Azure Application Gateway、Load Balancer、Front Door の比較: 適切なツールの選び方

By Mirko Peters · 2026-10-26

Azure Application Gateway、Load Balancer、Front Door を比較します。クラウドアーキテクチャで、レイヤー 4 とレイヤー 7 のルーティングをいつ使い分けるべきかを解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft Azure でトラフィックのルーターを正しく選ぶことは、アプリケーションのパフォーマンスとセキュリティにとって極めて重要です。Azure Application Gateway は、URL ベースのルーティングによるレイヤー 7 の Web トラフィック管理を得意としています。一方、標準の Load Balancer と Azure Front Door は、まったく異なるネットワークレイヤーと、グローバルな配信の要件に対応するもので、クラウドアーキテクトはこの違いを理解しておく必要があります。

重要なポイント

• Azure Application Gateway はレイヤー 7 で動作し、HTTP/HTTPS のリクエストパスとホスト名を読み取ります。
• Azure Load Balancer はレイヤー 4 で動作し、ペイロードを読まずに、IP アドレスとポートだけを扱います。
• Azure Front Door は、コンテンツ配信機能を組み込んだ、グローバルかつマルチリージョンのレイヤー 7 負荷分散を提供します。
• 用途に合った Azure の負荷分散サービスを選ぶことで、ルーティングのボトルネックを防ぎ、クラウドのセキュリティ態勢を最適化できます。
• 負荷分散の階層を誤って構成すると、見えにくいレイテンシの問題や、不要な運用負荷につながることがよくあります。

Azure の負荷分散の全体像を理解する

Microsoft Azure でクラウドインフラストラクチャを設計する際、エンジニアは必然的に多くのネットワークオプションに直面します。混乱の多くは、ローカルのトラフィックマネージャーとグローバルなものを区別すること、そして、レイヤー 4 の負荷分散とレイヤー 7 のアプリケーション配信を区別することから生じます。アーキテクチャの入口に不適切なツールを置くと、URL パスに基づいてトラフィックをルーティングできなかったり、Web Application Firewall でエンドポイントを保護するのに苦労したりするおそれがあります。

レイヤー 4 とレイヤー 7 の違い

Azure Application Gateway の位置付けを理解するには、まず従来のネットワーキングと最新のアプリケーション配信の違いを把握する必要があります。標準の Azure Load Balancer は、ネットワークスタックの下位にあるレイヤー 4 で動作します。これは、封筒の外側だけを読む郵便室の係員に似ています。送信元と宛先の IP アドレスとポートを確認するだけで、封筒を開けて中身を見ることはありません。

これに対して Azure Application Gateway は、レイヤー 7 で動作します。URL パスや要求された Web サイト名を含め、Web リクエストの実際の内容を読み取ります。この機能により、ゲートウェイは画像へのリクエストを専用の画像処理サーバープールに送り、動画へのリクエストは別の場所にルーティングするといった、インテリジェントなルーティングの判断を行えます。従来のレイヤー 4 のロードバランサーは、こうした判別を行えるほど Web トラフィックの中身を見ることができません。

詳細解説: Azure Application Gateway の機能

Azure Application Gateway は、専用のサブネット内で Web アプリケーションの手前に配置され、賢い受付係のような役割を果たします。本来ならバックエンドサーバーの負荷になる処理を肩代わりするため、コンピューティングリソースをアプリケーション本来のロジックに振り向けられます。

TLS 終了とセキュリティ

アプリケーション ゲートウェイを導入する主なメリットの一つが TLS の終端処理です。バックエンドの仮想マシンやApp Serviceのそれぞれが SSL 証明書を管理し、複雑な暗号処理を行い、更新を個別に扱う必要はありません。ゲートウェイがエッジで暗号化された HTTPS 接続を受け付け、トラフィックを復号して検査し、バックエンド プールへ安全に転送します。セキュリティ コンプライアンス上、通信をサーバーまで暗号化したままにする必要がある場合は、エンドツーエンドの暗号化を構成することもできます。

Web アプリケーション ファイアウォール (WAF)

セキュリティは暗号化だけでは十分ではありません。TLS は外部からの盗聴を防ぎますが、悪意のあるペイロードの送信を止めることはできません。Azure Application Gateway の WAF V2 SKU には、OWASP コア ルール セットに基づく一般的な Web の脆弱性への保護機能が組み込まれています。SQL インジェクション、クロスサイト スクリプティング (XSS)、コマンド インジェクションを、攻撃がバックエンド サーバーに届く前に積極的にブロックします。最初は WAF を検出モードで運用し、エンジニアリング チームが誤検知を見つけてルールを調整してから防止モードに切り替えるとよいでしょう。

Azure Front Door を選ぶべきとき

Azure Application Gateway は優れたリージョン単位のソリューションですが、現代の企業は複数の地理的リージョンにまたがって事業を展開することが多くあります。ユーザーが世界中の大陸に分散している場合、リージョン単位のアプリケーション ゲートウェイでは、遠方から接続するユーザーにレイテンシが発生します。ここで登場するのが Azure Front Door です。

Azure Front Door は、現代的なグローバル クラウド コンテンツ配信ネットワーク (CDN) およびレイヤー 7 ロード バランサーです。静的および動的なグローバル Web コンテンツへのユーザーのアクセスを、高速かつ信頼性が高く、安全に提供します。Front Door は Microsoft のグローバル エッジ ネットワークを利用し、受信するユーザー接続をできる限りネットワークのエッジに近づけます。Application Gateway が特定の Azure リージョンまたは仮想ネットワーク内のトラフィックを処理するのに対し、Front Door は世界中の複数リージョンにまたがるグローバル ルーティング、SSL オフロード、WAF 保護を統合管理します。

まとめ

Azure で適切なロード バランシング サービスを選ぶには、アプリケーション アーキテクチャ、ユーザーの地理的分布、トラフィック検査の要件に大きく依存します。WAF による保護を組み込んだリージョン単位のパスベース ルーティングが必要な場合でも、グローバルな配信ネットワークが必要な場合でも、これらの違いを理解しておくことで、回復性の高いクラウド環境を実現できます。これらのコンポーネントが実際にどのように連携するかを、専門用語を極力避けてわかりやすく知りたい方は、ぜひ ポッドキャストのエピソード全編を聴いて、専門家の知見や実践的な戦略をご覧ください。

よくある質問

Azure Application Gateway で Azure Load Balancer を置き換えることはできますか?

いいえ。両者は OSI モデルの異なるレイヤーで動作するためです。Azure Application Gateway は、レイヤー 7 で Web トラフィック (HTTP/HTTPS) 専用に設計されています。一方、Azure Load Balancer はレイヤー 4 で、TCP、UDP、データベース トラフィックなど Web 以外のプロトコルを処理します。

Application Gateway ではなく Azure Front Door を使うべきなのはどのような場合ですか?

アプリケーションが複数の地理的リージョンにまたがり、リージョン単位のルーティングではなく、グローバル ロード バランシング、リージョン間の即時フェイルオーバー、エッジベースのコンテンツ配信が必要な場合は、Azure Front Door を選択してください。

Azure Application Gateway は 1 つの IP アドレスで複数の Web サイトをサポートしますか?

はい。マルチサイト ルーティング ルールと専用のリスナーを使うことで、1 つの Azure Application Gateway のデプロイで、単一の静的パブリック IP アドレスを使用して最大 40 の個別の Web サイトをホストできます。

Azure Application Gateway V2 の自動スケーリングはどのように機能しますか?

自動スケーリングにより、変動するトラフィック需要に応じてゲートウェイがインスタンス数を自動的に増減できます。インスタンスの最小数と最大数を設定でき、ゲートウェイは容量ユニットを動的に調整して高可用性を維持します。