概要
Azure Private Link は、VNET 内から VNET の外側にある Azure PaaS サービスにセキュアに接続（リンク）するためのサービスで、本記事は Microsoft 公式ドキュメントの補足となります。
特徴
従来からある VNET のサービス エンドポイントと比較して Azure Private Link には、以下の利点があります。
１．VNET から特定リソースだけにアクセス許可、データ流出の脅威を防ぐ
従来型のサービス エンドポイントでは、NSG タグによる許可制限のため許可した SQL Database と同一リージョンにある全ての SQL Database へネットワーク的な到達が可能でした。Private Endpoint ではリンクされた特定のリソースのみにアクセスすることが可能となります。
２．オンプレミスや VNET ピアリングされたリモートからアクセスが可能
上図で Private Endpoint は VNET 内に配置され内部 IP アドレス（例：10.1.1.5）を持ちます。オンプレミスやリモートのピアリングされた VNET からでも、この内部 IP アドレスにアクセス出来れば Private Endpoint の先にリンクされた Azure サービスへセキュアに接続出来ます。即ち VNET 内に配置された VM にアクセスするのと同じ感覚で Azure PaaS サービスにアクセス可能となります。
用語と概念
1. Private Link サービス
Private Link 対応サービスは、現時点（2019年10月）で SQL Database, Storage, Standard Loadbalancer の 3 種類があります。
このうち SQL Database や Storage の既存 PaaS サービスは Private Link 機能が最初からサービスに組み込まれているため Private Link サービスはデプロイされません。ユーザー独自のサービスを Standard Loadbalancer を利用して Azure Private Link サービスとして公開する時に Private Link サービスのデプロイが必要となります。
Azure PowerShell を使用してプライベート リンク サービスを作成する
https://docs.microsoft.com/ja-jp/azure/private-link/create-private-link-service-powershell
2. プライベートエンドポイント
プライベートエンドポイント (Private Endpoint) は、上述の Private Link サービスにプライベートかつ安全に接続する VNET 内のエンドポイントです。自分の VNET 内のプライベート IP アドレスを使用して、サービスを実質的に VNET に取り込みます。
Azure portal を使用してプライベート エンドポイントを作成する
https://docs.microsoft.com/ja-jp/azure/private-link/create-private-endpoint-portal
上記のチュートリアルで作成したリソース群が下図となります。ここには Private Link の接続先である Azure SQL Database や、接続元 VNET 内の VM など全てのリソースが 同一リソースグループ内に配置されています。その中で下図赤枠が、プライベートエンドポイントとそれにアタッチされたネットワーク インターフェイスを示しています。
3. プライベート DNS
Azure プライベート DNS は、VNET 内にカスタムの DNS サーバーを構築せずに PaaS サービスとしてカスタムドメイン名を管理および解決します。プライベートエンドポイントの内部名前解決のために利用する事が出来ます。
プライベート DNS ゾーンは、プライベートエンドポイントの作成時に「プライベート DNS 統合」を有効にすると自動的に構成されます。
プライベートエンドポイントに対する DNS 構成
https://docs.microsoft.com/ja-jp/azure/private-link/private-endpoint-overview#dns-configuration
FQDN を使用して Private Link サービスに接続する場合、プライベートエンドポイントに割り当てられた IP アドレスが名前決されるよう DNS を構成する必要があります。既存の Azure PaaS サービスはパブリック エンドポイントに使用する DNS 構成が既に存在しているため、プライベート エンドポイントを使用して接続するには、これをオーバーライドする必要があります。
- ホスト ファイルを使用する (テストの時など) VM 上のホスト ファイルを使用して、DNS をオーバーライドする
- プライベート DNS を使用する プライベート DNS ゾーンを自分の VNET にリンクして、VNET 内で特定のプライベート リンク リソースの DNS を解決する
- カスタム DNS サーバーを構成する 独自の DNS サーバーを使用して、特定のプライベート リンク リソースの DNS 解決する
Roadmap
現在（2019年10月）プレビュー期間中のため利用可能サービスやリージョンが限定されていますが、正式リリースに向けて将来的には、以下の Azure PaaS サービスへの対応が予定されています。また日本国内リージョンへの展開も予定されています。
- Cosmos DB
- Azure Kubernetes Service
- Azure Key Vault
- Azure Database for PostgreSQL
- Azure Database for MySQL
- Azure Database for Maria DB