Azure Filesネットワークに関する考慮事項

✔️ Applies to: すべての Azure ファイル共有

Azureのファイル共有はパブリックエンドポイントを持ち、1つ以上のプライベートエンドポイントを持つことができます。 クライアントに利用可能なネットワークパスはプロトコルやネットワークルールによって異なります。 この記事では、クラシックなファイル共有 (Microsoft.Storage) と、Microsoft.FileShares で作成されたファイル共有の両方を扱っています。 Azure File Syncは、従来のSMBファイル共有のためのキャッシュオプションを提供します。 詳細については、Azure File Sync の概要を参照してください。

より広範な展開の考慮事項については、「Azure Filesデプロイメントの計画」を参照してください。 設定手順については、「Azure ファイル共有のためのネットワークエンドポイントの設定」を参照してください。

ネットワーク設計に影響を与えるプロトコルの違いは2つあります。

  • SMBはTCPポート445を使用しており、一部の組織やインターネットサービスプロバイダーはアウトバウンドトラフィック用にこれをブロックしています。 VPNやExpressRouteを通じたプライベート接続は代替ルートを提供します。

  • NFSはネットワークベースの認証を使用しています。 クライアントはプライベートエンドポイントまたは許可された仮想ネットワークサブネットからのサービスエンドポイントを介して接続します。

クラシックファイル共有はSMBとNFSをサポートしています。 Microsoft.FileSharesは現在NFSをサポートしています。 両方のリソースプロバイダーはパブリックおよびプライベートエンドポイントをサポートしています。 リソース所有権と管理の違いについては、Azure Files管理の概念を参照してください。

この動画では、従来のファイル共有のためのネットワーキングを実演しています。 以下のセクションでは、該当する場合、Microsoft.FileShares についても説明しています。 現在 Azure Active Directory は Microsoft Entra ID になりました。 詳細については、「Azure AD の新しい名前を参照してください。

転送時の暗号化

転送中の暗号化は、クライアントとAzure Files間のデータの機密性と整合性を保護し、中間者攻撃による傍受や改ざんからも保護します。 この保護はパブリックエンドポイントとプライベートエンドポイントの両方に適用されます。 暗号化ルールとネットワークアクセスルールは別々の目的を持ちます。暗号化は接続を保護し、ネットワークルールはどのクライアントがサービスにアクセスできるかを決定します。

SMBにおける転送中の暗号化

SMB 3.xはSMBチャネル暗号化によってデータを保護します。 Azure FilesはSMB 3.0でAES-128-CCMをサポートし、SMB 3.1.1ではAES-128-GCMおよびAES-256-GCMをサポートしています。 暗号化アルゴリズムはクライアントの能力とサービスが許可するアルゴリズムに依存します。 SMB 2.1はチャネル暗号化をサポートしていません。

許容されるアルゴリズムを制限すると、クライアントの互換性に影響を及ぼす可能性があります。 例えば、古いWindowsクライアントはAES-256-GCMをサポートしていません。 チャネル暗号化は接続上のファイルデータを保護します。Kerberosのチケット暗号化は認証チケットを保護します。 これらは別々のコントロールです。 クライアントサポートおよび設定については、 SMBセキュリティ設定をご覧ください。

NFS の転送中の暗号化

NFS のファイル共有は、いずれかのリソース プロバイダーで TLS トンネリングによる暗号化をサポートします。 AZNFSマウントヘルパーはstunnelを使って、クライアントとAzure Files間の暗号化された接続を通じてNFSトラフィックを運びます。 AZNFSはTLS 1.2およびTLS 1.3をサポートし、サーバーの証明書を検証します。 アプリケーションはTLSを実装せずにNFSプロトコルを引き続き使用しています。

TLSは転送中のデータを保護しますが、NFSにユーザーベースの認証は追加しません。 ネットワークアクセスルールやファイル権限は依然としてアクセスを支配しています。 暗号化されたマウント手順については、「NFS共有の転送中のデータを暗号化」を参照してください。

FileRESTの転送中の暗号化

FileRESTはHTTPSで転送中のデータを保護します。 Azure FilesはHTTPS接続にTLS 1.2とTLS 1.3をサポートしています。 HTTPSを要求すると、暗号化されていないHTTPリクエストは拒否されます。最小TLSバージョン要件は、クライアントが使用できるTLSバージョンを制御します。

FileRESTのデータアクセスはクラシックファイル共有で利用可能です。 Microsoft.FileSharesは現在FileRESTのデータアクセスをサポートしていません。

暗号化設定ガイド

暗号化の要件やデフォルトはリソースプロバイダーとプロトコルによって異なります。 以下のガイドでは、それらの表示方法や変更方法を説明しています。

パブリック エンドポイント

パブリックエンドポイントにはパブリックIPアドレスがあります。 パブリックアドレスは無制限アクセスを意味するわけではありません。プロトコル要件、ネットワークルール、認可によってリクエストが許可されるかどうかが決まります。

プロトコルごとにパブリックエンドポイントアクセスに関するルールが異なります。 SMBとFileRESTはクラシックファイル共有に適用されます。 NFSは両方のリソース提供者に適用されます:

  • SMB:暗号化されたSMB 3.x接続は、ネットワークルールと承認に従い、Azure内外から発信できます。 暗号化されていないSMB接続は同じAzureリージョン内のクライアントに限定され、暗号化されていないアクセスを許可する設定が必要です。

  • NFS:クライアントは許可されたサブネットから サービスエンドポイント を通じてのみ公開エンドポイントにアクセスできます。 NFSはインターネットクライアントからの直接アクセスをサポートしていません。

  • FileREST:クライアントはRESTリクエストを通じてファイルデータにアクセスします。 HTTPSはこれらのリクエストを通信中に保護します。 ネットワークのルールや認可は、HTTPSが必要かどうかに関わらず独立して適用されます。

インバウンドネットワークアクセス

ネットワークルールはパブリックエンドポイントへのインバウンドアクセスを制御します。 両方のリソースプロバイダーは、選択された仮想ネットワークサブネットからのアクセスをサポートしています。 従来のSMBやFileRESTへのアクセスでもIPアドレスルールを使用できます。 NFSへのアクセスにはサービスエンドポイントと許可されたサブネットが必要です。

サービスエンドポイントは、仮想ネットワークサブネットからAzureバックボーン経由でAzure Filesへのトラフィックを運びます。 トラフィックは依然としてパブリックエンドポイントのIPアドレスを使用します。 ネットワーク層は送信元サブネットを特定し、サービスが許可されたネットワークと照合できるようにします。

パブリックネットワークアクセスを無効にすると、クライアントがサービスエンドポイントを通じたアクセスも妨げられます。 プライベートエンドポイントアクセスはこの設定とは独立しています。 クラシックなファイル共有の場合、既存の 信頼されたサービスの例外 は引き続き有効です。

両方のリソースプロバイダーの設定手順については、「 パブリックエンドポイントアクセスの制限」を参照してください。

サービスエンドポイントポリシーでアウトバウンドアクセスを制限する

ファイル共有のネットワークルールは、受信アクセスを制御します。 クライアントのアウトバウンド先を制限しません。 例えば、ファイル共有を読み取れるクライアントは、書き込み権限を持つ別のリソースにデータをコピーできます。

クラシックなファイル共有では、サブネット内のクライアントがサービス エンドポイント経由でアクセスできるストレージ アカウントを制限するために、オプションでサービス エンドポイント ポリシーを使うことができます。 このポリシーはそのサブネットのすべてのクライアントに適用されます。 宛先のネットワークルールや認可要件は引き続き適用されます。

サービスエンドポイントポリシーは、他のネットワーク制御と連携して動作します:

  • サービス エンドポイント ルートは、対応するサービス アドレス プレフィックスのユーザー定義ルート (UDR) より優先されます。 サービスエンドポイントを経由するトラフィックはAzure Firewallやネットワーク仮想アプライアンス(NVA)を経由しないため、これらのデバイスはそれを検査したりログを記録したりできません。 詳細については、仮想ネットワーク サービス エンドポイントに関するページを参照してください。
  • ネットワークセキュリティグループ(NSG)ルールは、 Storage.WestUS などのサービスタグを使って、地域へのアウトバウンドトラフィックを制限することができます。 サービスタグは特定のストレージアカウントへのトラフィックを制限できません。

ポリシーの許可リストには、個々のストレージアカウント、リソースグループ、またはサブスクリプションを含めることができます。 このポリシーは、関連するサブネット内のクライアントがサービスエンドポイントを通じて他のストレージアカウントにアクセスすることをブロックします。 サブネットからの他のアウトバウンド経路を制限しません。

Important

サービス エンドポイント ポリシーは現在、Microsoft.FileShares のファイル共有ではサポートされていません。 これらのファイル共有はポリシーに追加できません。 クライアントサブネットのポリシーは、サブスクリプションやリソースグループを許可していても、サービスエンドポイント経由でそれらへのアクセスをブロックします。 そのサブネット内のクライアントは、Microsoft.FileShares のファイル共有にアクセスするためにプライベート エンドポイントを使わなければなりません。

サービスエンドポイントポリシーはプライベートエンドポイントトラフィックには適用されません。

サービスエンドポイントポリシーを設定するには、「 特定のストレージアカウントへのアウトバウンドアクセスを制限する」を参照してください。

Azure portal のアクセス

Azureポータルでリソースを開くこととファイルデータにアクセスすることは別操作です。 従来のファイル共有では、データを参照すると、ブラウザからファイル サービスのエンドポイントに FileREST 要求が送信されます。 これらのリクエストはストレージアカウントのネットワークルールに従います。 ポータルへのアクセスだけでは、ネットワーク経由でファイルデータにアクセスできるわけではありません。

Microsoft.FileSharesは現在FileRESTのデータアクセスをサポートしていません。 従来のファイル共有の参照要件やトラブルシューティングについては、Azure ポータルでファイル データへのアクセスを承認するをご覧ください。

パブリック エンドポイント ネットワーク ルーティング

ルーティングの優先順位は、 StorageV2 ストレージアカウントで従量課金モデルを使用する従来のHDDファイル共有でのみ利用可能です。 FileStorage ストレージ アカウントのプロビジョニング済みファイル共有または Microsoft.FileShares ではサポートされていません。

これらの従量分支払アカウントでは、 ルーティングの優先順 位によってインターネットトラフィックがパブリックエンドポイントに到達する方法が決まります:

  • Microsoftルーティング(デフォルト):クライアントとストレージアカウント間のトラフィックは、インターネットに移行する前にできるだけ長くMicrosoftのグローバルネットワークバックボーンを経由します。 このオプションはActive Directory(AD)ドメインジョインシナリオとAzure File Syncをサポートします。
  • インターネットルーティング:トラフィックはできるだけ早くパブリックインターネット経由でルーティングされます。 このオプションはActive Directory(AD)ドメイン参加シナリオやAzure File Syncをサポートしていません。

設定手順については、「ネットワーク ルーティング設定の構成」を参照してください。

プライベート エンドポイント

プライベートエンドポイントは、仮想ネットワーク内でファイル共有へのアクセスのためのプライベートIPアドレスを提供します。

各プライベートエンドポイントは仮想ネットワークのサブネットに関連付けられています。 複数のプライベートエンドポイントは、異なる仮想ネットワークから同じファイル共有へのアクセスを提供できます。

クライアントは、その仮想ネットワーク、ピアリングされた仮想ネットワーク、または接続されたオンプレミス ネットワークからプライベート エンドポイントにアクセスできます。

プライベートエンドポイントとパブリックエンドポイントは共存可能です。 プライベートエンドポイントを作成しても、パブリックアクセスが無効になったり、クライアントからの他のアウトバウンドパスが制限されたりするわけではありません。

プライベート エンドポイントを作成するには、 Azure Filesを参照してください。

オンプレミスからのプライベート接続

VPNとExpressRouteは、オンプレミスのクライアントとAzure仮想ネットワーク内のプライベートエンドポイント間の接続を提供します。 このアプローチはSMBとNFSの両方に当てはまります。

接続オプションは範囲や通信方式によって異なります。

ポイント対サイト VPN

ポイント・トゥ・サイトVPNは、個々のクライアントをAzureの仮想ネットワークに接続します。 組織のサイトネットワークを経由していないリモートユーザーやデバイスをサポートします。 サポートされているプロトコルや設定ガイドについては 、「ポイント・トゥ・サイトVPNについて」をご覧ください。

サイト間 VPN

サイトツーサイトVPNは、組織のネットワークをVPNゲートウェイを介してAzure仮想ネットワークに接続します。 接続されたネットワーク上のクライアントはその接続を共有します。 アーキテクチャおよびセットアップのガイドについては 、Site-to-site VPNをご覧ください。

ExpressRoute

ExpressRouteのプライベートピアリングは、オンプレミスネットワークをパブリックインターネットを経由せずにAzureの仮想ネットワークに接続します。 ネットワーク性能または組織上の要件があるワークロード向けに、プライベート接続オプションを提供します。 アプリケーションレベルの暗号化は依然として別の考慮事項です。 接続オプションや設定ガイドについては ExpressRouteの概要をご覧ください。

DNS の解決

DNSはファイル共有のホスト名がパブリックIPアドレスかプライベートIPアドレスに解決されるかを決定します。 クライアントはどちらのパスでも同じホスト名を使用します。 シェアにプライベートDNSを使用するネットワーク内では、名前はプライベートエンドポイントのIPアドレスに解決されます。 パブリック DNS を使うクライアントでは、それは代わりにパブリック エンドポイントに解決されます。

クラシックファイル共有はストレージアカウントのファイルサービスのホスト名を使用します。 Microsoft.FileSharesは各ファイル共有に生成されたホスト名を割り当てます。 生成された名前はファイル共有のリソース名とは別です。

パブリッククラウドAzure、両方のリソースプロバイダーがプライベートDNSゾーンprivatelink.file.core.windows.netを使用しています。 オンプレミスのクライアントはプライベートDNSレコードへのアクセスとプライベートエンドポイントへのネットワークルートが必要です。 VPNやExpressRoute接続だけではプライベートDNS解決はできません。 DNS転送やAzure DNS Private Resolverでその解決が可能です。

設定および検証については、以下を参照してください:

SMB over QUIC (ネットワークプロトコル)

QUIC 上の SMB は UDP ポート 443 経由で SMB トラフィックを運び、TCP ポート 445 が利用できない場合の代替手段を提供します。 互換性のある Windows Server ファイル サーバーが QUIC エンドポイントを提供し、クライアントには SMB over QUIC のサポートが必要です。

現在、Azure FilesはSMBを直接QUIC経由でサポートしていません。 次の図に示すように、Azure File Syncを通じて、従来のSMBファイル共有のWindows Serverキャッシュにアクセスできます。 このオプションはNFSやMicrosoft.FileSharesには適用されません。 Azure File SyncキャッシュはオンプレミスやAzureデータセンターに展開できます。 詳しくはWindows Serverのドキュメントをご覧ください。 Azure File Sync特有のネットワークの詳細については、SMB over QUICを参照してください。

Azure File Syncを使ってWindows Server 2022 Azure EditionのVM上でAzureファイル共有の軽量キャッシュを作成するための図。

こちらも参照ください

  • 最終更新: