この記事では、Azureとアマゾン ウェブ サービス (AWS) が提供するコア ネットワーク サービスを比較します。
他の AWS と Azure サービスを比較する記事へのリンクと、AWS と Azure の間の完全なサービス マッピングについては、AWS プロフェッショナル向けの Azure を参照してください。
Azure 仮想ネットワークと AWS VPCs
Azure仮想ネットワークと AWS 仮想プライベート クラウド (VPC) は、どちらもそれぞれのクラウド プラットフォーム内に分離された論理的に定義されたネットワーク空間を提供するという点で似ています。 ただし、アーキテクチャ、機能、統合の点では重要な違いがあります。
サブネットの配置。 AWS では、各サブネットは 1 つの可用性ゾーンにバインドされるため、ゾーン冗長を実現するには、可用性ゾーンごとに 1 つのサブネットを作成する必要があります。 Azureでは、サブネットはリージョン内のすべての可用性ゾーンにまたがるリージョンコンストラクトです。 同じサブネットにデプロイされたリソースは、異なる可用性ゾーンに存在し、同じサブネット CIDR またはアドレス空間を使用できます。 特定のリソースを別の可用性ゾーンに再デプロイまたは移動する場合、リソースの種類や再デプロイまたは移動方法によっては、リソースのプライベート IP アドレスが保持される場合と保持されない場合があります。
セキュリティ モデル。 AWS では、ステートレス ネットワーク ACL (サブネット境界で適用) を使用してステートフル セキュリティ グループ (ENI にアタッチ) をレイヤー化します。 Azureでは、サブネットまたは NIC レベルで適用できるステートフル ネットワーク セキュリティ グループ (NSG) と、IP 範囲ではなく論理ワークロード タグを使用して NSG 規則を作成するために使用できる適用セキュリティ グループ を使用します。 後者のアプローチは、概念的には、他のセキュリティ グループを参照する AWS セキュリティ グループに似ています。 より詳細な検査のために、Azure Firewall は、AWS ネットワーク ファイアウォールと同様に、FQDN フィルタリング、脅威インテリジェンス、およびオプションの IDPS/TLS 検査を備えた、管理されたステートフルなクラウドネイティブ ファイアウォールを提供します。
ピアリング。 Azureと AWS の両方で、仮想ネットワーク/VPC ピアリングがサポートされています。 どちらのテクノロジでも、Azure Virtual WANまたは AWS Transit Gateway を介したより複雑なピアリングが可能になります。
VPN
AWS サイト間 VPN と Azure VPN Gateway はどちらも、オンプレミスネットワークをクラウドに接続するための堅牢なソリューションです。 同様の機能が提供されますが、パフォーマンスに大きな違いがあります。 VPN Gatewayでは、特定の構成 (最大 10 Gbps) のスループットが高くなりますが、サイト間 VPN の範囲は通常、接続あたり 1.25 Gbps から 5 Gbps (ECMP を使用) です。
エラスティック負荷分散、Azure Load Balancer、およびAzure Application Gateway
エラスティック負荷分散サービスと同等のAzureは次のとおりです。
Load Balancer は AWS ネットワーク Load Balancerと同じネットワークレイヤー 4 機能を提供するため、ネットワーク レベルで複数の VM にトラフィックを分散できます。 フェールオーバー機能も提供します。
Application Gateway は、AWS アプリケーション Load Balancerと同等のアプリケーションレベルのルールベースのルーティングを提供します。
ルート 53、Azure DNS、およびAzure Traffic Manager
AWS の Route 53 では、DNS 名管理と DNS レベルのトラフィック ルーティング サービスと、フェールオーバー サービスの両方を提供します。 Azureでは、次の 2 つのサービスがこれらのタスクを処理します。
Azure DNS は、ドメインと DNS の管理を提供します。
Traffic Manager には、DNS レベルのトラフィック ルーティング、負荷分散、およびフェールオーバー機能が用意されています。
AWS 直接接続とAzure ExpressRoute
AWS Direct Connect は、ネットワークを AWS に直接リンクできます。 Azureは、ExpressRoute 経由で同様のサイト間専用接続を提供します。 ExpressRoute を使用すると、専用のプライベート ネットワーク接続を使用して、ローカル ネットワークをAzure リソースに直接接続できます。 Azureと AWS の両方で、サイト間 VPN 接続が提供されます。
ルートテーブル
AWS ルート テーブルには、サブネットまたはゲートウェイ サブネットから宛先にトラフィックを転送するルートが含まれています。 Azureでは、対応する機能はユーザー定義ルートと呼ばれます。
ユーザー定義ルートを使用すると、カスタム ルートまたはユーザー定義 (静的) ルートを作成できます。 これらのルートは、既定のAzureシステム ルートをオーバーライドします。 サブネットのルート テーブルにルートを追加することもできます。
Azure Private Link
Private Linkは AWS PrivateLink に似ています。 Azure Private Linkは、仮想ネットワークからサービスとしてのAzure プラットフォーム (PaaS) ソリューション、顧客所有のサービス、または Microsoft パートナー サービスへのプライベート接続を提供します。
VPC ピアリングと仮想ネットワークピアリング
AWS の VPC ピアリング接続は、2 つの VPC 間のネットワーク接続です。 この接続を使用すると、プライベート インターネット プロトコル バージョン 4 (IPv4) アドレスまたはインターネット プロトコル バージョン 6 (IPv6) アドレスを使用して、VPN 間でトラフィックをルーティングできます。
Azure仮想ネットワーク ピアリングを使用して、Azure内の 2 つ以上の仮想ネットワークを接続できます。 接続の目的では、仮想ネットワークは 1 つのものとして表示されます。 ピアリングされた仮想ネットワーク内の仮想マシン間のトラフィックには、Microsoft のバックボーンインフラストラクチャが使用されます。 単一ネットワーク内の仮想マシン間のトラフィックと同様に、トラフィックは Microsoft プライベート ネットワーク経由でのみルーティングされます。
仮想ネットワークでも VPC でも、推移的ピアリングは許可されません。 ただし、Azureでは、ネットワーク仮想アプライアンス (NVA) またはハブ仮想ネットワーク内のゲートウェイを使用して推移的なネットワークを実現できます。
ネットワーク サービスの比較
| 地域 | AWS サービス | Azure サービス | 説明 |
|---|---|---|---|
| クラウド仮想ネットワーク | 仮想プライベートクラウド(VPC) | 仮想ネットワーク | これらのサービスでは、クラウド内に分離されたプライベート環境が提供されます。 ユーザーは、独自の IP アドレス範囲の選択、サブネットの作成、ルート テーブルやネットワーク ゲートウェイの構成などにより、仮想ネットワーク環境を制御できます。 AWS では、各サブネットは 1 つの可用性ゾーンに存在する必要があります。 Azureでは、サブネットは複数の可用性ゾーンにまたがることができます。 |
| NAT ゲートウェイ | AWS NAT ゲートウェイ | Azure NAT ゲートウェイ | これらのサービスにより、仮想ネットワークの送信専用のインターネット接続が簡素化されます。 サブネットでは、指定した静的パブリック IP アドレスを使用するようにすべての送信接続を構成できます。 ロード バランサーや、仮想マシンに直接アタッチされたパブリック IP アドレスがなくても、アウトバウンド接続が可能となります。 AWS NAT ゲートウェイは、1 つのパブリック IP にのみ関連付けることができます。 Azure NAT ゲートウェイには、複数のパブリック IP を含めることができます。 |
| クロスプレミス接続 | サイト間 VPN | VPN ゲートウェイ | AWS サイト間 VPN とAzure VPN Gatewayは、高可用性と業界標準プロトコルのサポートを備えた、セキュリティが強化され、信頼性の高い VPN 接続を提供します。 主な違いは、他のクラウド サービスとの統合と、Azureのルートベースやポリシーベースの VPN などの特定の機能にあります。 AWS VPN では最大 5 Gbps のスループットが提供されますが、Azureでは最大 10 Gbps が提供されます。 |
| DNS 管理 | ルート 53 | Azure DNS | Azure DNSでは、他のAzure サービスで使用するのと同じ資格情報と課金とサポート コントラクトを使用して DNS レコードを管理できます。 どちらのサービスも DNSSEC |
| DNS ベースのルーティング | ルート 53 | トラフィックマネージャー | これらのサービスは、ドメイン名のホスティング、インターネット アプリケーションへのユーザー ルーティング、データセンターへのユーザー要求接続、アプリへのトラフィック管理を行い、自動フェイルオーバーによってアプリの可用性を向上させます。 |
| 専用ネットワーク | 直接接続 | ExpressRoute | これらのサービスは、ある場所からクラウド プロバイダーまでの (インターネット経由ではなく) 専用のプライベート ネットワーク接続を確立します。 |
| 負荷分散 | ネットワーク ロード バランサー | ロードバランサー | Azure Load Balancerは、レイヤー 4 (TCP または UDP) でトラフィックを負荷分散します。 Load Balancerでは、サブスクリプション間およびグローバル負荷分散もサポートされます。 |
| アプリケーションレベルの負荷分散 | アプリケーションロードバランサ | アプリケーション ゲートウェイ | Application Gateway はレイヤー 7 のロード バランサーです。 SSL ターミネーション、Cookie ベースのセッション アフィニティ、およびラウンド ロビンによるトラフィックの負荷分散をサポートしています。 また、マルチサイト ルーティングとセキュリティ機能も提供します。 |
| ルートテーブル | カスタム ルート テーブル | ユーザー定義ルート | これらのテーブルは、既定のシステム ルートを上書きしたり、サブネットのルート テーブルにルートを追加したりするためのカスタム ルートまたはユーザー定義 (静的) ルートを提供します。 |
| プライベート リンク | プライベートリンク | Azure Private Link | Azure Private Linkは、Azure プラットフォームでホストされているサービスへのプライベート アクセスを提供します。 これにより、データが Microsoft ネットワーク上に保持されます。 |
| プライベート PaaS 接続 | VPC エンドポイント | プライベート エンドポイント | プライベート エンドポイントは、バックボーンの Microsoft プライベート ネットワーク経由で、さまざまな Azure サービスとしてのプラットフォーム (PaaS) リソースへのセキュリティで保護されたプライベート接続を提供します。 |
| 仮想ネットワーク ピアリング | VPC ピアリング | 仮想ネットワーク ピアリング | 仮想ネットワーク ピアリングは、同じリージョン内の 2 つの仮想ネットワークをAzureバックボーン ネットワーク経由で接続するメカニズムです。 ピアリングされた 2 つの仮想ネットワークは、あらゆる接続において、見かけ上 1 つのネットワークとして機能します。 |
| コンテンツ配信ネットワーク | CloudFront | Azure Front Door | Azure Front Doorは最新のクラウド コンテンツ配信ネットワーク (CDN) サービスであり、コンテンツとアプリケーションに対して高いパフォーマンス、スケーラビリティ、セキュリティで保護されたユーザー エクスペリエンスを提供します。 |
| ネットワーク監視 | VPC フロー ログ | 仮想ネットワーク フロー ログ | 仮想ネットワーク フロー ログは、Azure Network Watcher の機能であり、仮想ネットワーク、サブネット、またはネットワーク インターフェイス経由のイングレスおよびエグレス IP トラフィックを記録します。 |
| ネットワークのセキュリティ | セキュリティ グループ | ネットワーク セキュリティ グループ | これらのコントロールは、仮想ネットワーク サブネット内のリソースとの間のネットワーク トラフィックをフィルター処理します。 |
| ハブ アンド スポークとグローバル ネットワーク ハブ | AWS トランジット ゲートウェイ | Azure Virtual WAN | これらのサービスは、マネージド トランジット ハブを介して、多数の VPN と仮想ネットワーク、オンプレミス サイト、リモート ユーザー間のネットワーク接続を一元化します。 Virtual WANは、Azure Firewall、Azure DDoS Protection、セキュリティで保護された SD-WAN パートナーとネイティブに統合されます。 AWS Transit Gateway では、添付ファイルごとに最大 100 個の Border Gateway Protocol (BGP) プレフィックスがサポートされます。 Virtual WANプライベート ピアリングでは、1,000 個の BGP プレフィックスがサポートされます。 |
| グローバル トラフィック アクセラレーション (バックボーン上のエニーキャスト) | AWS グローバル アクセラレータ | Azure Front Door / Azure リージョン間ロード バランサー | これらのサービスは、プロバイダーのバックボーン ネットワークにグローバル エニーキャスト エントリ ポイントを提供し、リージョン間でのアプリケーションのパフォーマンスと可用性を向上させます。 Azure Front Doorは、CDN と WAF が統合されたレイヤー 7 (HTTP/HTTPS) で動作します。 リージョン間Azure Load Balancerは TCP/UDP のレイヤー 4 で動作します。これは AWS グローバル アクセラレータのレイヤー 4 の動作と密接に一致します。 Traffic Manager は DNS ベースであり、DNS ベースのルーティングで個別に比較されます。 |
| クロスプレミス接続 | AWS Direct Connect ゲートウェイ | Azure ExpressRoute グローバル リーチ | これらのサービスは、複数のリージョンにまたがる専用のプライベート接続を使用して、オンプレミス ネットワークをクラウドに拡張します。 |
| VPC 間/仮想ネットワーク間アプリケーション ネットワーキング | Amazon VPC Lattice | 同等の値は 1 つもありません。 シナリオに応じて、Azure Private Link、Application Gateway for Containers、および Azure API Management の組み合わせを使用します。 | VPC Lattice は、ID 対応のクロス VPC サービス間接続を提供する、リージョンのマネージド アプリケーション層ネットワーク サービスです。 Azureでは、プライベート PaaS のPrivate Link、AKS ネイティブ L7 ルーティング用の Application Gateway for Containers、一元化されたサービス公開とポリシーのための API Management など、複数のサービスを使用してこれらのシナリオに対処します。 |
| サービス検出 | AWS クラウド マップ | AKS (CoreDNS) / Azure Container Apps / Azure Service Fabric 名前付けサービスの組み込みサービス検出 | AWS Cloud Map は、動的なアプリケーション インスタンスを追跡し、DNS または API を介して公開するサービス レジストリです。 Azureは、プラットフォーム固有のサービス検出 (AKS の CoreDNS、Container Apps の組み込みの名前解決、Service Fabric の名前付けサービス) を介して同等の機能を提供します。 一方、Azure プライベート DNSは、仮想ネットワーク内のカスタム ドメインを解決するためのマネージド DNS ゾーン サービスです。 |
| マネージド ファイアウォール | AWS ネットワークファイアウォール | Azure Firewall | これらのサービスは、仮想ネットワーク用のマネージド、ステートフル、クラウドネイティブのファイアウォール サービスを提供します。 どちらも、Suricata 互換ルール (AWS) または組み込みの脅威インテリジェンス (Azure)、FQDN フィルタリング、および一元化されたポリシー管理を使用したトラフィック検査をサポートします。 Azure Firewallは、Standard、Premium (TLS 検査、IDPS)、Basic レベルで利用できます。 |
| Web アプリケーション ファイアウォール | AWS WAF | Azure Web Application Firewall (Application Gateway または Azure Front Door) | 一般的な Web 攻撃に対するレイヤー 7 の保護 (OWASP Top 10、SQL インジェクション、XSS)。 どちらのサービスも、マネージド ルール セット、カスタム ルール、レート制限、ボット保護をサポートしています。 Azure Web Application Firewallは、Application Gateway (リージョン) またはAzure Front Door (グローバル) の機能としてデプロイされます。 |
| DDoS 保護 | AWS Shield Standard と AWS Shield Advanced | Azure DDoS Protection (ネットワーク保護または IP 保護) / Azure基本インフラストラクチャ DDoS 保護 | これらのサービスは、帯域幅消費型、プロトコル、およびアプリケーション層分散型サービス拒否 (DDoS) 攻撃に対する保護を提供します。 どちらのプラットフォームも、既定で有効になっている無料のベースラインレベル (AWS Shield Standard または Azure 基本インフラストラクチャ DDoS) と、詳細なテレメトリ、攻撃分析、コスト保護、迅速な対応チームへのアクセスを備えた有料の高度なレベルを提供します。 |
| VM のリモート アクセスをセキュリティで保護する | AWS Systems Manager セッションマネージャー / EC2 インスタンス接続エンドポイント | Azure Bastion | これらのサービスは、パブリック IP アドレスを公開したり、受信ポートを開いたりすることなく、仮想マシンへの安全な RDP および SSH 接続を提供します。 Azure Bastionは、仮想ネットワーク内にデプロイされるフル マネージド PaaS サービスです。 |
ネットワーク アーキテクチャ
| 建築学 | 説明 |
|---|---|
| 高可用性 NVA をデプロイする | Azureで高可用性を実現するためにネットワーク仮想アプライアンスをデプロイする方法について説明します。 この記事には、イングレス、エグレス、およびこの両方のアーキテクチャの例が含まれています。 |
| Azure におけるハブ-スポークネットワークトポロジ | ハブが仮想ネットワークであり、スポークがハブとピアリングする仮想ネットワークであるAzureでハブ スポーク トポロジを実装する方法について説明します。 |
| セキュリティ保護されたハイブリッド ネットワークを実装する | オンプレミス ネットワークとAzure仮想ネットワークの間の境界ネットワークを使用してAzureするようにオンプレミス ネットワークを拡張するセキュリティで保護されたハイブリッド ネットワークを実装する方法について説明します。 |
移行
AWS ワークロードをAzureに移行する予定の場合は、「アマゾン ウェブ サービスから Azure へのネットワークの移行」を参照してください。これには、ユース ケースに合ったexample の移行シナリオが含まれます。
貢献者
Microsoft では、この記事を保持しています。 この記事を書いたのは、以下の寄稿者です。
主著者:
- コンスタンチン・レカタス |プリンシパル クラウド ソリューション アーキテクト
その他の共同作成者:
- アダム・セリーニ |パートナー テクノロジーストラテジスト ディレクター
- フアン・カルロス・オソリオ |クラウド ソリューション アーキテクト
公開されていない LinkedIn プロフィールを見るには、LinkedIn にサインインしてください。