Azure Container Apps環境でのネットワーク

Azure Container Appsは、独自の仮想ネットワークを実行する environment のコンテキストで動作します。 環境を作成するときに、いくつかの重要な考慮事項によって、コンテナー アプリのネットワーク機能 (環境の種類、仮想ネットワークの種類、アクセシビリティ レベル) が通知されます。

環境の選択

Container Apps には、2 種類の 環境があります。 同じネットワーク特性の多くを共有し、いくつかの重要な違いがあります。

詳細については、「環境の 種類」を参照してください。

仮想ネットワークの種類

既定では、Container Apps は Azure ネットワークと統合されています。このネットワークはインターネット経由でパブリックにアクセスでき、インターネットからアクセスできるエンドポイントとのみ通信できます。 代わりに、環境を作成するときに既存の仮想ネットワークを提供することもできます。 既定のAzure ネットワークまたは既存の仮想ネットワークを使用して環境を作成した後、ネットワークの種類を変更することはできません。

次のようなAzureネットワーク機能が必要な場合は、既存の仮想ネットワークを使用します。

• ネットワーク セキュリティ グループ。
• Azure Application Gateway との統合。
• Azure Firewall との統合。
• コンテナー アプリからの送信トラフィックを制御します。
• 仮想ネットワーク内のプライベート エンドポイントの背後にあるリソースへのアクセス。

既存の仮想ネットワークを使用する場合は、デプロイする Container Apps 環境専用のサブネットを提供する必要があります。 このサブネットは、他のサービスでは使用できません。 詳細については、「 仮想ネットワークの構成」を参照してください。

アクセシビリティ レベル

コンテナー アプリで、環境レベルで仮想ネットワーク内からのみパブリック イングレスまたはイングレスを許可するかどうかを構成できます。

公衆ネットワーク アクセス

パブリック ネットワーク アクセスの設定によって、Container Apps 環境にパブリック インターネットからアクセスできるかどうかが決まります。 環境の作成後にこの設定を変更できるかどうかは、環境の仮想 IP の構成によって異なります。 次の表では、環境の仮想 IP 構成に基づく、公衆ネットワーク アクセスの有効な値を示します。

Container Apps 環境でプライベート エンドポイントを作成するには、パブリック ネットワーク アクセスを Disabled に設定する必要があります。

Azureネットワーク ポリシーは、パブリック ネットワーク アクセスのフラグでサポートされています。

イングレスの構成

イングレス セクションでは、次の設定を構成できます。

• コンテナー アプリのイングレスを有効または無効にします。

• 任意の場所または同じ Container Apps 環境内からのみ、コンテナー アプリへのトラフィックを受け入れます。 内部環境では「どこでも」とは仮想ネットワーク内のどこでも、パブリックエンドポイントが存在しないためを指します。 詳細については、「 イングレスの可視性と環境タイプとの相互作用」をご覧ください。

• アプリケーションのリビジョン間でトラフィック分割ルールを定義します。 詳細については、「トラフィックの分割」を参照してください。

ネットワーク シナリオの詳細については、「ingress in Azure Container Apps」を参照してください。

受信時の機能

送信時の機能

ハウツー記事

環境のセキュリティ

次のアクションを実行することで、イングレスおよびエグレス ネットワーク トラフィックのワークロード プロファイル環境をセキュリティで保護できます。

• ワークロード プロファイル環境で内部 Container Apps 環境を作成します。 手順については、「Azure CLI を使用してワークロード プロファイルを管理する」を参照してください。

• Container Apps と Application Gateway を統合します。

• すべてのトラフィックを Azure Firewall 経由でルーティングするように UDR を構成します。

HTTP エッジ プロキシの動作

Azure Container Appsは、TLS を終了し、各アプリケーションに要求をルーティングするエッジ HTTP プロキシを使用します。

HTTP アプリケーションは、HTTP の要求と接続の数に基づいてスケーリングされます。 Envoy は、内部トラフィックをクラスターの内部でルーティングします。

ダウンストリーム接続では、HTTP/1.1 と HTTP/2 がサポートされます。 Envoy は、クライアント接続にアップグレードが必要な場合に、接続を自動的に検出してアップグレードします。

アップストリーム接続を定義する場合は、transport オブジェクトに プロパティを設定します。

ポータルの依存関係

Container Apps のすべてのアプリには、2 つの URL があります。

Container Apps ランタイムは、最初にアプリへのアクセスに使用される完全修飾ドメイン名 (FQDN) を生成します。 コンテナー アプリの FQDN を取得するには、Azure ポータルでコンテナー アプリに移動します。 [ 概要 ] ウィンドウの FQDN は アプリケーション URL の値です。

2 つ目の URL も自動的に生成されます。 この場所は、ログ ストリーミング サービスとコンソールへのアクセスを許可します。 必要に応じて、ファイアウォールまたはプロキシの許可リストに https://azurecontainerapps.dev/ を追加します。

ポートと IP アドレス

受信接続では、次のポートが公開されます。

IP アドレスには、次の種類があります。

関連するコンテンツ

• Azure Container Apps でのイングレス