Azure on Aimless

Azure Multicloud Interconnect を利用して Azure と AWS を閉域接続する

Wed, 02 Sep 2026 00:00:00 +0000

はじめに

Azure と他社クラウドサービスを閉域で接続できる Azure Multicloud Interconnect がパブリックプレビューになりました。

What is Azure Multicloud Interconnect Preview? | Microsoft Learn
Introducing Azure Multicloud Interconnect for AWS | Microsoft Azure Blog
Simpler, private connectivity between Azure and AWS with Azure Multicloud Interconnect | Microsoft Community Hub

百聞は一見に如かずということで、現時点でサポートされている AWS と繋いでみました。

Azure Monitor Workspace の OpenTelemetry パフォーマンスカウンタを閉域で利用する

Thu, 06 Aug 2026 00:00:00 +0000

はじめに

Azure Monitor Agent では、Data Collection Rule で収集した OpenTelemetry パフォーマンスメトリクスを Azure Monitor Workspace に送信できます。閉域な Azure Monitor Workspace でメトリクスを送信・検索したことがなかったので、実際に試してみました。具体的には、Data Collection Endpoint と Azure Monitor Workspace までの公開ネットワークアクセスを無効化し、Private Link 経由で system.cpu.time のメトリクスを取得できることを確認します。

VPN Gateway の P2S VPN で異なるテナントの Entra ID を使う

Wed, 18 Mar 2026 00:00:00 +0000

はじめに

VPN Gateway の P2S VPN は、OpenVPN プロトコルと Entra ID 認証の組み合わせをサポートしています。通常は VPN Gateway が存在する自テナントの Entra ID を使いますが、カスタムオーディエンスアプリを利用することで、異なるテナントの Entra ID を使った P2S VPN 認証が構成できます。実際に試してみました。

Azure Policy で Blob Storage のオブジェクトレプリケーション設定を拒否する

Tue, 17 Mar 2026 00:00:00 +0000

はじめに

Azure Blob Storage のオブジェクトレプリケーションは、ソースストレージアカウントのコンテナから宛先ストレージアカウントのコンテナへ Blob の内容を非同期にレプリケーションする機能です。

Azure Blob Storage のカスタム RBAC ロールを利用して、ファイルのアップロードだけを許可する

Sun, 15 Mar 2026 00:00:00 +0000

はじめに

Blob Storage をパブリックに公開しなければならない場面があったとします。このとき、アクセスを完全に遮断することはできなくても、「アップロードだけ」に権限を絞ることができれば、Blob Storage を経由した情報漏洩のリスクを軽減できるはずです。攻撃者や悪意のある内部者がファイルをダウンロードしたり一覧を取得したりする手段を奪えるからです。

Azure Policy のマシン構成を利用して OS の設定を変更する

Sat, 07 Mar 2026 00:00:00 +0000

はじめに

Azure マシン構成（旧称: ゲスト構成）は、Azure VM や Arc 対応サーバーの OS 内部設定を監査・修復できる機能です。

参考：Azure マシンの構成とは

今回は以下の 3 点を実際に動作確認しました。

Connected Machine Agent の自動アップグレードの動作

Thu, 26 Feb 2026 00:00:00 +0000

はじめに

Connected Machine Agent のサポートを受けられるのは、直近で1年以内にリリースされたものだけです。つまりある程度の頻度でエージェントをアップグレードする必要があります。この手間を解決してくれる機能が自動アップグレードです。早く一般公開されてほしい…

Azure Monitor Workspace でゲスト OS のメトリクスを集めたときの費用感

Tue, 06 Jan 2026 00:00:00 +0000

はじめに

OpenTelemetry ベースのパフォーマンスカウンタを Azure Monitor Workspace に収集できるようになりました。VM Insight も OpenTelemetry ベースの仕組みがプレビューになっています。

すでに、Azure Portal 上では従来の Log Analytics による VM Insight が「クラシック」になっています。気が早すぎるのよ…

Virtual WAN のルーティングと向き合う（ルーティングの再配送）

Sat, 06 Dec 2025 00:00:00 +0000

はじめに

Virtual WAN のハブには Azure Firewall または対応している仮想アプライアンスを配置できます。

ですが、「Virtual WAN の Azure Firewall や仮想アプライアンスでは使えない機能がある」や「仮想アプライアンスを自分たちで可能な限り管理したい」というような要件がある場合には、スポーク仮想ネットワークに IaaS で自前の仮想アプライアンスを置きたくなることもあるでしょう。そんな構成をやってみましたというエントリーです。

特定のユーザを Azure Policy から除外する

Sun, 23 Nov 2025 00:00:00 +0000

はじめに

Azure Policy には、特定のリソースをポリシーの対象から除外する仕組みがあります。

Azure Policy 適用除外の構造

スコープとリソースセレクタを利用することで、ポリシーから特定のリソースだけを除外したり、特定のリージョンのリソースだけを除外したりできます。

Scheduled Actions を利用して大量の仮想マシンの電源操作を簡素化する

Wed, 19 Nov 2025 00:00:00 +0000

はじめに

Scheduled Actions という機能が突然（のはず）一般公開になりました。

API のスロットリングやリトライをいい感じにやりつつ大量の仮想マシンを起動、停止、休止してくれる機能のようです。

自分がロードバランサの負荷分散対象になっているかを仮想マシン上で確認する

Sun, 09 Nov 2025 00:00:00 +0000

はじめに

突然ですが、仮想マシンの中から「自分がロードバランサの負荷分散対象になっているか」を確認できたら便利ではと思いました。サーバの運用担当と Azure の運用担当が分かれており、Azure の状況を知るためには都度都度 Azure の運用担当に聞かなければならないような環境で役に立ちそうです。このような運用担当が分かれている環境、意外とあると思います。

Virtual WAN のルーティングと向き合う（ルートマップによる経路フィルタリング）

Mon, 03 Nov 2025 00:00:00 +0000

はじめに

Virtual WAN のルーティングと向き合うシリーズ第五弾です。今までのシリーズはこちら。今回はルートマップを利用して経路をフィルタリングします。

ルートマップがうれしいシナリオ

Azure の仮想ネットワークゲートウェイは、仮想ネットワークのアドレス空間をそのままオンプレミスに広報します。つまり、1つのハブ＆スポークな仮想ネットワークに500個のスポーク仮想ネットワークが接続している場合、オンプレミスには500個（+ハブのアドレス空間）の経路が聞こえてきます。Azure 側が大規模になればなるほど、オンプレミスのネットワーク担当からすると「経路集約してオンプレミスに広報してくれ…」という気持ちになります。

Private Link Service Direct Connect を利用して Azure からオンプレミスにアクセスする

Fri, 17 Oct 2025 00:00:00 +0000

はじめに

Private Link Service で Direct Connect という設定がプレビューになりました。

これまで Private Link Service に紐づけられるのは Standard なロードバランサだけでした。ですが Direct Connecct を利用するとロードバランサではなく任意のプライベート IP アドレスを紐づけられます。ドキュメント上の記載は「A routable IP address to set as the destination IP address.」なので、紐づける IP アドレスは到達性さえあれば仮想ネットワーク内の IP アドレスではなくてもよさそうです。

古いサービス正常性の通知を確認する

Wed, 08 Oct 2025 00:00:00 +0000

はじめに

Azure にはサービス正常性という仕組みがあります。Microsoft からサブスクリプション利用者に対する通知は、このサービス正常性を通じて行われます。

Azure Policy の Deny ルールをテストする

Thu, 25 Sep 2025 00:00:00 +0000

はじめに

Azure Policy には Deny という仕組みがあります。Deny を利用することで、条件に一致するリソースの作成を禁止できます。

Azure Policy 定義の deny 効果

要件を実現するポリシー定義を Microsoft が提供していない場合には、利用者自身がカスタムなポリシー定義を作る必要があります。ポリシー定義を作ること自体は AI の支援もあってかなり楽になったのですが、作ったポリシー定義が実際にリソースの作成を拒否するかどうかの動作確認が面倒です。一番気軽なテストは Azure ポータルから条件に該当するリソースを作る方法です。実に分かりやすいのですが、次のようなめんどくささがあります。

ハブアンドスポークな仮想ネットワークと Virtual WAN な仮想ネットワークを接続する

Thu, 14 Aug 2025 00:00:00 +0000

はじめに

現在の Azure には従来のハブアンドスポークな仮想ネットワークと、Virtual WAN で構成された仮想ネットワークの2つが存在しています。とすると、従来のハブアンドスポークな仮想ネットワークに接続しているスポークな仮想ネットワークと、Virtual WAN に接続しているスポークネットワーク間で通信したくなることもあるでしょう。

証明書認証のサービスプリンシパルを利用してサーバを Azure Arc に登録する

Tue, 05 Aug 2025 00:00:00 +0000

はじめに

サーバを Azure Arc にオンボードする際には、Entra ID の資格情報が必要です。オンボードで利用するコマンドの azcmagent connect が証明書ストアに保存されている証明書を利用できるようになっていたので実際に試しました。

クォータグループを使って、サブスクリプション間で未使用のクォータを転送する

Wed, 11 Jun 2025 00:00:00 +0000

はじめに

Build 2025 にあわせてクォータグループという機能が突然 GA しました。

Generally Available: Azure Quota Groups

クォータグループを使うと、従来はサブスクリプション単位で管理していたクォータを、より上位の概念で管理できるようになります。具体的には次の2つの機能を利用できます。

Cost Management のデータを API で取得する

Thu, 05 Jun 2025 00:00:00 +0000

はじめに

所有者権限を持っている複数のサブスクリプションの料金を Cost Management で集計したくなりました。ですが、私の環境では Cost Management のスコープを管理グループにしても料金が表示されません。どうも CSP サブスクリプションでも同じように Cost Management のスコープとして管理グループを利用できないようです。

オンデマンド容量予約を買ってみた

Wed, 14 May 2025 00:00:00 +0000

はじめに

オンデマンド容量予約を買ってみたのでメモ

そもそもの実装

オンデマンド容量予約は「容量予約グループ」と「容量予約」の2つで構成されています。容量予約グループの中に、仮想マシンのサイズごとの容量予約を作るという関係性です。1つの容量予約グループの中には、仮想マシンのサイズの異なる容量予約を複数入れられます。

Azure Monitor Workbook の Tips（タブによる整理）

Sun, 13 Apr 2025 00:00:00 +0000

はじめに

Azure Monitor Workbook を作るときによく使う機能・便利だと思う機能をメモしていくシリーズです。

これまでのエントリは次の通りです。

Azure Resource Graph が対応していないリソースを利用する
- Azure Resource Manager から取得した情報を使って Azure Monitor Workbook を作る
Azure のリソースを起動・停止する
- Azure Monitor Workbook を使って Application gateway を起動・停止する画面を作る
Azure Monitor Workbook の Tips（検索機能）

なお、Azure Monitor Workbook は無限の可能性がありますので、やりたいことに対する実装方法は１つではありません。本エントリは唯一の正解ではなく単なる1つの実装例です。

Azure Monitor Workbook の Tips（検索機能）

Thu, 03 Apr 2025 00:00:00 +0000

はじめに

Azure Monitor Workbook を作るときによく使う機能・便利だと思う機能をメモしていくシリーズです。

これまでのエントリは次の通りです。

Azure Resource Graph が対応していないリソースの情報を利用する
- Azure Resource Manager から取得した情報を使って Azure Monitor Workbook を作る
Azure のリソースを起動・停止する
- Azure Monitor Workbook を使って Application gateway を起動・停止する画面を作る

Azure Advisor Workbook に表示される情報を PowerShell で取得する

Sun, 02 Feb 2025 00:00:00 +0000

はじめに

Azure の情報を集計・可視化するような PowerShell スクリプトを作っているときに、「Azure Advisor Workbook に表示される情報を PowerShell スクリプト内で使えたら、自分で集計ロジックを考える手間を省けるなぁ…」と思いました。Azure Advisor Workbook 内の情報にアクセスする API は用意されていませんが、それっぽいやり方をひらめいたのでメモしておきます。

仮想マシンの停止方法

Mon, 16 Dec 2024 00:00:00 +0000

はじめに

「Azure の仮想マシンには色々な停止方法があるんだよ」というだけのエントリです。

4つの停止方法

仮想マシンの停止には powerOff と deallocate という2つの API が存在します。

powerOff と deallocate の違いは、仮想マシンの vCPU とメモリが解放された「割り当て解除」の状態になるかどうかです。powerOff は割り当て解除になりません。deallocate はその名の通り割り当て解除になります。

Network Security Perimeter を利用して Log Analytics に IP アドレス制限をかける

Tue, 26 Nov 2024 00:00:00 +0000

はじめに

Ignite 2024 にあわせて、Network Security Perimeter というサービスがパブリックプレビューになりました。複数の PaaS をグルーピングしてグループ内の PaaS 間の通信のみを許可したり、グループ内の PaaS に対して特定の IP アドレスからのアクセスのみを許可できたりします。

古い方式を利用する VPN Gateway のリタイア

Wed, 02 Oct 2024 00:00:00 +0000

はじめに

オンプレミスとの S2S VPN および端末との P2S VPN を実現する VPN Gateway には複数のリタイア通知がでています。

色々なアナウンスが出て少し混乱したので、2024年10月2日時点の公開情報をもとに自分のために整理しました。上記以外の情報元は次の2つです。

App Service の FTP 関連設定を一覧化する

Mon, 30 Sep 2024 00:00:00 +0000

はじめに

App Service には FTP デプロイという仕組みがあります。

FTP/S を使用した Azure App Service へのアプリのデプロイ

この FTP デプロイで利用されるエンドポイントは、App Service を閉域化したい人にとってはイマイチな仕様になっています。このエンドポイントへの通信は IP アドレスによるアクセス制限が効きません、さらに通信をプライベートエンドポイント経由にもできません。もう一つのデプロイ手法である ZIP デプロイで利用されるエンドポイントは、IP アドレスによる通信制限が可能です。さらに通信をプライベートエンド経由にもできます。

Azure サービス正常性のスコープ

Mon, 26 Aug 2024 00:00:00 +0000

はじめに

Azure にはサービス正常性という仕組みがあります。この仕組みを利用して、利用者は次の情報を受け取ることができます。

サービスに関する問題
計画メンテナンス
正常性の勧告
セキュリティアドバイザリ

参考：Azure portal を使用してサービス正常性通知を表示する

Azure Arc Gateway を利用して Azure Arc-enabled servers の通信要件を減らす

Thu, 18 Jul 2024 00:00:00 +0000

はじめに

Azure Arc Gateway という機能がドキュメントに追加されていました。Limited Preview なので Forms から申請が必要です

Simplify network configuration requirements through Azure Arc gateway (Limited preview)

Azure Arc Gateway は Azure Arc を利用する際に必要となる多数の通信要件を削減できる仕組みです。試した結果をまとめました。

Log Analytics ワークスペースのリージョン間レプリケーションを試す

Fri, 14 Jun 2024 00:00:00 +0000

はじめに

Build 2024 にあわせて、Log Analytics ワークスペースのレプリケーションがプレビューになりました。

https://learn.microsoft.com/ja-jp/azure/azure-monitor/logs/workspace-replication

あるリージョンの Log Analytics ワークスペースに書き込まれたデータを Azure 側で別リージョンの Log Analytics ワークスペースに非同期コピーする機能です。これまでは、Log Analytics ワークスペースに保存するデータをリージョン冗長しようとすると、データを書き込む側で複数のリージョンに書き込む必要がありました。送る側ではなく受け取る側で別リージョンにレプリケーションしてくれるとなると、ストレージアカウントの GRS の様に気軽にリージョン冗長を実現できます。

オンプレミスから隣の隣の隣の仮想ネットワークにアクセスする

Thu, 30 May 2024 00:00:00 +0000

はじめに

Azure 上の仮想ネットワークが VNet ピアリングで接続されている場合、オンプレミスから ExpressRoute 経由で到達できる範囲は限られています。

例えば次の構成を組んだ場合、VNet ピアリングで意図的に設定を追加しない限り、オンプレミスから到達できるのは HubVnet のみです。仮想ネットワークが ExpressRoute 回線に広報するアドレス帯が HubVnet だけだからです。

App Service からの通信を Azure Firewall で TLS インスペクションする

Thu, 16 May 2024 00:00:00 +0000

はじめに

VNet 統合した App Service は、アウトバウンド通信を Azure Firewall 経由にできます。この構成にすることで、App Service からインターネットへの送信元 IP アドレスを固定したり、App Service からのインターネットへの通信をホワイトリストで厳密に制御できるようになります。

Azure Bastion Developer の通信要件

Thu, 18 Apr 2024 00:00:00 +0000

はじめに

Azure Bastion には、Developer という新しい SKU があります。

参考：Azure Bastion とは

従来の Basic や Standard は、お客様仮想ネットワークの中にお客様専用の Azure Bastion を構成するインスタンスが起動します。一方で Developer は、お客様仮想ネットワークの外に存在する共有のインスタンスを利用します。

Virtual WAN のルーティングと向き合う（ExpressRoute のトランジット接続）

Sat, 09 Mar 2024 00:00:00 +0000

はじめに

Virtual WAN にはトランジット接続の機能があり、次の通信を実現できます

Virtual WAN に接続する VNET 間の通信
Virtual WAN に接続する VNET と ExpressRoute 回線間の通信
Virtual WAN に接続する VNET と S2S VPN 間の通信
Virtual WAN に接続する VNET と P2S VPN 間の通信
Virtual WAN に接続する S2S VPN 間の通信
Virtual WAN に接続する S2S VPN と P2S VPN 間の通信

グローバルトランジットネットワークアーキテクチャと Virtual WAN

Azure 仮想ネットワーク上で NAT を実現する際のポイント

Sun, 11 Feb 2024 00:00:00 +0000

はじめに

本エントリは仮想ネットワーク上での NAT を推奨するものではありません。私の中では、仮想ネットワーク上の NAT は「やらないに越したことはない」手法です。NAT 用仮想マシンの分だけ障害ポイントが増えますし、パフォーマンス上のボトルネックになる可能性もあるからです。また、運用中、特に障害時に「このアドレスは実際はこれだから・・・」という読み替えのコストが発生する点も地味に辛いです。

プロキシとプライベートエンドポイントを併用するサーバを Azure Arc に登録する

Thu, 08 Feb 2024 00:00:00 +0000

少し長めのはじめに

Azure Arc-enabled servers で利用する Azure Connected Machine Agent には、「通信をプロキシを経由にする設定（proxy.url）」と「プライベートエンドポイントをサポートする宛先への通信（＝プライベート IP アドレスな FQDN）をプロキシ経由から除外する設定（proxy.bypass）が存在します。

Virtual WAN のルーティングと向き合う（ラベル編）

Wed, 06 Dec 2023 00:00:00 +0000

はじめに

これまでのエントリでは、Virtual WAN の基本的な動作とルーティングの優先順位、ルーティングをいじるためのルートテーブルを取り扱いました

ここまでのざっくりとしたまとめは次の通りです。

Virtual WAN のルーティングと向き合う（ルートテーブル編）

Thu, 23 Nov 2023 00:00:00 +0000

はじめに

前回のエントリでは、Virtual WAN の基本的な動作とルーティングの優先順位を試しました。

Virtual WAN のルーティングと向き合う（基本的な動作とルーティングの優先順位編）

Wed, 22 Nov 2023 00:00:00 +0000

はじめに

今まで漠然と理解していた Virtual WAN のルーティングを、検証環境を組んで実際に試してみました。今回は基本的な動作とルーティングの優先順位を試します。行く行くは、カスタムのルートテーブルやラベル、ルートマップも試したい。

Microsoft Entra ID 認証の P2S 接続で特定の VPN Gateway にのみ接続する

Sun, 15 Oct 2023 00:00:00 +0000

長めのはじめに

P2S 接続の Microsoft Entra ID 認証

VPN Gateway の P2S 接続は Microsoft Entra ID によるユーザ認証をサポートしています。証明書の管理が不要になる、条件付きアクセスと組み合わせることで P2S 接続時に MFA を強制できる等、とても便利な機能です。専用のクライアントがサポートする OS が Windows と macOS だけな点に注意は必要ですが、要件さえあえば積極的に使っていきたい機能の一つです。

Azure Monitor Workbook を使って Application gateway を起動・停止する画面を作る

Tue, 10 Oct 2023 00:00:00 +0000

はじめに

Azure には、Application gateway や Azure Firewall など「停止・起動してコストを削減できるものの Azure Portal からは停止・起動できないサービス」があります。Azure PowerShell を利用すればいいのですが、実行するたびにリソース名やリソースグループ名をコマンドラインにコピペするのが面倒です。

Azure Arc-enabled servers のリモート管理機能をあえて無効化する

Fri, 15 Sep 2023 00:00:00 +0000

はじめに

Azure Arc-enabled servers には Azure 側からリモートでサーバを操作するための便利な機能が実装されています。これらの機能を利用して、様々な環境で動作しているサーバ群を Azure 上から統合的に運用管理できることが Azure Arc-enabled servers の一つのメリットです。

Log Analytics から Azure Resource Graph を検索する

Fri, 01 Sep 2023 00:00:00 +0000

はじめに

以前、次のブログを書きました。

Resource Graph のデータを Log Analytics に投入する

このブログでは、Resource Graph に記録される変更分析のデータをもとに Azure Monitor でアラートを発火したかったので、Logic Apps を使って Resource Graph のデータを Log Analytics に投入しました。仕方がないので仕組みを自作した形です。

Azure Help API を試した

Wed, 16 Aug 2023 00:00:00 +0000

はじめに

Azure Help API が一般公開されました。

参考：General Availability : Help API provides access to self-help diagnostics

SR を上げる際に選べる自動トラブルシューティングを API で呼び出せるようになったようです。百聞は一見に如かずということで実際に試してみました。

Microsoft Azure Attestation による Remote Attestation を試した（AMD SEV-SNP 編）

Mon, 24 Jul 2023 00:00:00 +0000

はじめに

Confidential Computing では、アプリケーションが動いている環境が Confidential Computing な環境であることをする検証できる仕組みが必要です。そのための仕組みが Attestation です。Attestation には、Local Attestation と Remote Attestation が存在します。Local Attestation は Confidential Computing で保護された環境の中で、自身の環境が Confidential Computing な環境であることを検証する手法です。Remote Attestation は、Confidential Computing な環境で動作している通信先が本当に Confidential Computing な環境であることを外部から検証する手法です。

Azure Firewall と NVA を多段で併用する

Wed, 14 Jun 2023 00:00:00 +0000

はじめに

やってみたことがなかったので、次の構成を試してみました。

VNet 間のルーティングと通信制御のために Azure Firewall を内部ファイアウオールとして利用する
インターネットとの通信制御のために NVA を外部ファイアウオールとして利用する

構成図は次の通りです。

Azure OpenAI Service を Private Endpoint 経由で利用する

Wed, 19 Apr 2023 00:00:00 +0000

はじめに

Azure OpenAI Service は Private Endpoint をサポートしています。ですので、Azure OpenAI Service の特定のドメイン宛ての通信をインターネット経由ではなく閉域網経由にできます。また、ファイアウオールの機能もあるので、インターネットからAzure OpenAI Service の特定のドメイン宛ての通信を拒否することもできます。

Azure Resource Manager から取得した情報を使って Azure Monitor Workbook を作る

Wed, 12 Apr 2023 00:00:00 +0000

はじめに

Azure には自分なりのダッシュボードを作るための「Azure Monitor Workbook」という機能があります。この機能を使うと、標準の Azure ポータルには存在しない画面を作れます。次の画面は、私が試しに作った「Azure の仮想マシンと Azure Arc-enabled servers を一覧で見られるダッシュボード」です。標準の Azure ポータルからこれら2つのリソースを見ようとするとページを行き来する必要があるので、一つの画面にまとまっていると意外と便利です。

モダンな Azure Site Recovery を Private Endpoint とプロキシサーバの併用環境で動作させる

Tue, 04 Apr 2023 00:00:00 +0000

はじめに

Azure Site Recovery は Private Endpoint を利用して閉域網でデータを複製する構成をサポートしています。

プライベートエンドポイントを使用してオンプレミスマシンをレプリケートする

Microsoft Defender for Storage のマルウェアスキャンを試した

Wed, 29 Mar 2023 00:00:00 +0000

はじめに

Microsoft Defender for Storage のマルウェアスキャンの機能がパブリックプレビューになりました。

これまでも Microsoft Defender for Storage はハッシュ評価ベースのマルウェア検出をサポートしていました。今回パブリックプレビューになったのは、Microsoft Defenders Antivirus によってマルウェアをスキャンする方式です。

プロキシと Private Endpoint を併用するサーバを Azure Arc-enabled servers に登録する

Fri, 10 Mar 2023 00:00:00 +0000

はじめに

Azure Portal を利用すると、サーバを Azure Arc-enabled servers に登録する際に使うスクリプトを生成してくれます。このスクリプトの自動生成機能は次の3つの環境をサポートしています。

Resource Graph のデータを Log Analytics に投入する

Mon, 13 Feb 2023 00:00:00 +0000

背景

Azure サービスの中には、処理の結果を Resource Graph のみに記録するものがあります。例えば Update Management Center はパッチの状態や適用処理の結果を記録します。Change Analysis は検出した変更結果を記録します。

Azure VM Backup のアラートを移行する

Wed, 01 Feb 2023 00:00:00 +0000

はじめに

Azure VM Backup には、アラートを設定する方法が4つあります。

クラシックアラート
Azure Monitor のログアラート
Azure Monitor アラート
Azure Monitor のメトリクスアラート（プレビュー）

昔からなじみのある方法が1つ目のクラシックアラートです。Recovery Service Vault 単位でメールアドレスと Severity を設定すると、バックアップが失敗した際に次のようなメールが届きます。

Azure 上の Windows Server 2019 をインプレースアップグレードする

Thu, 19 Jan 2023 00:00:00 +0000

はじめに

Azure 上の Windows サーバはインプレースアップグレードをサポートしていません。ですが、ドキュメントが更新されまして、2016と2019、2022がインプレースアップグレードのサポート対象外から削除されました。

Azure Bastion の共有リンクを定期的に掃除する

Tue, 22 Nov 2022 00:00:00 +0000

Azure Bastion に共有リンクという機能が追加されました。Azure AD による認証なしで特定の仮想マシンにのみ接続できる直リンクを作成する機能です。共有リンクを利用すれば、初期構築やメンテナンスなどの単発の要件で仮想マシンにアクセスするために Azure Bastion を使う人に対して、Azure AD のアカウントを払い出したりゲスト招待したりする必要がなくなります。

Bicep を利用して Azure Arc-enabled servers を Azure Monitor Agent ＋ VM Insights な環境に登録する

Thu, 17 Nov 2022 00:00:00 +0000

はじめに

Log Analytics Agent の廃止を踏まえて、Azure Portal をポチポチすることで Azure Monitor Agent 版の VM Insights を有効化できるようになりました。

VM Insights の設定画面

ポータルからポチポチできるのはとても便利なのですが、裏で自動的に設定が入るため何が実行されているのかいまいち分かりません。というわけで Bicep を利用して VM Insights を有効化することで、どのような設定が必要なのかを細かく確認しました。

Microsoft Defender for Cloud に複数の連続エクスポートを設定する

Wed, 19 Oct 2022 00:00:00 +0000

はじめに

Microsoft Defender for Cloud には、推奨事項やアラートなどの検出結果を Log Analytics や EventHub に送信する連続エクスポートという機能があります。

Microsoft Defender for Cloud データを継続的にエクスポートする

Virtual WAN の有効なルートを PowerShell で取得する

Mon, 03 Oct 2022 00:00:00 +0000

はじめに

Azure には有効なルート(Effective Routes) という機能が存在します。設定したルーティングではなく実際のルーティングテーブルを確認できる機能です。通信できない際のトラブルシュートで利用されていることが多いと思います。

Azure Computer Gallery の direct shared gallery を利用して、別テナントや別サブスクリプションに仮想マシンのイメージを共有する

Wed, 27 Jul 2022 00:00:00 +0000

はじめに

Azure の仮想マシンの自作イメージを共有するサービスである Azure Compute Gallery に direct shared gallery という方式が追加されました。direct shared gallery を利用すると、Azure AD のテナント ID やサブスクリプション ID を指定するだけで自作のイメージを共有できます。

Azure Route Server を利用して Azure Firewall へのデフォルトルートを生成する

Wed, 20 Jul 2022 00:00:00 +0000

はじめに

Azure Route Server の NEXT-HOP 属性に関するドキュメントが公開されました。

Next Hop IP support

Route Server が NEXT-HOP 属性をサポートすると、実現できる構成が増えます。その一つが Secured Virtual Hub なしで実現する Azure Firewall 向けのデフォルトルートです。Route Server に対してネクストホップが Azure Firewall のプライベート IP アドレスなデフォルトルートを広報すると、Route Server は素直にそのルートを VNet に広報してくれます。その結果、Azure Firewall 向けのデフォルトルートを UDR で設定しなくても、仮想マシンからインターネットへの通信が Azure Firewall に向かいます。

Azure Gateway Load Balancer を FortiGate で試す

Sat, 16 Jul 2022 00:00:00 +0000

はじめに

Azure Gateway Load Balancer が GA になりました。

Generally available: Azure Gateway Load Balancer

公式ドキュメントによると、Gateway Load Balancer には次のメリットがあります。

Azure Gateway Load Balancer を使用すると、管理上のオーバーヘッドが増えずに、高度なネットワーク機能を簡単に追加または削除できます。これにより、パブリックエンドポイントへのすべてのトラフィックがアプリケーションの前にアプライアンスに最初に送信されるのを確認するために必要な、ネットワーク内の Bump-in-the-wire テクノロジが提供されます。 NVA を使用するシナリオでは、フローが対称的である点が特に重要です。 Azure Gateway Load Balancer は、バックエンドプール内の特定のインスタンスへのフローの保持性と、フローの対称性を維持します。その結果、手動で構成することなく、追加ネットワーク仮想アプライアンスへの一貫したルートが保証されます。その結果、パケットは両方向に同じネットワークパスを通過し、このキー機能を必要とするアプライアンスはシームレスに機能できます。

Azure CLI を利用して VMware ESXi 上に Azure Arc Resource Bridge を作成する

Tue, 12 Jul 2022 00:00:00 +0000

はじめに

VMware vSphere を Azure Arc の管理下に置くためには、Azure Arc Resource Bridge という仕組みを利用して VMware vSphere を Azure Arc に接続する必要があります。docs.microsoft.com に記載されている Resource Bridge をデプロイする手順は、Azure Portal が生成するスクリプトを vCenter と通信できる端末上で実行する形です。詳細は以下の URL の通りです。

Private Endpoint と Private DNS Zone の自動連携を Bicep で利用する

Mon, 04 Jul 2022 00:00:00 +0000

はじめに

Private Endpoint を利用して通信を閉域化する際には、privatelink.[PaaS の FQDN] のゾーン内に存在する A レコードを Private Endpoint のプライベート IP アドレスに名前解決する必要があります。この名前解決を実現するための一つのオプションが Private DNS Zone です。Azure Portal から Private Endpoint を作ると、Private DNS Zone へのレコードの追加を自動で実施してくれます。

Azure Firewall の SNAT と X-Forwarded-For の挙動

Fri, 17 Jun 2022 00:00:00 +0000

2024/10/11 Azure Firewall の DNAT の場合の動作を追記しました

はじめに

Azure Firewall のドキュメントには SNAT と X-Forwarded-For について次の記載があります。

指定したプライベートアドレス範囲は、ネットワーク規則にのみ適用されます。現時点では、アプリケーションルールでは常に SNAT が使用されます。

Azure Portal から Windows Admin Center で Azure 外のサーバを操作する

Thu, 09 Jun 2022 00:00:00 +0000

はじめに

Azure で Windows Admin Center を使用して Azure Arc 対応サーバーを管理する (プレビュー) という機能がパブリックプレビューになりました。タイトルそのまま、Azure Portal から Windows Admin Center（WAC）で Azure Arc-enabled Server を操作できる機能です。

Azure ExpressRoute で実現できる構成/実現できない構成

Mon, 23 May 2022 00:00:00 +0000

はじめに

パブリッククラウドのサービスには設定できる項目に制限が存在します。この制限には、緩和申請が存在しており一定の数量まで制限を増やせるタイプと、緩和申請が存在せず制限を増やせないタイプが存在します。

Azure VM Backup で1日あたり複数回のバックアップを取得する際に指定する「期間」の挙動

Fri, 20 May 2022 00:00:00 +0000

はじめに

Azure VM Backup に拡張ポリシーが実装されました。拡張ポリシーでは Azure VM Backup で1日に複数回のバックアップを取得する機能がプレビューになっています。

参考：Back up an Azure VM using Enhanced policy

Azure Arc を利用してサーバに SSH でリモートアクセスする

Sun, 24 Apr 2022 00:00:00 +0000

Azure CLI がインストールされている端末から、Azure Arc-enabled Server に登録したサーバに対して SSH で接続できる機能がプレビューになったので試してみました。

準備（Azure 側）

Azure CLI にログインするアカウントに Virtual Machine Local User Login の権限を付与します。今回の検証では所有者の権限を有するアカウントを使います。

How to use a static public IP address in Windows 365

Sun, 20 Mar 2022 00:00:00 +0000

This article shows how to use a static public IP address in Windows 365.

At first, on Mar 2022, Windows 365 doesn't provide any way to assign a static IP address to your Windows 365. But for Windows 365 Enterprise, you can realize this by using Azure Network Service.

Windows 365 Enetrprise have two network options. One is Microsoft Hosted Network. Another is "On-premise network connection. When you use "On-premise network connection," you can realize it by NAT Gateway and Azure Firewall.

Azure Resource Manager で Azure Stack HCI 上に仮想マシンを作成する

Sat, 27 Nov 2021 00:00:00 +0000

Ignite Fall 2021 にて Azure Portal で Azure Stack HCI 上に仮想マシンを作れる機能が招待制プレビューになりました。

VM provisioning through Azure portal on Azure Stack HCI (preview)

本機能を利用すると、Azure Resource Manager を利用して Azure Stack HCI 上に仮想マシンを作成できます。また、Azure Resource Manager を利用して Azure Stack HCI 上の仮想マシンを起動・停止・再起動したり、CPU やメモリ、Disk の構成を変更できます。

Azure Arc-enabled servers がプラットフォームの情報を集めるようになった

Mon, 22 Nov 2021 00:00:00 +0000

はじめに

Azure Arc-enabled servers のエージェントが、サーバの動作するプラットフォームの情報を集めるようになりました。現時点で収集される情報は次の通りです。

Hardware manufacturer
Hardware model
Cloud provider
Amazon Web Services (AWS) account ID, instance ID and region (if running in AWS)

参考：Overview of Azure Connected Machine agent

Azure Virtual Network Manager を利用して、NSG を無視した通信制御を強制する

Wed, 03 Nov 2021 00:00:00 +0000

はじめに

Ignite Fall 2021 にて Azure Virtual Network Manager がプレビューになりました。

https://docs.microsoft.com/en-us/azure/virtual-network-manager/

Azure Virtual Network Manager が提供する機能は次の3つです。

Hub and Spoke 型 VNet Peering の構築
フルメッシュ型 VNet Peering の構築
NSG よりも優先度の高い Security Admin Rule の設定

1と2は、手作業で出来る VNet Peering の作業を簡略化してくれるものです。3は Azure Virtual Network Manager でのみ実現できる機能です。というわけで3を試しました。

Azure Firewall の Web カテゴリを API で確認する

Sun, 31 Oct 2021 00:00:00 +0000

Azure Firewall と Web カテゴリの確認

Azure Firewall Premium はカテゴリベースの Web フィルタをサポートしています。ただしこれまでは「FQND がどのカテゴリに属しているかを確認したうえで、ベンダの判定に異議を申し立てる仕組み」がありませんでした。カテゴリベースのフィルタリング機能をサポートするベンダは、当然のようにこの機能を提供しています。

NSG の Service Tag を利用して Windows Update の通信を許可する

Sat, 28 Aug 2021 00:00:00 +0000

はじめに

本ブログで取り上げた方法は非推奨となりました。プロキシサーバやファイアウォールを利用して FQDN で通信を許可する方法、または Azure Firewall の WindowsUpdate サービスタグを使う必要があります。

Windows 365 Enterprise と Azure 仮想ネットワーク

Tue, 03 Aug 2021 00:00:00 +0000

Windows 365 が一般公開されました。本エントリーでは Windows 365 そのものの話を完全にスルーして、Windows 365 Enterprise を利用した際に Windows 365 を Azure 仮想ネットワークでどのように制御できるかを試した結果をまとめます。

Azure ExpressRoute とOracle FastConnect を切断するときの注意点

Mon, 12 Jul 2021 00:00:00 +0000

はじめに

Oracle FastConnect を利用して ExpressRoute 周りの検証し終えてリソースを削除しようとしたところ、Oracle FastConnect のステータスが Failed になり削除できなくなってしまいました。

FastConnect のステータス

ExpressRoute と FastConnect の切断には正しい手順があります。この手順を守らずに FastConnect を削除すると、削除に失敗して FastConnect のステータスが Failed になってしまいます。本エントリーでは切断の正しい手順をまとめます。

Azure Arc の Custom location を利用して疑似的なリージョンを作る

Fri, 30 Apr 2021 00:00:00 +0000

はじめに

特にアナウンスもなく、Azure Arc のポータルに Custom location なるものが増えていました。

追加された Custom location

Custom location を利用すると「Azure と同じように、エンドユーザは自社のプライベートコンピュートに対してリソースをデプロイできる」とのこと。あまりにも謎なので実際に試してみました。

Virtual WAN の NAT Rules を利用して、オンプレミスと Azure 間で送信元アドレス変換を実現する

Mon, 08 Mar 2021 00:00:00 +0000

はじめに

Azure のドキュメントの差分を確認していたところ、Configure NAT Rules for your Virtual WAN VPN gateway - Preview というドキュメントを見つけました。「Virtual WAN が NAT をサポートした」というリリースは更新情報に流れていないはずです。アナウンスを探してみたところ、Ignite に合わせて Video Hub に公開された次の動画の中で発表されていました。Route Server と同じくらい凄い機能なのだから、更新情報に流してくれたらいいのに・・・

Azure Route Server を利用して仮想アプライアンスと VNet 間で経路交換する

Wed, 03 Mar 2021 00:00:00 +0000

Azure Route Server がパブリックプレビューになりました。Azure Route Server とは BGP を利用して VNet と経路交換できるサービスです。Azure 上で NVA を利用したことがある人であれば「VNet と BGP で経路交換できたらいいのに・・・」と思ったことがあるはずです。その要望を実現するサービスがリリースされました。

Azure Firewall Premium のカテゴリベースフィルタを試した

Wed, 17 Feb 2021 00:00:00 +0000

はじめに

UTM 機能が搭載された Azure Firewall premium がプレビューになりました。このリリースによって Azure Firewall と NVA との機能差がまた一つ減りました。良いことです。

参考：Azure Firewall Premium Preview features

Premium SKU はプレミアムだけあって Standard SKU よりも高額です。Azure Premium の料金は東日本リージョンの場合 ¥196/時間です。Standard SKU の ¥140/時間よりも高額です。さらに Premium SKU はポリシーの設定に Firewall policy を利用します。そのため、Firewall Policy の利用料金 ¥11,200/ポリシーが追加で発生します。

Azure リザーブドインスタンスの使用率を PowerShell で確認する

Thu, 11 Feb 2021 00:00:00 +0000

はじめに

リザーブドインスタンスを使い始めると気になるのが「リザーブドインスタンスが従量課金のインスタンスにもれなく適用されているか」という点です。リザーブドインスタンスとは「リザーブドインスタンスの対象となるサイズのインスタンスが起動している場合、そのインスタンスの従量課金の費用がゼロになる」という仕組みです。そのため、何かしらの理由で従量課金のインスタンスのサイズを変更したり、従量課金のインスタンスを削除してしまうと、従量課金の費用が発生してしまいリザーブドインスタンスが無駄になってしまいます。

Bicep を試した

Sun, 07 Feb 2021 00:00:00 +0000

はじめに

組み込みの Azure Policy をまとめてデプロイできる ARM テンプレートがあったら便利じゃないか？という思い付きで ARM テンプレートを書くことにしました。そうはいっても JSON な ARM テンプレートを一から書くのは少々しんどいので、前々から気になっていた Bicep を試してみました。

NSG フローログを確認できるダッシュボードを作った

Mon, 21 Dec 2020 00:00:00 +0000

12/16の第30回 Tokyo Jazug Night (Online) で NSG フローログを確認しようという LT をしました。「JSON な NSG フローログを FortiGate のように確認したい！」という思いを実現するまでの旅路の LT です。

Azure と AWS 間で BGP な Site-to-Site VPN を実装する

Thu, 26 Nov 2020 00:00:00 +0000

はじめに

次のアナウンスのとおり、Azure の VPN Gateway で BGP over IPsec VPN する際に 169.254.x.x のアドレスを利用できるようになりました。

Multiple new features for Azure VPN Gateway are now generally available

このアップデートによって、Azure VPN Gateway は、BGP over IPsec VPN で 169.254.0.0/16 のアドレスを使わなければならない AWS とも BGP over IPsec VPN できるようになったはずです。というわけで試しました。

Azure Arc enabled servers を利用して Azure PowerShell の認証を突破する

Wed, 18 Nov 2020 00:00:00 +0000

はじめに

Azure Arc enabled servers を有効にすると、対象のマシン上で Azure Hybrid Instance Metadata Service が起動します。このサービスを利用することで、Azure 上の VM と同じようにメタデータや認証用のトークンを取得できます。

Azure Resource Mover で Virtual Machine を別リージョンに移動する

Thu, 24 Sep 2020 00:00:00 +0000

Ignite 2020 で発表になった Azure Resource Mover を利用して、東日本リージョンの仮想マシンを米国西部2リージョンに移動してみました。

参考:

前提

東日本リージョン内のリソースグループに存在する VNet に仮想マシンを用意します。

新しい Azure Stack HCI のざっくりまとめ

Sat, 01 Aug 2020 00:00:00 +0000

08/01 ゲスト OS のライセンスを更新

Inspire 2019 で新しい Azure Stack HCI が発表されました。セッション動画や公式ドキュメントをもとに何が変わったのかを振り返ります。

Invoke-AzRest を使って Azure の API を直接叩く

Sat, 25 Jul 2020 00:00:00 +0000

はじめに

Az モジュールに Azure の API を直接叩くための Invoke-AzRest コマンドが実装されました。

公式アナウンス：How to manage Azure resources with the new PowerShell Invoke-AzRestMethod cmdlet

Azure CLI が以前からサポートしてた az rest と同等の機能を持つコマンドです。このコマンドを利用すれば、PowerShell で API を直接叩く際に Get-AzContex 内のトークンを抽出するような前処理が不要になります。

Azure Virtual WAN の P2S VPN には2つの接続方法がある

Wed, 08 Jul 2020 00:00:00 +0000

はじめに

Virtual WAN のドキュメントにユーザー VPN クライアント用にグローバルまたはハブベースのプロファイルをダウンロードするという記事を見つけました。このドキュメントによると Virtual WAN の P2S VPN には「すべての Hub に存在する P2S Gateway に接続できるプロファイル」と「特定の Hub に存在する P2S Gateway にのみ接続できるプロファイル」があるとのことです。「知らんかった・・・」ということで動作確認しました。

Azure Arc enabled servers が Azure の運用管理サービスとの連携を強化した

Mon, 22 Jun 2020 00:00:00 +0000

はじめに

6/17 に Azure Arc のドキュメントが更新されました。この時に追加されたドキュメントが Virtual machine extension management with Azure Arc for servers (preview) です。ドキュメントによると、Azure ポータルから Arc の管理下にあるサーバに対して拡張機能が入れられるようです。早速試してみました。

Hugo なブログを Netlify から Azure App Service Static Web Apps に移行する

Tue, 26 May 2020 00:00:00 +0000

はじめに

Microsoft Build 2020 にて App Service Static Web Apps がパブリックプレビューになりました。

Introducing App Service Static Web Apps

Static Web Apps が Netlify で利用している次の機能をサポートしていそうだったので、「物は試し」「本番環境からこそ学びがある」ということで Hugo な本ブログを Netlify から Static Web Apps に移行してみました。

what-if を利用して ARM テンプレートを Dry run する

Mon, 04 May 2020 00:00:00 +0000

はじめに

Infrastructure as code(IaC) を実現するツールの中には Dry run の機能を有するものがあります。有名どころだと Terraform の terraform plan でしょうか。Dry run の機能があればツールがどのような変更を実施するかを事前に確認できますので、ツールを用いた変更作業のリスクを軽減できます。

Azure Firewall の Network rule で FQDN を使う

Fri, 01 May 2020 00:00:00 +0000

はじめに

Azure Firewall に Network rule で FQDN を使う機能が実装されました。おそらく 2019年 10月くらいに。

{
  "name": "L4-traffic-with-FQDN",
  "description": "Block traffic based on source IPs and ports to amazon",
  "sourceAddresses": [
    "10.2.4.12-10.2.4.255"
  ],
  "destinationPorts": [
    "443-444",
    "8443"
  ],
  "destinationFqdns": [
    "www.amazon.com"
  ],
  "protocols": [
    "TCP"
  ]
}

引用：AzureFirewallPut.json

PowerShell を使って Azure のサポートリクエストを送信する

Tue, 21 Apr 2020 00:00:00 +0000

API を利用して Azure のサポートリクエストを送信できるようになりました。Public Preview を経由せずにいきなり GA したような気がします。

Azure サポート API の一般提供が開始されました

Private Link 経由で Azure Storage の Static website を使う

Wed, 08 Apr 2020 00:00:00 +0000

はじめに

Azure の Storage Account が Private Link をサポートしたので、「Static website も Private Link 経由で動くのか」という疑問を評価してみました。

Web 向けの Private Link を作る

Storage Account 向けの Private Link を作る際には、ターゲットとなる Sub Resource を選択する必要があります。Static website 向けの Private Link を作る場合は、Sub Resource に Web を選択します。

Lighthouse を利用して別テナントの Shared Image Gallery を利用する

Fri, 06 Mar 2020 00:00:00 +0000

はじめに

Shared Image Gallery は別テナントにイメージを共有する機能を持っています。ですが、公式ドキュメントに記載されている共有の方法が気軽ではありません。Azure AD にアプリを登録して権限を付与したうえで PowerShell を使って Virtual Machine を作る手順は難易度が高すぎます。

Azure NAT Gateway を触ってみた

Wed, 19 Feb 2020 00:00:00 +0000

送信元 NAT のマネージドサービスである Nat Gateway が Public Preview になったので早速試してみました。

気になった点

デプロイ方法

Nat Gateway は、Azure Firewall のような専用のサブネットを使いません。Service Endpoint のように NAT Gateway を利用したいサブネットを NAT Gateway と関連付けるだけで OK です。

Azure Firewall Manager を使ってデフォルトルートをオンプレミスに広報する

Thu, 21 Nov 2019 00:00:00 +0000

サマリ

Azure Firewall Manager を使ったら、Azure から BGP でデフォルトルートが聞こえてきた。

デフォルトルートが Azure からきこえてきたああああああああ。オンプレからAzure経由でインターネットに行けるのでは。 pic.twitter.com/7jjIW7NCP0

Azure Cloud Shell で Ansible の devel ブランチを利用する

Thu, 17 Oct 2019 00:00:00 +0000

新しめの Azure サービスを Ansible で操作しようとすると、対応する Ansible のモジュールが devel ブランチのみに存在することがあります。Root 権限を持っている環境であれば、devel ブランチの Ansible を pip でインストールする方法のとおりにインストールすることで devel ブランチの Ansible を利用できますが、Cloud Shell の場合は権限が足りないため次のエラーが出てしまいます。

Lighthouse を利用して Shared Image Gallary を他のテナントに公開する

Sun, 06 Oct 2019 00:00:00 +0000

サマリ

Lighthouse を使えば、Shared Image Gallary を簡単に異なるテナントに共有できる
2019年10月現在、Ansible で Shared Image Gallary を利用して VM を作る場合は devel ブランチが必要

Shared Image Gallary を異なるテナントに共有する

公式ドキュメントでは、Service Principle を利用して Shared Image Gallary を異なるテナントに共有する方法が公開されています。

Azure Private Link Service を利用して別テナントにシステムを公開する

Thu, 19 Sep 2019 00:00:00 +0000

はじめに

Azure Private Link が Public Preview になりました。

https://azure.microsoft.com/ja-jp/updates/private-link-now-available-in-preview/

Private Link は Private Endpoint と Private Link Service の2つで構成されています。本エントリでは、Private Link Service を利用して別テナントにシステムを公開する方法に触れます。想定しているユースケースは、「Azure 上でサービスを運用しているサービスプロバイダが Azure の利用者に対して Private EndPoint 経由でサービスを公開する」です。

Active/Passive な FortiGate を Azure 上にデプロイする

Sun, 15 Sep 2019 00:00:00 +0000

はじめに

このエントリでは、Active/Passive な FortiGate を Azure 上に構築する手順と、切り替えたときの挙動を説明します。

参考ドキュメント

構築の手順

Azure リソースの構築

上記の参考ドキュメントのとおり、FortiGate はシングルゾーン上での冗長化とゾーンをまたいだ冗長化の両方をサポートしています。今回は構築が簡単なシングルゾーン版を前提とします。

Azure の物理構成と IaaS の可用性

Sat, 07 Sep 2019 00:00:00 +0000

はじめに

自分の頭の整理をかねて、Azure の物理構成と IaaS の可用性を向上するための仕組みをまとめます。本エントリでは次の内容に触れます。

ジオ
リージョン
ゾーン
スケールユニット・クラスタ
障害ドメイン
更新ドメイン
可用性セット
可用性ゾーン
ローカル冗長ストレージ (LRS)
ゾーン冗長ストレージ (ZRS)
ジオ冗長ストレージ (GRS)
ジオゾーン冗長ストレージ (GZRS)

なお、自分のリファレンスを兼ねているので、日本語公式ドキュメントからの引用が多めです。

Azure Lighthouse を試した

Sat, 13 Jul 2019 00:00:00 +0000

はじめに

Azure Lighthouse が発表されました。自分のリソースの管理を他の AAD に委任できるサービスです。リリースのアナウンスでは MSP がサービス提供するシナリオが強調されていますが、MSP でなくても利用できるサービスです。シンプルな設定で動作を確認した結果をメモします。

Express Route Global Reach を試した

Sun, 30 Jun 2019 00:00:00 +0000

サマリ

Oracle Cloud を使えば、Express Route Private Peering を安価に試せる
- 安価な仮想オンプレとして Oracle Cloud を利用できる
Oracle Cloud を利用して複数の Express Route Private Peering を用意すれば、Express Route Global Reach を試せる
- Oracle Cloud 側から見ると、Azure とつなげられるのは us-ashburn-1 のみ
- Azure 側は eastus だけの認識だったが、どのリージョンであっても Oracle Cloud をサービスプロバイダとして利用できた。そのため、異なるリージョンの Express Route Circuit を安価に用意できる
Oracle Cloud を使うと、Express Route Global Reach を利用した疎通確認ができない
- Oracle Cloud 内のルート表やセキュリティリストを整えても通信できなかった
- Azure の Express Route とつなぐ場合、Oracle FastConnect 側の AS 番号が 31898 で固定になってしまう
- Oracle Cloud 側が Global Reach 経由で AS-PATH に自分の AS 番号の含まれる経路を受信するため、Oracle Cloud が対向の Oracle Cloud の広報した経路を学習しない（はず。Oracle Cloud 側で確認する術がない）

謝辞

Interact 2019の帰り道に「Oracle Cloud を使って Express Route を評価する」というアイディアを共有してくれた @Masayuki_Ozawa に感謝。

Azure Firewall の Inbound DNAT は SNAT もする

Thu, 20 Jun 2019 00:00:00 +0000

サマリ

Azure Firewall の Inbound DNAT は同時に SNAT もする
- Active/Active な Azure Firewall で非対称ルーティングを避けるためには仕方ない
- Active/Active であり続ける限り、回避策はない
- Inbound の SNAT が嫌な場合は、Active/Passive な NVA を利用する

本文

Azure Firewall の複数の Public IP Address 対応がプレビューになったので DNAT を試しました。

VPN Gateway がアドレスを広報する VNet の範囲

Mon, 17 Jun 2019 00:00:00 +0000

VNet Peering で Hub&Spoke 構成を組んだ場合に、VPG Gateway がどこまで先のアドレスを広報してくれるかを実際に試したのでメモ

サマリ

VNet Peering を利用した Hub&Spoke 構成の場合、VPN Gateway がアドレスを広報する VNet は次の２つだけ
- VPN Gateway が存在する VNet
- VPN Gateway が存在する VNet と直接つながっている VNet
VPN Gateway は、VPN Gateway が存在する VNet から 2hop 以上先の VNet のアドレスを広報しない

確認

動作確認で利用した構成は次の通り。10.0.0.0/16側の VNet peering では "Allow gateway transit "を有効化、10.1.0.0/16と10.2.0.0/16側の VNet peering では "Use remote gateway" を有効化しました。

Virtual Network の Service tag には UDR の宛先サブネットが含まれる

Thu, 30 May 2019 00:00:00 +0000

単なるメモなのでさらっと。

サマリ

Network Security Group の Virtual Network という Service tag には、UDR で設定したアドレスプレフィックスが自動的に追加される
UDR と NSG の設定によっては、意図しない通信が許可される可能性があるので注意
NSG は1つのルールに複数のアドレスを追加できるようになったので、Virtual Network に頼らずサブネットで明示的に許可した方がよさそう
ファイアウォール製品のように、自分で独自の Service tag を作れる機能が待ち遠しい
- Add Custom Tags to NSG Rules
- 予定済みになってから二年経っているが、実装されるのだろうか・・・

ドキュメントの更新箇所

該当のコミットはこちら

Azure Image Builder を利用して、マーケットプレイスのイメージを VHD に変換する

Wed, 08 May 2019 00:00:00 +0000

はじめに

Private Preview であった Azure Image Builder が Public Preview になりました。いわゆる「ゴールデンイメージ」の運用が簡単になるサービスです。Azure のサービスと連携する Packer のマネージドサービスとも言えます。

Microsoft MVP for Microsoft Azure を受賞した

Thu, 02 May 2019 00:00:00 +0000

Microsoft MVP を受賞しました。初受賞です。当ブログにアクセスいただいている方々、日頃からお世話になっている方々に改めて御礼申し上げます。

Microsoft MVP を受賞しました！カテゴリは Microsoft Azure です。引き続き Azure と Azure Stack で情報発信を続けていきますので、よろしくお願いいたしますー。

Azure Stack の Virtual Machine の IOPS

Sat, 27 Apr 2019 00:00:00 +0000

はじめに

Azure Stack 上で利用できる Azure のサービスは、Azure と一貫性がありますが違いもあります。主要な違いと考慮事項は次の URL にまとまっています。ただし、あくまでも主要な部分であってすべての注意点が記載されているわけではありませんのでご留意ください。

Azure Stack Integrated systems 上の Virtual Machine を Azure のサービスで運用する

Sun, 14 Apr 2019 00:00:00 +0000

はじめに

Azure Stack Integrated systems 上の Virtual Machine を Azure の運用管理サービスで運用管理してみます。対象のサービスは次の通りです。

Log Analytics
Azure Monitor
Azure Monitor for VMs
Update Management
Security Center

2019年4月現在の Azure Stack Integrated systems にはこれらの運用管理サービスが存在しません。正確に言うと Azure Monitor は存在しますが、サポートするメトリクスが少ない、アラート機能がないなど、その機能は Azure の Azure Monitor に遠く及びません。Azure が提供する運用管理サービスを利用するならば、Azure 一択です。

PaloAlto on Azure を Active/Passive 構成で導入する

Wed, 27 Mar 2019 00:00:00 +0000

はじめに

PaloAlto が 9.0 で Azure での Active/Passive 方式の冗長化をサポートしました。実装は仮想マシンのIPアドレスを付け替える方式です。

参考：Set up Active/Passive HA on Azure

Active/Passive 方式で冗長化された NVA は、オンプレミスのネットワークエンジニアが慣れ親しんだ構成です。これまで IP アドレス付け替え方式で冗長化された NVA を組んだことがなかったので、実際に試してみました

Windows Virtual Desktop を作ってみた

Sun, 24 Mar 2019 00:00:00 +0000

はじめに

Windows Virtual Desktop が Public Preview になったので、構成を理解するために作ってみました。個人で Microsoft 365 E3 を契約しているので、ライセンス違反にはならないはず。

構成要素

ドキュメントを写経した結果、次のような構成が出来上がりました。写経で作れたので、具体的な手順には触れません。

パブリッククラウドと仮想アプライアンス型ファイアウォール

Thu, 21 Mar 2019 00:00:00 +0000

はじめに

過去に社内で複数回「パブリッククラウドと仮想アプライアンス型ファイアウォール」の話をしてきたので、自分の頭の整理もかねて改めてまとめました。

Let's Encrypt と Azure DNS を使ってサーバ証明書を作成する

Sun, 10 Mar 2019 00:00:00 +0000

はじめに

Azure Stack Development Kit を独自ドメインでデプロイするために公的なサーバ証明書が必要だったので、Let's Encrypt と Azure DNS を使って作りました。Azure Stack の都合上、サーバ証明書を利用するサーバ自身が Let's Encrypt を利用して自分のサーバ証明書を発行する方式ではなく、一般的な認証局のサーバ証明書を使うときと同じように CSRを作成したうえで認証局に署名してもらう手法を試しました。

Ansible で Azure IaaS VM backup を有効化する

Fri, 08 Feb 2019 00:00:00 +0000

はじめに

Ansible で Azure の Virtual Machine に対して IaaS VM Backup を有効化するのに苦戦したのでメモ。

モジュールが対応していない？

Azure IaaS VM backup は、Recovery Service Vault によって提供されます。しかし、Azure モジュールには、Recovery Serivce Vault が存在しません。Azure preview モジュールにも Recovery Serivce Vault が存在しません。困りました。

Logic Apps を利用して JSON でメールを送る

Tue, 05 Feb 2019 00:00:00 +0000

はじめに

運用で利用するスクリプトに確認結果をメール通知する処理を書いている際に、「JSON を投げつけたらメールが飛んでくれる何かがあったら超便利なのになぁ」と閃きました。メールを送るためのライブラリを探したり、メールを送る処理の書き方を Google に聞いたりするのがめんどくさかったが故の閃きです。

Terraform から Azure CLI を実行する

Thu, 31 Jan 2019 00:00:00 +0000

はじめに

Azure 上のリソースに作った人の名前をタグ付けする仕組み（azure-auto-tagging）を作っています。仕組みに必要な PaaS を Terraform で一発構築する際に困ったことと解決策をまとめます。

Terraform はすべてをサポートしない

azure-auto-tagging は、Log Analytics に飛んでくる Activity Log をチェックしてリソースをタグをつけます。Terraform の Azure Provider は Log Analytics の作成をサポートします。

Azure Virtual WAN を使って IPSec VPN を簡単に構築する

Thu, 25 Oct 2018 00:00:00 +0000

はじめに

本エントリでは Virtual WAN の目玉機能である自動接続に対応したアプライアンスを利用して、ハブアンドスポーク型の IPsec VPN を構築します。

対応アプライアンス

Virtual WAN への自動接続に対応しているアプライアンスは次の通りです。

FortiGate を Azure Virtual WAN に接続する

Fri, 19 Oct 2018 00:00:00 +0000

はじめに

Azure Virtual Wan が GA しました。Ignite のセッションを見ているだけだと期待値が高くなりすぎてサービスの価値を正しく判断できないので、実際に試しました。ただし、我が家には自動プロビジョニングをサポートするデバイスがありません。そこで、どこのご家庭にもある FortiGate を Azure Virtual WAN に手動で接続しました。目指す構成は次の通りです。

Service Endpoint Policiesを試す

Sun, 14 Oct 2018 00:00:00 +0000

はじめに

Microsoft Ignite 2018 で Service Endpoint Policies という新機能がアナウンスされました。本エントリーでは、この Service Endpoint Policies を試した結果をまとめます。

Service Endpoint Policies とは

Service Endpoint Policies とは Service Endpoint 経由でアクセスできる Azure サービスを制限する機能です。2018年10月現在、Service Endpoint Policies はプレビューであり、対象サービスもAzure Storage に限られています。

Nework Security GroupでAzure Backupを制御する

Tue, 09 Oct 2018 00:00:00 +0000

自分用のメモ。結論から言うと、Network Security Group 単体では Azure Backup をいい感じに制御できません。制御できる/できないの組み合わせは次の通りです。必要最低限に通信を絞りたい場合は、Proxy サーバに判断をゆだねるか、FQDN ベースで通信を制御できるNetwork Virtual Appliance を組み合わせましょう。何事も多層防御。

Shared Image Gallery を利用して、1つのイメージから複数リージョンに Virtual Machine をデプロイする

Mon, 01 Oct 2018 00:00:00 +0000

はじめに

Microsoft Ignite 2018 で Shared Image Gallery というサービスが Public Preview になりました。1つのイメージを複数のリージョンで利用できるようにするサービスです。従来の Image がリージョン限定で困っている人にとっては福音です。早速試しました。

Azureのサポートに問い合わせる技術

Fri, 03 Aug 2018 00:00:00 +0000

AzureとAzure Stackでお給料を稼いでいるので、一日に何度もAzureのサポートに問い合わせます。何度も問い合わせた結果、自分なりのパターンが出来たので共有します。

AzureのPublic IP AddressにカスタムドメインのPTRレコードを設定する

Thu, 26 Jul 2018 00:00:00 +0000

背景

何となく読んだConfigure reverse DNS for services hosted in Azureに、「Public IP AddressにカスタムドメインのPTRレコードを設定できる」旨が書いてありました。「まじで？」と思ったので実際にやってみました。

Update Managementの結果をメールで通知する

Thu, 19 Jul 2018 00:00:00 +0000

背景

AzureのUpdate Managementを使うと、Windows ServerとLinux Serverのパッチ適用を自動化できます。WSUSやSCCMが存在せず、手作業でパッチを適用している環境にお勧めのソリューションです。

Azure Firewallの通信ログをLog Analyticsでいい感じにする

Sat, 14 Jul 2018 00:00:00 +0000

Azure Firewallをためしたの続きです。

上記のエントリーはで、Azure Firewallの通信ログをLog Analyticsに投入しました。本エントリーでは、Log Analyticsに投入されたログをいい感じにします。

Azure Firewallをためした

Sat, 14 Jul 2018 00:00:00 +0000

Azure FirewallがPublic Previewになりました。VNetからインターネットへのOutboundを集中管理できるマネージドFirewallです。クラウドネットワーク野郎にとってワクワクするサービスです。早速試しました。

Azure PortalでApplication Security Groupを使う

Sun, 08 Jul 2018 00:00:00 +0000

Ignite 2017で発表になるもPortalで使えなかったApplication Security Groupが、Portalで使えるようになっていました。軽く触ったのでメモ。

Just in time VM accessでVirtual Machineにアクセスする

Sat, 07 Jul 2018 00:00:00 +0000

前々から気になっていたAzure Security CenterのJust in time VM accessを試しました。

Security CenterのPlanをStandardにする

Just in time VM accessはSecurity Centerの機能です。利用するためには、SecurityCenterをStandardに変更する必要があります。Standardの費用はVM1台当たり$15です。

PowerShellを使って、AzureからAzure StackにMarket Placeのアイテムをダウンロードする

Sun, 10 Jun 2018 00:00:00 +0000

Azure Stackの特徴の一つに「AzureのMarket Place上のアイテムをAzure StackのMarket Placeでも使える」という機能があります。この機能を利用するためには、AzureのMarket Placeからアイテムをダウンロードする必要があります。

BLOB StorageへのアップロードとSAS tokenの生成をPowerShellで自動化する

Fri, 25 May 2018 00:00:00 +0000

やったこと

ストレージアカウント名とローカルのディレクトリパスを渡すと、ディレクトリ内のファイルをストレージアカウントにアップロードしてSAS tokenつきのURLを返すPowerShellスクリプトを書いた。

Azure Virtual MachineのOS Diskを変更する

Fri, 04 May 2018 00:00:00 +0000

Managed DiskなVirtual MachineのOS Diskを変更できるようになったので試しました。OS Disk Swap for Managed Virtual Machines now available

環境

Windows 2016 DatacenterのVirtual Machineを2台用意します。Virtual MachineのOS DiskにはManaged Diskを利用します。

Global VNet Peeringを試す

Wed, 02 May 2018 00:00:00 +0000

東日本リージョンと西日本リージョンでGlobal VNet Peering（リージョン間でのVNet Peering）がGAしたので試しました。Region expansion: Global VNet Peering

global subscription filteringを試す

Tue, 24 Apr 2018 00:00:00 +0000

先日アナウンスされたglobal subscription filteringがPreview版ポータルで利用できるようになっていたので試しました。

既定のディレクトリの設定

現在のAzure Portalは、ポータルを表示する際に最後にアクセスしたAADのディレクトリを利用をする動作になっています。新しいフィルタリングでは「最後にアクセスしたAADを利用するする動作」だけでなく「任意のAADを利用するする動作」を選択できるようになります。

Global Azure Bootcamp 2018@TokyoでLTした

Sun, 22 Apr 2018 00:00:00 +0000

Global Azure Bootcamp 2018@TokyoでAzure StackについてLTしてきました。Azure Stackを運用してみて「うーん・・・・」と思ったことを愚直るだけという、誰得なLTです。発表中に「ガチ勢だ」という声が聞こえたのがちょっと嬉しかったです。

AzureでBGPルートの伝搬を無効化する

Tue, 27 Mar 2018 00:00:00 +0000

AzureがBGPルートの伝搬を無効化する機能を実装しました。BGPに関連するとなれば、ネットワークエンジニアとしては押さえておきたい機能です。さくっと動作確認しました。

PowerShell in Azure Cloud ShellでSSH

Sat, 03 Feb 2018 00:00:00 +0000

Azure Cloud ShellのPowershellでSSHが使えるようになりました。試しにCloud Shellから自宅のFortiGateにつないでみました。

Azure上のリソースの設定をPowerShellでテストする

Wed, 24 Jan 2018 00:00:00 +0000

Azure上のリソースの設定をテストするPowerShellモジュール「azurePester」を作りました。azurePesterは次のような課題を解決します。

Azure上のリソースがあるべき設定かどうかを手で確認するのがしんどい。リソースが複数個あると地獄
ServerSpecみたいな分かりやすい見た目でテスト結果を表示したい

Virtual Machineの設定をテストする場合は次のように書きます。

Azure Functionでasync/awaitを使う

Thu, 14 Dec 2017 00:00:00 +0000

はじめに

デフォルトのAzure Funtionではasync/awaitが使えません。Node.jsのバージョンがv6.5.0だからです。ですが、設定変更すればAzure Funtionでasync/awaitを使えます。Callback地獄から解放されます。

OMS AgentをPowershellでインストールする

Mon, 09 Oct 2017 00:00:00 +0000

はじめに

Azure Security Centerのハイブリッド対応によって、今後Azure以外のサーバにOMS エージェントをインストールする機会が増えるかなと思いました。GUIによるインストールは作業がスケールしないので、Powershellでのインストール方法を調べました。いつかの自分のために手順をメモしておきます。

TerraformをAzure CLI認証で使う

Sat, 16 Sep 2017 00:00:00 +0000

はじめに

TerraformのMicrosoft Azure ProviderがAzure CLI認証に対応しました。サービスプリンシパルを作らなくてもTerraformが動きます。

Azure Active Directory Managed Service IdentityをAzure CLIで使う

Fri, 15 Sep 2017 00:00:00 +0000

はじめに

Azure Active Directory Managed Service Identity（MSI）というサービスがプレビューになりました。AWSのIAM Roleのように、コードの中に認証情報を保存しなくてもAPIにアクセスするためのトークンを得られるサービスです。ぐっときたので試しました。

Microsoft Teamsを使ってAzureの仮想マシンを起動・停止する

Sun, 10 Sep 2017 00:00:00 +0000

はじめに

Microsoft Teamsで利用できるBOTを探していたら、AzureBotを見つけました。AzureBotは次の作業をサポートしています。実際に試してみました。

仮想マシンの起動と停止
Runbookの実行

インストール

「アプリ」からインストールします。BOTを招待できるのは1:1チャットのみです。チームには招待できません。

サブスクリプションを掃除する

Sat, 09 Sep 2017 00:00:00 +0000

JAZUG 7周年総会にて、「サブスクリプションを掃除する」というテーマでライトニングトークしました。

感想

ビアバッシュでのLTは心理的に楽でした。
5分の持ち時間を守ろうとした結果、3分半でLTが終わりました。準備不足です。反省。
Azureのアップデート予告によって、スライドが完成した後にスライドを修正しました。恐るべしクラウドの更新頻度。
- 『Azureポータルの「すべてのリソース」からリソースを消せない』とスライドに書いていたが、「すべてのリソース」からの一括操作に関するアナウンスがでた。
  - Azure Portal Updates
  - https://preview.portal.azure.comで一括操作を体験できます。

AWSとAzureのL4ロードバランサを比較する

Tue, 01 Aug 2017 00:00:00 +0000

AzureのLoad Balancerへの理解を深めるために、AzureのLoad BalanecrとAWSのClassic Load Balancerをロードバランサの機能ごとに比較しました。本エントリの対象は次のサービスです。いわゆるL4ロードバランサのみを対象としています。

FortiGateとAzureのVPN GatewayをBGPで接続する

Mon, 17 Jul 2017 00:00:00 +0000

BGP対応のAzure VPN GatewayをPowerShellでデプロイするで作成したBGP対応のVPN GatewayをFortiGateと接続します。FortigateとAWSをIPSecで接続したことがあれば、同じイメージで対応できます。動作確認で利用したFortiGateはFortiGate 50B（v4.0 MR3 Patch 14）です。古いモデルで申し訳ない。

BGP対応のAzure VPN GatewayをPowerShellでデプロイする

Sun, 16 Jul 2017 00:00:00 +0000

AzureのVNetとオンプレミスをIPsecVPNでつなぐ場合、VPN Gatewayが必要です。VPN GatewayはStatic RouteとBGPをサポートしています。Azure PortalではStatic RouteをサポートするVPN Gatewayのみ作成できます。BGPをサポートするVPN GatewayはPowerShellを使って作ります。

Network Watcherを使ってNetwork Security Groupのログを見る

Wed, 05 Apr 2017 00:00:00 +0000

背景

Azureのファイアウォール機能であるNetwork Security Group（NSG）は、トラフィックログが見られませんでした。ですが、Network Watcherのリリースによってトラフィックログが見られるようになりました。パブリックプレビューのリリースを見たときはVPC Flow Logsがリリースされたときと同じくらい感動しました。

Azure on Aimless

Azure Multicloud Interconnect を利用して Azure と AWS を閉域接続する

はじめに

Azure Monitor Workspace の OpenTelemetry パフォーマンスカウンタを閉域で利用する

はじめに

VPN Gateway の P2S VPN で異なるテナントの Entra ID を使う

はじめに

Azure Policy で Blob Storage のオブジェクトレプリケーション設定を拒否する

はじめに

Azure Blob Storage のカスタム RBAC ロールを利用して、ファイルのアップロードだけを許可する

はじめに

Azure Policy のマシン構成を利用して OS の設定を変更する

はじめに

Connected Machine Agent の自動アップグレードの動作

はじめに

Azure Monitor Workspace で ゲスト OS のメトリクスを集めたときの費用感

はじめに

Virtual WAN のルーティングと向き合う（ルーティングの再配送）

はじめに

特定のユーザを Azure Policy から除外する

はじめに

Scheduled Actions を利用して大量の仮想マシンの電源操作を簡素化する

はじめに

自分がロードバランサの負荷分散対象になっているかを仮想マシン上で確認する

はじめに

Virtual WAN のルーティングと向き合う（ルートマップによる経路フィルタリング）

はじめに

ルートマップがうれしいシナリオ

Private Link Service Direct Connect を利用して Azure からオンプレミスにアクセスする

はじめに

古いサービス正常性の通知を確認する

はじめに

Azure Policy の Deny ルールをテストする

はじめに

ハブアンドスポークな仮想ネットワークと Virtual WAN な仮想ネットワークを接続する

はじめに

証明書認証のサービスプリンシパルを利用してサーバを Azure Arc に登録する

はじめに

クォータグループを使って、サブスクリプション間で未使用のクォータを転送する

はじめに

Cost Management のデータを API で取得する

はじめに

オンデマンド容量予約を買ってみた

はじめに

そもそもの実装

Azure Monitor Workbook の Tips（タブによる整理）

はじめに

Azure Monitor Workbook の Tips（検索機能）

はじめに

Azure Advisor Workbook に表示される情報を PowerShell で取得する

はじめに

仮想マシンの停止方法

はじめに

4つの停止方法

Network Security Perimeter を利用して Log Analytics に IP アドレス制限をかける

はじめに

古い方式を利用する VPN Gateway のリタイア

はじめに

App Service の FTP 関連設定を一覧化する

はじめに

Azure サービス正常性のスコープ

はじめに

Azure Arc Gateway を利用して Azure Arc-enabled servers の通信要件を減らす

はじめに

Log Analytics ワークスペースのリージョン間レプリケーションを試す

はじめに

オンプレミスから隣の隣の隣の仮想ネットワークにアクセスする

はじめに

App Service からの通信を Azure Firewall で TLS インスペクションする

はじめに

Azure Bastion Developer の通信要件

はじめに

Virtual WAN のルーティングと向き合う（ExpressRoute のトランジット接続）

はじめに

Azure 仮想ネットワーク上で NAT を実現する際のポイント

はじめに

プロキシとプライベートエンドポイントを併用するサーバを Azure Arc に登録する

少し長めのはじめに

Virtual WAN のルーティングと向き合う（ラベル編）

はじめに

Azure Monitor Workspace でゲスト OS のメトリクスを集めたときの費用感

Azure Arc を利用してサーバに SSH でリモートアクセスする