Azure Container Registryの専用データエンドポイント

Azure Container Registryの専用データエンドポイントは、コンテナーイメージレイヤーのダウンロード用にスコープ指定されたレジストリ固有の URL を提供し、既定のワイルドカード Azureストレージアカウントエンドポイント (*.blob.core.windows.net) に置き換えます。これにより、厳密にスコープが設定されたクライアントファイアウォール規則が有効になり、データ流出のリスクが軽減されます。

Note

専用データエンドポイントは、レイヤー BLOB の ダウンロード (プル) 中にのみ使用されます。プッシュ中に BLOB をアップロードする場合、専用データエンドポイントではなく、ログインサーバー (グローバルエンドポイントまたはリージョンエンドポイント) を経由します。

専用データエンドポイント機能は、 Premiumサービスレベルのレジストリで使用できます。

専用データエンドポイントは、 IPv6 デュアルスタックエンドポイントの前提条件でもあります。レジストリでは、エンドポイントプロトコルを IPv4AndIPv6 に設定する前に、専用データエンドポイントを有効にする必要があります。

レジストリからコンテンツをプルするには、次の 2 種類のエンドポイントが含まれます。

ログインサーバーエンドポイント — 認証とコンテンツの検出に使用されます。ログインサーバーは次のいずれかになります。
- グローバルエンドポイント (contoso.azurecr.io) - ACR は、クライアントに最適なネットワークパフォーマンスプロファイルを使用して、geo レプリカに要求を自動的にルーティングします。詳細については、「 geo レプリケーション」を参照してください。
- 地域エンドポイント (contoso.eastus.geo.azurecr.io) — Azureマネージドルーティングをバイパスして、特定の geo レプリカに直接要求をルーティングします。詳細については、「 geo レプリケーション」を参照してください。
docker pull contoso.azurecr.io/hello-world (グローバルエンドポイント) やdocker pull contoso.eastus.geo.azurecr.io/hello-world (リージョンエンドポイント) などのコマンドを実行すると、クライアントはログインサーバーに対して認証を行い、要求された成果物を構成するレイヤーをネゴシエートします。
データエンドポイント - 実際のイメージレイヤー BLOB のダウンロードに使用されます。ログインサーバーは、必要なレイヤーを識別した後、クライアントをリダイレクトしてデータエンドポイントからダウンロードします。

エンドポイントを示す図。

ACR は、データエンドポイントの基になるストレージアカウントを管理します。負荷分散、より高い同時配信のためのストレージアカウント間でのコンテンツの分割、 geo レプリケーションによる複数リージョンのサポートなどの利点があります。

専用データエンドポイントなし

専用データエンドポイントがない場合、ログインサーバーは、ワイルドカード URL (*.blob.core.windows.net) を使用して、レイヤー BLOB のダウンロード用に 307 リダイレクトをAzureストレージアカウントに発行します。

グローバルエンドポイント (Azure マネージドルーティングの使用):

グローバルエンドポイントを使用した専用データエンドポイントのない要求フローを示すダイアグラム: クライアントが contoso.azurecr.io に接続します。 Azureマネージドルーティングでは最適な geo レプリカが選択され、geo レプリカはレイヤー BLOB のダウンロード用に *.blob.core.windows.net に 307 リダイレクトを発行します。

リージョンエンドポイント (クライアント指定のルーティング) の使用:

リージョンエンドポイントを使用する専用データエンドポイントを使用しない要求フローを示す図。クライアントが contoso.eastus.geo.azurecr.io に接続し、要求が米国東部 geo レプリカに直接送信され、geo レプリカがレイヤー BLOB のダウンロードのために *.blob.core.windows.net に 307 リダイレクトを発行します。

どちらの場合も、ファイアウォール経由でこれらのダウンロードを許可するには、*.blob.core.windows.netを許可する必要があります。これは、レジストリのストレージだけでなく、すべてのAzureストレージアカウントを対象とする広範なワイルドカードです。

専用データエンドポイントを使用する

専用データエンドポイントが有効になっている場合、ログインサーバーは、レジストリ固有のリージョンスコープ URL へのレイヤー BLOB のダウンロードに対して 307 リダイレクトを発行します。

グローバルエンドポイント (Azure マネージドルーティングの使用):

グローバルエンドポイントを使用する専用データエンドポイントでのリクエストフローを示す図: クライアントは contoso.azurecr.io に接続し、Azure 管理のルーティングによって最適な geo レプリカが選択され、geo レプリカはレイヤー BLOB のダウンロード用に contoso.eastus.data.azurecr.io への 307 リダイレクトを返します。

リージョンエンドポイント (クライアント指定のルーティング) の使用:

リージョンエンドポイントを使用した専用データエンドポイントを使用した要求フローを示す図。クライアントが contoso.eastus.geo.azurecr.io に接続し、要求が米国東部の geo レプリカに直接送信され、geo レプリカによってレイヤー BLOB のダウンロード用の contoso.eastus.data.azurecr.io への 307 リダイレクトが発行されます。

各 geo レプリカは、パターン [registry].[region].data.azurecr.ioを使用して独自の専用データエンドポイントを取得します。ファイアウォール規則は、広範なワイルドカードではなく、これらの特定のエンドポイントにスコープを設定できます。

専用データエンドポイントが重要な理由

専用データエンドポイントのないデータ流出リスク

専用データエンドポイントがない場合、ファイアウォール規則では、レイヤーのダウンロードを許可する *.blob.core.windows.net を許可する必要があります。この広範なワイルドカードにより、レジストリのストレージだけでなく、すべてのAzureストレージアカウントへのアクセスが開きます。不適切なアクターは、ネットワークから到達可能な任意のAzureストレージアカウントにデータを書き込むコードをデプロイする可能性があります。

クライアントデータ流出のリスクを示す図。

専用データエンドポイントを使用したスコープ付きファイアウォール規則

専用データエンドポイントを使用すると、広範な *.blob.core.windows.net ワイルドカードを、特定のレジストリのデータエンドポイントのスコープ付きファイアウォール規則に置き換えることができます。たとえば、ファイアウォール構成で contoso.eastus.data.azurecr.io と contoso.westeurope.data.azurecr.io のみを許可できます。レジストリのストレージへのアクセスを制限し、他のストレージアカウントへの流出をブロックできます。

専用データエンドポイントを使用する Contoso の例を示す図。

これは、オンプレミスのホスト、IoT デバイス、カスタムビルドエージェント、またはプライベートエンドポイントがオプションではない環境から接続するクライアントに適用されます。

地理レプリケーションを備えた専用データエンドポイント

geo レプリケートされたレジストリの場合、各 geo レプリカは独自の専用データエンドポイントを取得します。 URL パターンが [registry].[region].data.azurecr.io。

グローバルエンドポイントからイメージをプルすると、ACR はクライアントに最適なネットワークパフォーマンスプロファイルを使用して geo レプリカに要求をルーティングします。その後、サービス geo レプリカは、サービス geo レプリカ独自の専用データエンドポイントへのレイヤー BLOB のダウンロードに対して 307 リダイレクトを発行します。リダイレクトは常に、サービス geo レプリカと 同じリージョン 内に留まれます。米国東部 geo レプリカにルーティングされたプルは常に contoso.eastus.data.azurecr.ioにリダイレクトされ、別のリージョンの専用データエンドポイントにはリダイレクトされません。

これは、リージョンエンドポイントを使用する場合にも適用されます。リージョンエンドポイント (contoso.eastus.geo.azurecr.io) からのプルは、レイヤーのダウンロードをリージョン間で行わない contoso.eastus.data.azurecr.io にリダイレクトします。つまり、ファイアウォール規則はリージョンごとにスコープを設定できます。

専用データエンドポイントを有効にする

Note

既存の *.blob.core.windows.net エンドポイントへのクライアントファイアウォールアクセスを以前に構成した場合、専用データエンドポイントに切り替えるとクライアント接続に影響が出て、プルエラーが発生します。クライアントが一貫してアクセスできるようにするには、新しいデータエンドポイント規則をクライアントのファイアウォール規則に追加します。完了したら、Azure CLI またはその他のツールを使用して、レジストリの専用データエンドポイントを有効にします。

イメージプル中に、専用データエンドポイントが有効になっている場合、ACR はイメージレイヤーをフェッチする必要があるたびにクライアントに一時的なダウンロードリンクを提供します。このリンクは専用データエンドポイントを指し、少なくとも 20 分から最大 30 分間有効であり、レイヤーをダウンロードするための安全で有効期間の短い URL を提供します。リンクの有効期限が切れると、クライアントはイメージをプルするときに別のレイヤーをダウンロードする必要がある場合に、新しいレイヤーを要求するだけです。

Azure portal または Azure CLI を使用して、専用のデータエンドポイントを有効にすることができます。データエンドポイントは、リージョンのパターン <registry-name>.<region>.data.azurecr.io に従います。ジオレプリケーションされたレジストリでは、データエンドポイントを有効にすると、すべてのレプリカリージョンでエンドポイントが有効化されます。

Azure ポータルを使用して専用データエンドポイントを有効にする

コンテナーレジストリに移動します。
サービスメニューの [設定] で、[ネットワーク] を選択します。
[ パブリックアクセス] で、[ 専用データエンドポイントを使用 する] チェックボックスをオンにします。
保存を選びます。

これで、Azure portal にデータエンドポイントが表示されます。

Azure CLIを使用して専用データエンドポイントを有効にする

az acr update --name myregistry --data-endpoint-enabled

データエンドポイントを表示するには、az acr show-endpoints コマンドを使用します。

az acr show-endpoints --name myregistry

この出力例は、専用データエンドポイントとリージョンエンドポイント (有効な場合) を含む、完全なエンドポイントスキーマを示しています。

{
    "loginServer": "myregistry.azurecr.io",
    "dataEndpoints": [
        {
            "region": "eastus",
            "endpoint": "myregistry.eastus.data.azurecr.io"
        },
        {
            "region": "westus",
            "endpoint": "myregistry.westus.data.azurecr.io"
        }
    ],
    "regionalEndpoints": [
        {
            "region": "eastus",
            "endpoint": "myregistry.eastus.geo.azurecr.io"
        },
        {
            "region": "westus",
            "endpoint": "myregistry.westus.geo.azurecr.io"
        }
    ]
}

レジストリの専用データエンドポイントを設定した後、データエンドポイントのクライアントファイアウォールアクセス規則を有効にすることができます。必要なすべてのレジストリリージョンについて、データエンドポイントアクセス規則を有効にします。詳細については、「ファイアウォールの内側から Azure コンテナーレジストリにアクセスする規則を構成する」を参照してください。

データエンドポイントへのネットワークアクセスの制限

専用データエンドポイントを有効にすると、クライアントがそれらのエンドポイントに到達する方法を制限できます。次の 2 つのアプローチがあります。

Azure プライベートエンドポイント (仮想ネットワーク)

Azureプライベートエンドポイントは、仮想ネットワーク内のクライアントからレジストリへのネットワークアクセスを制御する最も安全な方法です。プライベートエンドポイントを構成すると、仮想ネットワーク内のプライベートエンドポイントリソースに割り当てられたプライベート IP を使用して、ログインサーバー (グローバルエンドポイントとリージョンエンドポイント) とデータエンドポイントの両方に仮想ネットワーク内からアクセスできます。お客様は、レジストリでパブリックネットワークアクセスを無効にして、専用データエンドポイントがプライベートエンドポイント経由でのみ到達可能であることを確認することもできます。

レジストリに少なくとも 1 つのプライベートエンドポイントが構成されている場合、専用データエンドポイントが自動的に有効になります。詳細については、「プライベートエンドポイントを使用して仮想ネットワークからレジストリにプライベートに接続する」を参照してください。

プライベートエンドポイントの IP アドレスに関する考慮事項

各プライベートエンドポイントリソースは、仮想ネットワークサブネットのプライベート IP アドレスを使用します。それに応じてサブネットのサイズ設定を計画します。

グローバルエンドポイントの 1 つの IP (myregistry.azurecr.io)
専用データエンドポイント () の myregistry.<region>.data.azurecr.io - プライベートエンドポイントが構成されると自動的に有効になります
リージョンエンドポイント () の myregistry.<region>.geo.azurecr.io - レジストリでリージョンエンドポイントが有効になっている場合のみ

たとえば、3 つの geo レプリカとリージョンエンドポイントが有効になっているレジストリでは、プライベートエンドポイントリソースあたり 1 (グローバル) + 3 (データ) + 3 (リージョン) = 7 個のプライベート IP アドレス が必要です。詳細については、「プライベートエンドポイントを使用して仮想ネットワークからレジストリにプライベートに接続する」を参照してください。

クライアントファイアウォール規則

プライベートエンドポイントがオプションでない場合は、必要なレジストリリージョンごとに専用データエンドポイントへのアクセスを許可するようにクライアントファイアウォール規則を構成します。詳細については、「ファイアウォールの内側から Azure コンテナーレジストリにアクセスする規則を構成する」を参照してください。

次のステップ

geo レプリケーションと、専用データエンドポイントがリージョンエンドポイントとどのように連携するかについて説明します。
専用データエンドポイント上に構築される IPv6 デュアルスタックエンドポイントを有効にする方法について説明します。
エンドポイントの種類、URL 形式、および CLI フラグの完全な一覧については、Azure Container Registry エンドポイントリファレンスを参照してください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-15

Azure Container Registryの専用データ エンドポイント

コンテナー イメージのダウンロードのしくみ: ログイン サーバーと 307 によるデータ エンドポイントへのリダイレクト

専用データエンドポイントなし

専用データ エンドポイントを使用する

専用データ エンドポイントが重要な理由

専用データ エンドポイントのないデータ流出リスク

専用データ エンドポイントを使用したスコープ付きファイアウォール規則

地理レプリケーションを備えた専用データ エンドポイント

専用データ エンドポイントを有効にする

Azure ポータルを使用して専用データ エンドポイントを有効にする

Azure CLIを使用して専用データ エンドポイントを有効にする

データ エンドポイントへのネットワーク アクセスの制限

Azure プライベート エンドポイント (仮想ネットワーク)

プライベート エンドポイントの IP アドレスに関する考慮事項

クライアント ファイアウォール規則