ストレージ アカウントへのネットワーク アクセスを制御する
既定では、ストレージ アカウントは、任意のネットワーク上のクライアントからの接続を受け入れます。 選択したネットワークへのアクセスを制限するには、まず既定のアクションを変更する必要があります。 特定の IP アドレス、範囲、または仮想ネットワークへのアクセスを制限できます。
プライベート エンドポイント
ネットワークを最大限に分離するには、ストレージ アカウントの プライベート エンドポイント を使用します。 プライベート エンドポイントは、仮想ネットワークからストレージ アカウントにプライベート IP アドレスを割り当てます。 仮想ネットワーク内のクライアントとストレージ アカウント間のネットワーク トラフィックは、仮想ネットワークと Microsoft バックボーン ネットワーク上のプライベート リンクを経由します。パブリック インターネットには到達しません。
プライベート エンドポイントを使用すると、パブリック エンドポイント経由のすべてのアクセスをブロックするようにストレージ アカウント ファイアウォールを構成し、仮想ネットワーク内または (VPN または ExpressRoute 経由で) オンプレミス ネットワーク内からのみデータに到達できるようにします。 プライベート エンドポイントでは追加コストが発生しますが、最も強力なネットワーク分離オプションが提供されます。
Note
プライベート エンドポイントを作成しても、パブリック エンドポイントは自動的にブロックされません。 すべてのトラフィックをプライベート エンドポイント経由でのみフローさせる場合は、パブリック アクセスを拒否するようにストレージ ファイアウォールを明示的に構成する必要があります。
重要
ネットワーク ルールを変更すると、Azure Storage に接続するアプリケーションの機能に影響することがあります。 既定のネットワークルールを 拒否するように設定した場合、特定のネットワークルールがアクセスを 許可 しない限り、データへのすべてのアクセスをブロックします。 既定のルールをアクセス拒否に変更する前に、ネットワーク ルールを使用して、許可されたネットワークに対してアクセスを許可してください。
既定のネットワーク アクセス ルールを管理する
Azure portal、PowerShell、または Azure CLI を使用して、ストレージ アカウントに対する既定のネットワーク アクセス ルールを管理できます。
Azure portal で既定のネットワーク アクセスを変更するには、以下の手順に従います。
セキュリティで保護するストレージ アカウントに移動します。
左側のウィンドウで [ ネットワーク ] を選択します。
選択したネットワークと IP のみにアクセスを制限するには、 選択した仮想ネットワークと IP アドレスから [有効] を選択します。 インターネットを含むすべてのネットワークに対してパブリック ネットワーク アクセスを有効にするには、 すべてのネットワークから [有効] を選択します。
変更を適用するには、[ 保存] を選択します。
