2025-11-03

パブリックIPを公開せずにAzure Application Gatewayを運用する

長年、「プライベート」なAzure Application Gatewayであっても、Microsoftのコントロールプレーンと通信するためにはパブリックIPと外部インターネットへの送信経路が必要でした。管理トラフィック（コントロールプレーン）とユーザートラフィック（データプレーン）が同じ経路を共有しており、これはアーキテクチャ上の矛盾であり、無理のあるファイアウォール例外、Azure DNSへの依存、そして監査担当者の不安を招いていました。新しいNetwork Isolationモデルがこの問題を解決します。制御トラフィックはすべてAzureのプライベートバックボーン経由で流れ、アプリのデータパスから完全に分離されます。サブスクリプションのフラグを有効にして新しいゲートウェイをデプロイすれば、パブリックIPを削除し、インターネットへの送信をすべてブロックし、独自のDNSを使用しながら、WAF、プローブ、スケーリング、証明書の自動化も引き続き機能させることができます。注意点として、この分離は新規ゲートウェイにのみ適用され（既存のものをその場で切り替えることはできません）、分離ビルドではPrivate Linkとの組み合わせはまだサポートされていません。この変更は単なる設定の問題ではなく、考え方の転換です。例外ではなく構造によってゼロトラストを実現するということです。

Apple Podcasts · Spotify · YouTube · YouTube Music

Run Azure Application Gateway Without Public IP Exposure (English)