Skip to content

MS_AzureSQLDatabasePrivate

Jump to bottom
nishi_74322014 edited this page Aug 19, 2026 · 1 revision

Azure SQL Databaseをプライベート化する。

概要

補足（Private Link と Private Endpoint の関係）: この 2 つは対になる概念で、
「どちらを使うか」ではなく立場の違いである。

誰が作るか 何をするか
Private Endpoint 利用する側 自分の VNET に、相手のサービス用の私設 IP を生やす
Private Link Service 提供する側 自分のサービスを、他人に Private Endpoint で公開する

Azure SQL Database のような Microsoft 提供の PaaS を利用する場合、
提供側（Private Link Service）は Microsoft が用意済みなので、
利用者は Private Endpoint を作るだけでよい。
原文の「Private Link ではなく Private Endpoint 単品利用」は、この意味で正しい。

Private Link Service を自分で作るのは、
自社の Load Balancer 配下のサービスを
他テナントへ閉域公開するといったケースに限られる。

移行メモ（マネージド インスタンスについて）: 「マネージド・インスタンスには
適用されない」は、そもそも仕組みが違うためである。
SQL Managed Instance は最初から VNET のサブネットにデプロイされる
（VNET インジェクション）ので、Private Endpoint を作る必要がない。
「閉域化できない」という意味ではない点に注意。

なお、その後 Managed Instance にも
パブリック エンドポイントを持つ構成が追加され、
さらに接続元を絞るための Private Endpoint 対応も進んでいる。

詳細

手順

コチラのクイックスタートが参考になる。

補足（要点）: 手順の骨子は他の PaaS の閉域化と同じ 3 段構えである。

  1. 経路 — 対象の SQL Server（論理サーバー）に対して
    Private Endpoint を作成する。サブグループは sqlServer。
  2. 名前解決 — プライベート DNS ゾーン privatelink.database.windows.net を
    VNET にリンクする。
    <名前>.database.windows.net が CNAME で
    <名前>.privatelink.database.windows.net に向き、
    そこから私設 IP に解決される。
  3. 遮断 — 論理サーバーの
    「パブリック ネットワーク アクセス」を無効化する。
    これをやらないと公衆経路が残ったままになる。

加えて、接続文字列の接続ポリシーに注意が必要である。

ポリシー 動作 閉域構成では
Redirect ゲートウェイで宛先を教わり、ノードへ直接接続（ポート 11000-11999） 追加ポートの許可が要る
Proxy 常にゲートウェイ経由（ポート 1433 のみ） Private Endpoint では既定でこちら

Redirect の方が低レイテンシだが、
Private Endpoint 経由では Proxy が既定になるため、
性能要件がある場合は事前に確認しておくこと。

参考

Microsoft Learn

Tags: 移行, クラウド, コンテナ, Azure, AKS, セキュリティ, 通信技術

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally