VCN内のオブジェクトストレージアクセスのための安定したプライベートIPを提供します。

プライベート ネットワークの前提条件

• AzureでOCIオブジェクトストレージのプライベートエンドポイントIPを目的地として設定したPrivate LinkサービスのDirect Connectリソースです。
• Azure Private Linkネットワーク ドキュメントに関する知識。

プライベート ネットワーク接続オプション

VCN制限のOCIバケットからデータを移行するには、まずOCI VCNとAzureの間にプライベートネットワークパスが必要です。 Azureでは、いくつかの接続オプションがサポートされています。

ほとんどのシナリオでは、サイト間 VPN はコストとパフォーマンスのバランスが良くなります。 最高スループットを得るには、ExpressRouteとOCI FastConnectを組み合わせて使用してください。

Azureの接続オプション

ExpressRoute

詳細情報:ExpressRoute のドキュメント

ルーティング： BGP は、Azure とネットワークの間でプレフィックスを交換するために、プライベート回線を介して一般的に使用されます。

接続プロバイダー: ExpressRoute は通常、コロケーションまたは接続プロバイダー (Equinix、Megaport など) を介してプロビジョニングされます。

サイト間 IPsec VPN (Azure VPN Gateway)

概要： パブリック インターネット経由で暗号化されたサイト間 IPsec トンネルには、Azure VPN Gateway を使用します。 スループットと回復性を高めるには、適切なゲートウェイ SKU (使用可能な場合は Generation2 やゾーン冗長 SKU など) を選択します。

詳細情報:チュートリアル - S2S VPN 接続を作成する

ルーティング： BGP を使用してルートを交換し、複数の接続間でアクティブ/アクティブ トンネルをサポートします。

実装のヒント (VPN パフォーマンス)

カスタム IPsec/IKE 設定の例 (デバイスの互換性に対して検証): IPsec 暗号化/整合性の GCMAES256 、IKE 整合性の SHA256 、 DHGroup14、 PFS2048。

詳細情報:カスタム IPsec/IKE 接続ポリシーを構成する。

AzureとOCI間でsite-to-site VPNを設定してください

OCI側について:

• 動的ルーティングゲートウェイ(DRG)を作成し、それをVCNに接続します。
• Azure VPN Gateway の各パブリック IP アドレスに対して、Customer-Premises Equipment (CPE) オブジェクトを作成します。
• Azure VPN GatewayのパブリックIPアドレスへのトンネル付きIPSec接続(Site-to-Site VPN)を作成します。
• Azureと交換されたBGPピアIPを使ってDRG上でBGP(または静的ルーティング)を設定しましょう。
• オブジェクトストレージのプライベートエンドポイントサブネットがVPNトンネル経由でAzureからアクセス可能であることを確認し、VCNサブネットをBGP経由でAzureにアドバレーズします。

詳しくはこちら:OCIサイト間VPN

OCIオブジェクトストレージへのプライベートアクセスの設定

OCIオブジェクトストレージのプライベートエンドポイント(またはサービスゲートウェイ)は、オブジェクトストレージにアクセスするための安定したプライベートIPアドレスをVCN内に提供します。 この IP アドレスは、Azure Private Link Service Direct Connect で構成する宛先です。

• OCIコンソールで Networking>Virtual Cloud Networksに移動し、VCN内で オブジェクトストレージのプライベートエンドポイント を作成します。
• VCNサブネットからプライベートIPアドレスを割り当ててください。
• このプライベート IP アドレスを記録します。 AZURE PLS Direct Connect リソースを構成するときに必要です。

OCIバケットアクセスの制限(任意)

• OCI IAMポリシーを使って最小権限の読み取りアクセスを付与し、バケットの可視性を プライベートに設定してください。
• オプションとして、Object Storageのプライベートエンドポイントとネットワークセキュリティルールを使ってVCNへのアクセスを制限することもできます。

プライベート リンク サービスの直接接続リソースを作成する

Private Link サービス (PLS) 直接接続では、Azureから宛先 IP アドレスへの送信プライベート接続が作成されます。 OCIの場合、宛先IPはVCN内のOCIオブジェクトストレージのプライベートエンドポイントIPで、VPNやFastConnectトンネル経由でアクセス可能です。

• AzureポータルでHome>Network foundation>Private Linkサービスに移動します。
• 「 プライベートリンクサービスを作成する」を選択します。
• Basicsタブで、Storage Moverリソースと同じAzureリージョンを選択します。
• 「アウトバウンド設定」タブでは:
  • 接続方法: 宛先IPアドレスを選択してください。
  • IPアドレス:先ほど記録したOCIオブジェクトストレージのプライベートエンドポイントIPアドレスを入力します。
  • 送信元 NAT 仮想ネットワーク: Azure VPN Gateway が含まれている VNet を選択してください。
  • 送信元NATサブネット:OCIにVPN接続があるサブネットを選択します。
  • プライベートIPアドレス設定:最低2つのNAT IPを設定してください(偶数個が必要です)。
• アクセスセキュリティタブで、適切な可視性設定を選択してください(ロールベースのアクセス制御のみが最も制限的です)。
• [Review + create](レビュー + 作成) を選択します。

プライベート接続の作成と承認

PLS Direct Connect リソースを作成した後、Storage Mover でプライベート接続を作成し、使用する前に承認します。

プライベート接続を作成する

1. Azure ポータルで Storage Mover リソースに移動します。
2. リソース管理の中でストレージエンドポイントを選択してください。
3. 「プライベート接続(プレビュー)」タブを選択してください。
4. 「プライベート接続を追加する」を選択してください。
5. プライベート接続の名前を入力します。
6. 作成した Private Link Service Direct Connect リソースを選択してください。
7. を選択してを作成します。 プロビジョニングには 20 ~ 30 秒かかります。 更新して、グリッド内の接続を確認します。

プライベート接続を承認する

1. 新しく作成したプライベート接続の横にあるチェック ボックスをオンにします。
2. [ 承認] を選択します。
3. プライベートリンクサービスの接続ステータスが承認済みに変わるのを待ちます。

プライベート接続を使用して移行ジョブを作成する

[基本] タブ

• ソースエンドポイント:既存のOCI S3互換ソースエンドポイントを選択するか、「 Add source endpoint 」を選択して作成してください。
• ターゲットエンドポイント:既存のAzure Blob Storageターゲットエンドポイントを選択するか、「ターゲットエンドポイントを追加」を選択します。
• 「プライベート接続(プレビュー)」セクションで「追加」を選択して、このジョブに承認されたプライベート接続を関連付けます。 負荷分散のために複数のプライベート接続を関連付けることができます。
• 残りのジョブステップは公開のOCIからBlobへの移行と同じです。

Troubleshooting

接続と IP アドレス指定

• Azure PLSで宛先IPを検証する:PLS Direct ConnectがあなたのOCIオブジェクトストレージのプライベートエンドポイントIPアドレスに向けられていることを確認してください。 不一致は接続性を妨げます。
• ネットワークパスの検証: OCIのサイト間VPNトンネル(またはFastConnect仮想回線)がOCIコンソールで 「Up 」ステータスを表示しているか確認してください。
• ルーティングを確認しましょう:DRGのBGPセッションが確立されていること、そしてVCNサブネット(プライベートエンドポイントサブネットを含む)がAzureにアドバタイアされているか確認してください。
• プライベートエンドポイントの検証: OCIオブジェクトストレージのプライベートエンドポイントがアクティブで、期待されるプライベートIPに解決されていることを確認します。
• リージョンアライメントの確認:PLS Direct ConnectとStorage Moverは同じAzureリージョン内にいなければなりません。

認証

• Azure Key VaultのAccess KeyとSecret Key(OCIカスタマーシークレットキー)が有効かつ正しいか確認してください。
• ソース エンドポイントのマネージド ID に、Key Vault で Key Vault Secrets User ロールが付与されていることを確認してください。
• OCIユーザーまたはグループがターゲットのバケットやオブジェクトに対して読み取りアクセスを許可するIAMポリシーを持っているか確認してください。
• S3クライアントの初期化が失敗した場合、 _ または .を含む名前のバケットにはパススタイルのURLを使用してください。

既知の制限

• リージョンあたりのサブスクリプションあたり最大 10 個のプライベート接続 (承認済み + 保留中 + 切断の組み合わせ)。
• PLS Direct Connect は、Storage Mover リソースと同じリージョンで構成する必要があります。
• OCIソースタイプではスケジューリングができません。 ジョブは手動で実行する必要があります。
• 各移行ジョブでは、最大 5 億個のオブジェクトの転送がサポートされています。
• S3 互換ソースへの HTTPS アクセスのみがサポートされています。
• S3 互換ソースは、AWS Signature Version 4 (SigV4) 認証をサポートしている必要があります。
• DNSと互換性のない名前(_、 .)を持つバケットはパススタイルのURLを使用しなければなりません。
• OCIユーザーごとの顧客シークレットキーはOCIサービスの制限の対象となります(デフォルトは低値;必要に応じて増額を要求)。 OCIコンソールで現在の制限を確認してください。

Performance

以下のベンチマークは、Azure VPN Gatewayと複数のIPsecトンネル、Storage Moverのプライベート接続を組み合わせて測定されました。 実際のスループットはVCN、VPN/FastConnect、オブジェクトストレージの制限に依存します。

Azureでは、プライベート ネットワークに接続するいくつかの方法がサポートされています。 最適なアプローチは、待機時間、帯域幅、セキュリティ、コスト、運用の複雑さの要件によって異なります。

• Azure ExpressRoute - パブリック インターネットを経由しないプライベートな専用接続。
• サイト間 IPsec VPN - パブリック インターネット経由の暗号化されたトンネル (通常は Azure VPN Gateway を使用)。
• ネットワーク仮想アプライアンス(NVA)を経由したSD-WAN - サードパーティ製アプライアンスはVPNやファイアウォール機能を提供し、ネイティブゲートウェイの代わりにトンネルを終了させることができます。

一般に、最も高い帯域幅と待機時間が最も短い場合は、ExpressRoute が推奨されます。 ExpressRoute を使用できない場合は、サイト間 VPN または SD-WAN/NVA ベースの設計を使用します。

主な概念

ExpressRoute:接続プロバイダーを通じたAzureへのプライベート接続。 通常は予測可能なレイテンシと高いスループットのために使われます。

Azure VPN Gateway SKU:ゲートウェイサイズ/SKUはトンネル数とスループットに影響を与えます。 必要な帯域幅と耐久性に基づいて選択してください。

IPsec/IKEポリシー:AESやSHAファミリー、DH、PFSグループなど、VPNトンネルの確立と保護に使用される暗号アルゴリズムとパラメータ。

BGP(ボーダーゲートウェイプロトコル):ネットワーク間でプレフィックスを交換する動的ルーティングです。 アクティブ/アクティブトンネルやルートフェイルオーバーに一般的に使われます。

ネットワーク仮想アプライアンス(NVA):Azureに展開されたファイアウォールや SD-WAN などのサードパーティの仮想ネットワークデバイスです。 しばしば事前検査、方針設定、ルーティングに使用されます。

UDR(ユーザー定義ルート):Azureのカスタムルートで、NVAなど特定の次のホップへトラフィックを誘導します。

Azure Private Link Service Direct Connect:Storage Moverのプライベート接続などのサービスのために、宛先IP(例えばAWS VPCE IPなど)へのアウトバウンドプライベート接続を作成するAzure機能。

プライベート接続承認:プライベート接続は、ワークロードやジョブが使用する前に明示的な承認を必要とする場合があります。

各オプションを使用する場合

ExpressRoute: ハイブリッド接続の予測可能なパフォーマンス、プライベート接続、およびスループットの向上が必要なタイミングを選択します。

サイトツーサイトVPN:より高速な設定、低コスト、またはバックアップパスとして選択。 パフォーマンスはインターネット環境やゲートウェイSKUに依存します。

SD-WAN/NVA: ベンダー固有のルーティング、セキュリティ検査、または既存の SD-WAN 運用モデルが必要な場合を選択します。

Azureの接続オプション

ExpressRoute

詳細情報:ExpressRoute のドキュメント

ルーティング： BGP は、Azure とネットワークの間でプレフィックスを交換するために、プライベート回線を介して一般的に使用されます。

接続プロバイダー: 通常、ExpressRouteはEquinixやMegaportなどのコロケーションや接続プロバイダーを通じてプロビジョニングします。

サイト間 IPsec VPN (Azure VPN Gateway)

概要： パブリック インターネット経由で暗号化されたサイト間 IPsec トンネルには、Azure VPN Gateway を使用します。 高いスループットとレジリエンス性のために、利用可能な場合Generation2やゾーン冗長SKUなどの適切なゲートウェイSKUを選択してください。

詳細情報:チュートリアル - S2S VPN 接続を作成する

ルーティング： BGP を使用してルートを交換し、複数の接続間でアクティブ/アクティブ トンネルをサポートします。

実装のヒント (VPN パフォーマンス)

カスタムIPsec/IKE設定の例(デバイスの互換性を照らして検証)は、IPsec暗号化と整合性の GCMAES256 、IKE整合性の SHA256 、 DHGroup14、 PFS2048。

詳細情報:カスタム IPsec/IKE 接続ポリシーを構成する。

ネットワーク仮想アプライアンス (NVA) を使用した SD-WAN

SD-WAN およびファイアウォール NVA は、VPN トンネルの終了、検査の実行、一元化されたルーティングとセキュリティ ポリシーの適用を行うことができます。 この方法は、ベンダー固有の機能が必要な場合や、サイト間で SD-WAN プラットフォームを既に運用している場合に便利です。

Fortinet: FortiGate 次世代ファイアウォール

Cisco: Catalyst SD-WAN、Meraki SD-WAN

HPE(アルバネットワークス):EdgeConnect SD-WAN

パロアルトネットワーク:プリズマ SD-WAN

Arista (VMware):VeloCloud SD-WAN Virtual Edge

SD-WAN NVA は、一般的に従量課金制 (PAYG) またはライセンス持ち込み (BYOL) の形式でライセンスされます。 ベンダーのサポートは、展開オプションによって異なります。

デプロイの例 (Azure の FortiGate NVA)

可用性とスループットの要件に基づいて、トポロジ (単一の VM、アクティブ/パッシブ、またはアクティブ/アクティブ) を選択します。

適切な VM サイズ (多くの場合、vCPU が高い F または D シリーズ) を選択し、サポートされている場合 は高速ネットワークを 有効にします。

ネットワーク設計: インターフェイスを WAN/LAN (および保護された) サブネットに配置し、必要な管理ポートと VPN ポート (IPsec の場合は UDP 500/4500 など) の NSG 規則を構成します。

ルーティング: UDR を使用して、NVA の次ホップを介して Azure から AWS へのプレフィックスを誘導します。

ベンダーのドキュメント: FortiGate デバイス間で IPsec を構成する手順の例については、以下の Fortinet Community の記事を参照してください。

FortiGate デバイス間で VPN サイト間を構成する方法 (Fortinet Community)

セキュリティ グループの考慮事項

最小権限の原則を用いて、オンプレミスのソースプレフィックスからAzure仮想ネットワーク(VNet)への必要なトラフィックを許可します。

Private Link Service Direct Connect の Azure 構成

Private Link Service Direct Connect リソースを作成する

Private Link Service Direct Connectは、Azureが宛先IPアドレスへのアウトバウンドプライベート接続を作成できるようにします。 この場合、Storage Moverのプライベート接続が既存のAzure VNet経路を通じてオンプレミスのエンドポイントに到達できるようにします。

1. PLS Direct Connectリソースを、Storage Moverリソースやオンプレミスデータにアクセスするために使うAzure仮想ネットワークと同じAzureリージョン内に展開してください。
2. Azureポータルでこの機能を有効にするには、提供されたフライトリンクを使ってください:Azure portal flight link (PLS Direct Connect)です。
3. AzureのVNetと、送信元NATに選ばれたサブネットが送信元ターゲットアドレスに接続されていることを確認してください。

高レベルの手順

1. Direct Connect の Private Link Service (Your Service) リソースを適切なリージョンに作成します。
2. 送信設定を構成する:
3. 接続方法を 宛先IPアドレス に設定し、 送信元のターゲットアドレスを入力します。
4. ファイル共有にルーティングできる 送信元のNAT 仮想ネットワークとサブネットを選択してください。
5. 必要に応じて、2つ以上のアドレスをサポート単位で設定するなど、レジリエンスのためにプライベートIPアドレス設定を設定しましょう。

プライベート接続の作成と承認

Direct Connect リソースを作成した後、Storage Mover でプライベート接続を作成し、使用前に承認してください。

1. Storage Mover で、ストレージ エンドポイントを開き、[プライベート接続] タブを開きます。
2. Direct Connectのプライベートリンクサービスを参照するプライベート接続を作成し、それを承認してジョブに関連付けます。
3. 前のプライベート接続を、SMB移行ワークロード のジョブ作成 操作の一部として活用してください。
4. テナント内の エージェントレスSMBマウント に対応するマイグレーションタイプとソースタイプの値を選択してください。
5. SMBのソースエンドポイント(ホスト/シェアおよびKey Vaultの認証情報)を設定し、承認されたプライベート接続を関連付けます。
6. プライベート接続が一覧表示され、 承認済み 状態であることを確認します。
7. 残りのジョブ設定を完了し、SMBからAzureへのターゲット移行の手順に従って実行してください。

Troubleshooting

接続と IP アドレス指定

• Azure PLSで宛先IPを確認:Azure Private Link Service Directs connectsの宛先IPが、正しい到達可能なサーバーを現場に指し示していることを確認しましょう。 ここで不一致が発生すると、最初のハンドシェイクが妨げられます。
• ネットワークパスの検証:基盤となるネットワークインフラ(例:VPN、ExpressRoute、Cloud Interconnect)が確立されており、Azure環境とオンプレミスネットワーク間のトラフィックが正しくルーティングされているか確認してください。
• Virtual Networkの設定を確認する:virtual networkと該当する場合はネットワークゲートウェイの設定を確認し、アクティブなサブネットやセキュリティグループに紐づいているか確認してください。

オンプレミスネットワーク構成

必要なポート経由のネットワークトラフィックを許可する:firewall設定でAzure仮想ネットワークからの受信トラフィック(SMB用ポート445、S3およびHTTPSトラフィック用ポート443)を通じたネットワークトラフィックが許可されているか確認してください。

Limits

• 顧客はリージョンごとに最大10のプライベート接続を設定できます。 これには、承認済み、保留中、切断済みのプライベート接続状態が含まれます。
• PLSはStorage Mover Resourceと同じリージョン内で直接設定すべきです。

Performance

• ExpressRoute の概念と計画については、ExpressRoute のドキュメントで確認してください。
• Azure でサイト間 VPN 接続を作成する: チュートリアル - S2S VPN 接続を作成します。
• Azure と AWS の間の BGP については、 チュートリアル - Azure と AWS の間で BGP が有効な接続を構成する方法に関するチュートリアルに従います。

• GCS の S3 互換ソース移行を開始する
• Azure への HA VPN を作成
• プライベート サービス コネクト

Oracle移行のための「次のステップ」リンクが必要です。

• Azure Storage Mover（プレビュー）を使用して、オンプレミスの SMB から Azure Files にデータを移行する
• Azure Storage Mover でプライベート接続を使ったデータを移動する方法
• Azure Storage Mover のネットワーク要件