Azure SRE Agent ネットワーク統合

仮想ネットワーク (VNet) 統合では、SRE エージェントが送信するアウトバウンド トラフィックの送信先を制御します。 これがなければ、発信通話は公共インターネット経由で流れます。 これにより、トラフィックはAzure Virtual Networkを経由します。 このネットワーク統合により、他のAzureワークロードで使われているのと同じネットワークレベルのコントロール、すなわちファイアウォールとの統合、プライベートエンドポイントの背後にあるリソースとの通信、ネットワークログの可視化などが実現します。

ネットワーク制御モード

SRE エージェントには、3 つのネットワーク制御モードが用意されています。 セキュリティ体制と運用コンテキストに一致するモードを選択します。

ワークロードのネットワーク制御モードを選択する

モードを選択するには、次の条件を使用します。

• Azure VNet: ワークロードが機密データまたは規制対象データを処理する場合、送信ネットワーク アクティビティの完全な監査証跡が必要な場合、またはエンタープライズ セキュリティ ポリシーに準拠する必要がある場合は、このモードを選択します。 このモードは、運用環境のエンタープライズ展開に推奨されます。

• 制限: すべてのトラフィックを仮想ネットワーク経由でルーティングせずに特定の外部宛先を制限する場合は、このモードを選択します。 このモードは、完全な仮想ネットワーク構成のオーバーヘッドなしで部分制御が必要な場合に適切に機能します。

• 無制限: ワークロードが機密データにアクセスできない短期的な開発環境またはテスト環境である場合は、このモードを選択します。 このモードが既定です。

モードを選択するには、Azure ポータルでエージェントを開き、設定>Workspace 構成を選択します。 実行中のエージェントでモードを切り替えます。 設定は、モードの変更間で保持されます。

Azure VNet モードのしくみ

Azure VNet モードでは、送信トラフィックは次の 2 つのパスのいずれかを受け取ります。

使用している VNet。 既定では、プラットフォーム以外のすべての送信トラフィックは、仮想ネットワーク内の委任されたサブネットを経由します。 NSG ルール、ファイアウォール ポリシー、カスタム DNS、ネットワーク ログがすべて適用されます。 エージェントには、そのサブネット上の他のワークロードと同じ制御が適用されます。 サブネットが到達できる範囲に到達でき、それ以上は到達できません。

エージェントは、ネットワーク ルートと規則で許可されている限り、ExpressRoute または VPN 経由で接続されたプライベート エンドポイント、内部サービス、オンプレミス システムの背後にあるリソースに到達できます。

Azure SRE エージェント インフラ ネットワーク。 エージェントが依存するプラットフォーム サービス (オーケストレーション、モデル エンドポイント、テレメトリ) は、常にMicrosoftのマネージド インフラストラクチャを経由します。 これらのサービスは構成できません。 パッケージのインストール、コード リポジトリ へのアクセス、リモート MCP サーバーなどの一部のエージェント機能では、パブリック サービスにアクセスする必要があります。 Azure VNet モードでこれらの機能を使用するには、対応するトグルを有効にしてください。 トグルがオフの場合、VNet が (FQDN ベースのファイアウォール規則を使用して) これらのサービスに直接ルーティングできない限り、その機能は使用できません。 詳細については、SRE エージェント インフラストラクチャ ネットワークAzureを参照してください。

トラフィック ルーティングの概要

Azure VNet モードを構成する

サブネットの要件

VNet モードAzureには、仮想ネットワーク内の専用サブネットが必要です。

• サイズ:/27以上。
• 委任: サブネットを Microsoft.App/environmentsに委任する必要があります。
• リージョン: サブネットは、SRE エージェント リソースと同じリージョンに存在する必要があります。
• 専用: サブネットを他のサービスと共有することはできません。

Azure VNet モードを設定する

1. 設定>Workspace 構成>Network に移動します。
2. エグレス モードとして Azure VNet を選択します。
3. サブネットを参照 を選択します。
4. サブネットの要件を満たすサブスクリプション、リソース グループ、仮想ネットワーク、サブネットを選択します。
5. 保存を選びます。
6. エージェントを代表的なインシデントでテストし、必要なリソースに到達できることを確認します。

Azure SRE エージェント インフラ ネットワーク

一部のエージェント機能は、IP アドレスによるリストを許可することが困難なパブリック サービスに依存します。 Azure VNet モードでは、これらの機能には、インフラストラクチャ ネットワークトグル (Azure SRE エージェント インフラストラクチャ ネットワークを介してそのカテゴリをルーティングする) またはトラフィックを直接許可する VNet 内の FQDN ベースのファイアウォール規則のいずれかが必要です。 カテゴリとパスの完全な一覧については、 トラフィック ルーティングの概要 を参照してください。

トグルをオフにし、VNet がサービスに到達できない場合、その機能は使用できません。

事前インストール済みパッケージ

エージェントを実行するたびに使用できるように、サンドボックス のベース ディスク イメージにパッケージをプレインストールします。 この機能は、ツールまたはスクリプトが、既定のサンドボックス環境に含まれていない特定のパッケージに依存している場合に便利です。

プレインストールパッケージを構成するには:

1. Azure ポータルでエージェントを開き、Settings>Workspace 構成 を選択します。

2. [ パッケージ ] タブを選択します。

3. パッケージ名を入力し、パッケージ マネージャー (pip または NuGet) を選択し、必要に応じてバージョンを指定します。

4. [ + パッケージの追加] を選択します。

仮想ネットワーク バイパス制御

Azure VNet モードを有効にすると、ワークスペース構成ページの [ネットワーク上] セクションで、パブリック インターネット経由で VNet の外部にトラフィックのカテゴリをルーティングできます。 これらの制御を有効にしない場合、すべてのエージェント トラフィックが VNet を経由してルーティングされます。

すべての外部サービスがAzureサービス タグを提供するわけではありません。 たとえば、GitHubはAzure サービスではなく、サービス タグを公開しません。 エージェントがGitHubに到達する必要がある場合、レイヤー 4 の IP ベースのファイアウォールを使用する唯一のオプションは、プロバイダーの IP アドレスの一覧を維持することです。 これらのリストは頻繁に変更され、最新の状態を維持しないファイアウォールによってエージェントが中断されます。

これは、PyPI、npm、NuGet、コンテナー レジストリなど、いくつかの主要なパブリック サービスにも当てはまります。 これらのサービスは、頻繁に変化する大規模なグローバル IP 範囲から動作し、Azureサービス タグの対象になりません。

バイパス トグルを使用すると、エージェントはプラットフォームエグレスを介してこれらのホストに到達できます。 ネットワーク チームは、ファイアウォール規則を更新するか、ホスト名のフィルター処理または完全修飾ドメイン名 (FQDN) フィルター処理をサポートするファイアウォールに移動します。 たとえば、FQDN ルールを使用した Azure Firewall Premium や、トランスポート層セキュリティ検査をサポートするネットワーク仮想アプライアンスなどがあります。

バイパス コントロールは、ホスト名に対応したエグレス フィルタリングの永続的な代替ではなく、移行ツールとして扱います。

次のコントロールを実行できます。

ガバナンスに関する考慮事項

これらのコントロールへのアクセスは、SRE エージェント管理者ロールを持つユーザーにスコープが設定されます。 企業環境で SRE エージェントを作成することは、組織が通常、運用環境にサービスをデプロイするためにかなりの承認を必要とするため、それ自体が重要なガバナンス行為です。 バイパス制御は、マネージド ID、代理 (OBO) 資格情報、RBAC アクセス許可を含む、より広範なエンタープライズ ガバナンス ストーリーの 1 つの側面です。 エージェントは、そのアクセス許可で許可されている操作のみを実行でき、ネットワーク構成によってトラフィックの移動先が制御されます。

ネットワーク アクティビティの検査

管理者は 設定>ワークスペース構成>インスペクト を開いて ネットワーク監査 を使って、エージェントからのフィルタリングされた許可・拒否された送信リクエストを確認できます。 ホスト、メソッド、パス、および判定を使用して、Limited または Azure VNet ポリシーによってブロックされた宛先を特定しましょう。

ネットワーク監査はエージェントの退出ポリシー決定のみを対象としています。 完全なネットワーク監査トレイルではなく、すべてのランタイム、コネクタ、プラットフォーム、ファイアウォール、DNS、プロキシイベントを含むわけではありません。

ネットワークが呼び出しをブロックするとどうなりますか

送信要求が NSG ルールによって拒否された場合、またはルートがない場合、エージェントには、そのサブネット上のワークロードに表示されるのと同じネットワーク エラーが表示されます。 エージェントは、調査出力のエラー ("ワークスペースLog Analyticsに到達できませんでした: 接続がタイムアウトしました" など) を報告し、アクセスできるツールとデータを続行します。 重要なデータ ソースに到達できない場合、調査は不完全であり、エージェントはこの状態を報告します。

制限事項

次の制限が適用されます。

• エグレスのみ: 仮想ネットワーク統合は、送信 (エグレス) トラフィックのみを制御します。 プライベート ネットワーク内からのエージェントへの受信接続はサポートされていません。

• コネクターは仮想ネットワークを経由しません:コネクターのトラフィックはパブリックインターネット経由でルーティングされます。

関連するコンテンツ

• Azure Virtual Network とは?
• SRE エージェントのネットワーク要件
• SRE エージェントに関してよく寄せられる質問