Azure DDoS Protection は、分散型サービス拒否 (DDoS) 攻撃からアプリケーションを保護するのに役立つ基本的なAzure ネットワーク機能です。 DDoS 攻撃は、正当なユーザーへのサービスを拒否するために、トラフィックでアプリケーションを圧倒しようとします。 DDoS Protection は、ネットワーク トラフィック パターンを監視し、可用性に影響を与える可能性がある異常なトラフィックを自動的に軽減することで、アプリケーションを保護するのに役立ちます。
Azureを使用する場合、信頼性は共有の責任です。 Microsoftには、回復性と回復性をサポートするためのさまざまな機能が用意されています。 使用するすべてのサービスでこれらの機能がどのように機能するかを理解し、ビジネス目標とアップタイムの目標を達成するために必要な機能を選択する必要があります。
この記事では、一時的な障害、可用性ゾーンの停止、リージョンの停止など、さまざまな潜在的な障害や問題に対する DDoS Protection の回復性について説明します。 また、DDoS Protection サービス レベル アグリーメント (SLA) に関する重要な情報についても説明します。
注
この記事では、DDoS Protection サービス自体がさまざまな問題に対してどのように回復力を持っているかについて説明します。 DDoS Protection を使用して仮想マシン (VM) やその他の資産を保護する方法については説明しません。 DDoS Protection を使用してワークロードを保護する方法については、 DDoS Protection の基本的なベスト プラクティスに関するページを参照してください。
信頼性アーキテクチャの概要
DDoS Protection は、次のいずれかのレベルにデプロイします。
DDoS Network Protection:DDoS 保護プラン をデプロイします。このプランでは、DDoS ネットワーク保護が有効になっている仮想ネットワークのセットが定義されます (Azureサブスクリプションとリージョンが異なる場合でも)。 これらの仮想ネットワーク内のリソースに関連付けられている各パブリック IP アドレスは、プランによって保護されます。
DDoS IP 保護: パブリック IP アドレスをデプロイします。 DDoS IP 保護は、その IP アドレスでのみ有効になります。
DDoS ネットワーク保護と DDoS IP 保護の違いの詳細については、「 DDoS Protection レベルの比較について」を参照してください。
一時的な障害に対する回復性
一時的な障害は、コンポーネントにおける短い断続的な障害です。 これらはクラウドのような分散環境で頻繁に発生し、運用の通常の範囲であり、 一時的な障害は、短時間の経過後に自分自身を修正します。 アプリケーションで一時的な障害を処理できることは重要です。通常は、影響を受ける要求を再試行します。
クラウドでホストされているすべてのアプリケーションは、クラウドでホストされている API、データベース、およびその他のコンポーネントと通信する際に、Azure一時的な障害処理ガイダンスに従う必要があります。 詳細については、「一時的な障害を処理するための推奨事項」を参照してください。
DDoS 保護を有効にしても、アプリケーションが一時的な障害を処理する方法は変わりません。
可用性ゾーンの障害に対する回復性
Availability zones は、Azure リージョン内のデータセンターの物理的に分離されたグループです。 1 つのゾーンで障害が発生した際には、サービスを残りのゾーンのいずれかにフェールオーバーできます。
DDoS Protection は、可用性ゾーンをサポートするリージョンでは、既定でゾーン冗長になっています。 このサービスはすべての可用性ゾーンに自動的にまたがり、ゾーンの冗長性を有効にするための顧客構成は必要ありません。 Microsoftは、ゾーン間での DDoS Protection インフラストラクチャの分散を管理します。
DDoS Protection は、DDoS 攻撃からパブリック IP アドレスを保護するように設計されています。 可用性ゾーンの障害に対する完全な回復性を実現するには、パブリック IP アドレスがゾーン冗長であることを確認する必要もあります。 また、使用する他のAzure サービスを含め、ワークロード全体のゾーンの回復性も確認する必要があります。
次の図は、ゾーン冗長 DDoS ネットワーク保護プランと、複数の保護されたゾーン冗長パブリック IP アドレスを示しています。
必要条件
リージョンのサポート: DDoS Protection は、可用性ゾーンを サポートするすべてのリージョンでゾーン冗長です。
Cost
DDoS Protection のゾーン冗長性を有効にするための追加コストはありません。 詳細については、 Azure DDoS Protection の価格に関するページを参照してください。
可用性ゾーンのサポートを設定する
DDoS Protection は、サポートされているリージョンでは自動的にゾーン冗長になります。 ゾーンの冗長性を有効にするために構成は必要ありません。また、無効にすることはできません。
すべてのゾーンが正常な場合の動作
このセクションでは、可用性ゾーンを持つリージョンに DDoS Protection プランをデプロイする場合、パブリック IP アドレスがゾーン冗長であり、すべての可用性ゾーンが動作する場合に想定される内容について説明します。
クロス ゾーン操作: トラフィックの検査はすべてのゾーンで行われ、トラフィックはAzureネットワーク操作の一部としてゾーン間で透過的にルーティングされます。
ゾーン間操作データ レプリケーション: DDoS Protection は、サービスがステートレスであり、顧客データを維持しないため、顧客データをゾーン間でレプリケートしません。
ゾーン障害時の動作
このセクションでは、可用性ゾーンを持つリージョンに DDoS Protection プランをデプロイする場合、パブリック IP アドレスがゾーン冗長であり、いずれかの可用性ゾーンで障害が発生した場合に想定される内容について説明します。
- 検出と応答: Microsoftは可用性ゾーンの障害を検出し、すべての応答アクションを管理します。 ゾーンのフェールオーバーを開始するためのアクションを実行する必要はありません。
- Notification: Microsoft は、ゾーンがダウンしたときに自動的に通知しません。 ただし、Azure Service Health を使用して、ゾーン障害を含むサービスの全体的な正常性を把握し、Service Health アラートを設定して問題を通知することができます。
アクティブな要求: アクティブなトラフィックは引き続き自動的に処理されます。 何らかのアクションをとる必要はありません。
予想されるデータ損失: サービスはステートレスであり、顧客データを格納しないため、データ損失は予想されません。
予想されるダウンタイム: ゾーン障害が発生した場合、 データ パス の可用性は影響を受けません。 データ パスは、Azure エッジから Azure プラットフォーム経由でアプリケーションへのトラフィック パスを表します。 アプリケーションは、ゾーンの停止を通じて DDoS Protection プランによって保護されたままになります。
ただし、ゾーン障害時に DDoS Protection プランに対して管理操作を実行すると、プラットフォームが内部的にフェールオーバーを実行するまで、これらの操作が遅延する可能性があります。
Redistribution: Microsoft は、正常なゾーンを介してトラフィック保護を自動的に再ルーティングします。
ゾーンの回復
障害が発生した可用性ゾーンが復旧すると、DDoS Protection は、ユーザーの介入なしに通常の操作を自動的に復元します。
ゾーンエラーのテスト
DDoS Protection は、完全にMicrosoft管理されたゾーン冗長サービスです。 Microsoftはゾーンの冗長性を管理するため、可用性ゾーンのフェールオーバー シナリオをテストする必要はありません。
リージョン全体の障害に対する回復性
リージョン全体の障害時の DDoS Protection の動作は、使用する DDoS 保護の種類によって異なります。
DDoS ネットワーク保護プランは、選択したAzure リージョンにデプロイされます。 ただし、このプランでは、他のリージョンのパブリック IP アドレスも保護されます。
DDoS ネットワーク保護プランをホストしているリージョンが使用できなくなった場合、他のリージョンの保護されたパブリック IP アドレスは引き続き保護されます。 ただし、リージョンが復旧するまで、プランの管理操作が使用できない場合があります。
DDoS IP Protection は、1 つのパブリック IP アドレスで構成されます。
リージョンのパブリック IP アドレスの場合、リージョン全体の障害が発生した場合、IP アドレスとそのサーバーは使用できない可能性があります。
グローバル パブリック IP アドレスの場合、リージョンで障害が発生した場合でも、IP アドレスは DDoS IP Protection によって保護されたままになります。
サービス水準合意書
Azure サービスのサービス レベル アグリーメント (SLA) では、各サービスの予想される可用性と、その可用性の期待を達成するためにソリューションが満たす必要がある条件について説明します。 詳細については、オンラインサービスのSLAを参照してください。
DDoS Protection は、攻撃から保護する DDoS 軽減サービスの可用性をカバーする SLA を提供します。