Azure Functions ネットワーク オプション

詳細については、「Azure App Service静的アクセス制限を参照してください。

Container Apps で実行する場合、受信アクセスは、App Service のアクセス制限ではなく、Container Apps 環境のイングレス構成によって管理されます。 詳細については、Azure Container Apps の IP 制限を参照してください。

仮想ネットワーク統合 (アウトバウンド)

このセクションでは、アプリからのデータ送信を制御するために Azure Functions でサポートされる機能について詳しく説明します。

仮想ネットワーク統合により、関数アプリは仮想ネットワーク内のリソースにアクセスできます。 統合されると、アプリは、送信トラフィックを仮想ネットワーク経由でルーティングします。 これにより、アプリは、選択したサブネットからのトラフィックのみを許可するルールを使用して、プライベート エンドポイントまたはリソースにアクセスできます。 宛先が仮想ネットワークの外部の IP アドレスである場合、NAT ゲートウェイを構成していない限り、ソース IP はアプリのプロパティに一覧表示されているアドレスのいずれかから送信されます。

Azure Functionsでは、推奨される方法であるリージョンの仮想ネットワーク統合がサポートされています。 仮想ネットワーク統合を設定する方法については、仮想ネットワーク統合の有効化に関する記事を参照してください。

Azure Functionsでは、次の 2 種類の仮想ネットワーク統合がサポートされています。

• リージョン仮想ネットワーク統合 (推奨)
• ゲートウェイが必要な仮想ネットワーク統合

仮想ネットワーク統合を設定する方法については、仮想ネットワーク統合の有効化に関する記事を参照してください。

リージョン仮想ネットワーク統合 (送信)

リージョン仮想ネットワーク統合を使用すると、アプリは次のものにアクセスできるようになります。

• アプリと同じ仮想ネットワーク内のリソース。
• アプリが統合されている仮想ネットワークとピアリングされた仮想ネットワーク内のリソース。
• サービス エンドポイントでセキュリティ保護されたサービス。
• Azure ExpressRoute接続間のリソース。
• Azure ExpressRoute接続を含む、ピアリングされた接続間のリソース。
• プライベート エンドポイント。

リージョン仮想ネットワーク統合を使用する場合は、次のAzureネットワーク機能を使用できます。

• ネットワーク セキュリティ グループ (NSG): 統合サブネットに配置された NSG で送信トラフィックをブロックできます。 仮想ネットワーク統合を使ってアプリへの受信アクセスを提供することはできないため、受信規則は適用されません。
• ルート テーブル (UDR): 統合サブネットにルート テーブルを配置し、必要な場所に送信トラフィックを送信できます。

Flex 従量課金プランに関する考慮事項:

• アプリと仮想ネットワークが同じリージョンに存在する必要があります。
• サブスクリプションに対して Microsoft.App Azure リソース プロバイダーが有効になっていることを確認します。次の手順を実行します。 これは、サブネットの委任に必要です。 仮想ネットワーク統合はアプリの作成後いつでも有効にできるため、Azure ポータルとAzure CLIでは、Flex Consumption アプリの作成時にこの登録が適用されます。
• Flex 従量課金プランで実行する場合に必要なサブネット委任は、Microsoft.App/environmentsです。 これは、委任要件が異なるエラスティック Premium および専用 (App Service) とは異なります。
• アプリが 40 個を超えてスケーリングする場合でも、1 つの関数アプリに対して最大 40 個の IP アドレスを使用するように計画できます。 たとえば、同じサブネットに統合されている Flex 従量課金関数アプリが 15 個ある場合、最大で 15 x 40 = 600 個の IP アドレスの使用を計画する必要があります。 この制限は変更される可能性があり、適用されません。
• 他の目的 (プライベートまたはサービス エンドポイント、または他のホスティング プランやサービスへの委任など) に既に使用されているサブネットは使用できません。 同じサブネットを複数の Flex 従量課金アプリで共有できますが、ネットワーク リソースがこれらの関数アプリ間で共有されるため、1 つの関数アプリが同じサブネット上の他の関数アプリのパフォーマンスに影響する可能性があります。
• Container Apps 環境と Flex Consumption アプリの間で同じサブネットを共有することはできません。
• Flex 従量課金プランでは現在、名前にアンダースコア (_) 文字を含むサブネットはサポートされていません。

エラスティック Premium、専用 (App Service)、Container Apps プランに関する考慮事項:

• この機能は、エラスティック Premium と App Service Premium V2 および Premium V3 で使用できます。 また、Standard でも使用できますが、新しい App Service のデプロイからのみ利用できます。 以前のデプロイを使用している場合は、Premium V2 App Service プランからのみこの機能を使用できます。 Standard App Service プランでこの機能を使用できるようにするには、Premium V3 App Service プランでアプリを作成します。 それらのプランは、最新のデプロイでのみサポートされます。 その後、必要に応じてスケールダウンできます。
• App Service Environment内の分離されたプラン アプリでは、この機能を使用できません。
• アプリと仮想ネットワークが同じリージョンに存在する必要があります。
• この機能には、Azure Resource Manager仮想ネットワーク内の /28 以上のサブネットが必要です。
• 複数の App Service プランで統合サブネットを使用できます。
• App Service プランごとに最大 2 つのリージョン仮想ネットワーク統合を使用できます。 同じ App Service プラン内の複数のアプリが、同じ統合サブネットを使用できます。
• 選択するサブネットは、既に (プライベート エンドポイントやサービス エンドポイントなどで) 他の目的に使用されていたり、他のホスティング プランまたはサービスに委任されていたりしてはいけません。
• App Service プラン内の複数のアプリと同じサブネットを共有できます。 ネットワーク リソースはすべてのアプリで共有されるため、1 つの関数アプリが同じサブネット上の他のアプリのパフォーマンスに影響を与える可能性があります。
• 統合アプリがある仮想ネットワークを削除することはできません。 仮想ネットワークを削除する前に、統合を削除してください。
• リージョン仮想ネットワーク統合を使用しているアプリがあるときに、アプリまたはプランのサブスクリプションを変更することはできません。

仮想ネットワーク統合を有効にする

1. 関数アプリの Azure ポータル の Settings で Networking を選択します。 次に、Virtual Network 統合 の「構成されていない」を選択して追加します。

2. 仮想ネットワーク統合の追加を選択します。

   

3. ドロップダウン リストには、同じリージョン内のサブスクリプション内のすべてのAzure Resource Manager仮想ネットワークが含まれています。 統合する仮想ネットワークを選択します。

   

   • Flex 従量課金およびエラスティック Premium ホスティング プランは、リージョンの仮想ネットワーク統合のみをサポートします。 仮想ネットワークが同じリージョンにある場合は、新しいサブネットを作成するか、空の既存のサブネットを選択します。

   • 別のリージョンの仮想ネットワークを選択するには、ポイント対サイトが有効になっている仮想ネットワーク ゲートウェイがプロビジョニングされている必要があります。 リージョン間の仮想ネットワーク統合は Dedicated プランでのみサポートされますが、グローバル ピアリングはリージョン仮想ネットワーク統合と連携します。

統合中にアプリは再起動されます。 統合が完了すると、統合されている仮想ネットワークの詳細が表示されます。 既定では、[ルートすべて] が有効になり、すべてのトラフィックが仮想ネットワークにルーティングされます。

プライベート トラフィック (RFC1918 トラフィック) のみをルーティングする場合は、App Service に関するこちらの記事の手順に従ってください。

サブネット

仮想ネットワーク統合は、専用サブネットに依存します。 サブネットをプロビジョニングすると、Azureは内部使用のために最初の 5 つの IP アドレスを予約します。 残りの IP アドレスの使用方法は、ホスティング プランによって異なります。 割り当てた後はサブネット サイズを変更できないため、アプリが到達する可能性のあるスケールに対応できるだけの十分な大きさを持つサブネットを使用してください。

次の表は、各ホスティング プランのサブネット要件をまとめたものです。

プラン固有の詳細については、記事の上部にあるホスティング プランを必ず選択してください。

Azure Container Apps で実行する場合、仮想ネットワーク統合は Container Apps 環境を介して管理されます。 サブネットのサイズ設定と構成は、関数アプリによって直接ではなく、Container Apps 環境によって決まります。 詳細については、「Azure Container Apps 環境でのNetworkingを参照してください。

Elastic Premium および専用 (App Service) プランでは、関数アプリの実行中の各インスタンスがサブネットから 1 つの IP アドレスを使用します。 スケールアップまたはスケールダウンすると、移行に対応するために必要なアドレス空間が一時的に 2 倍になる場合があります。 複数のアプリが同じサブネットを共有する場合、IP アドレスの合計使用量は、それらのアプリ全体のすべてのインスタンスの合計に加えて、イベントのスケーリング中に一時的に 2 倍になります。

IP 従量課金シナリオ

CIDR 範囲の推奨事項

1. ある時点でサイズまたは SKU をスケールアップまたはスケールダウンする必要があることを前提としています。
2. IP アドレスの数は 61 インスタンスをサポートしますが、専用プランの個々のアプリの 最大インスタンス数は 30 です。
3. IP アドレスの数は 125 インスタンスをサポートしていますが、Elastic Premium プランの個々のアプリの インスタンスの最大数は 100 です。

その他の考慮事項

• Functions Elastic Premium プランのサブネット容量に関する問題を回避するには、/24 と 256 個のアドレス (Windows用)、/26 (Linux の場合は 64 個のアドレス) を使用する必要があります。 仮想ネットワークとの統合の一環としてAzureポータルでサブネットを作成する場合は、Windowsと Linux にそれぞれ最小サイズ /24 と /26 が必要です。
• 各 App Service プランでは、VNet 統合に使用できる最大 2 つのサブネットをサポートできます。 単一の App Service プランの複数のアプリは同じサブネットに参加できますが、別のプランのアプリは、その同じサブネットを使用できません。

Flex 従量課金プランでは、関数アプリ インスタンスからの送信ネットワーク トラフィックは、サブネット専用の共有ゲートウェイを介してルーティングされます。 統合されているアプリの数に関係なく、サブネットごとに最大 27 個の共有ゲートウェイ (27 個の IP アドレス) が使用されます。 サブネットが使用されるインスタンスが多すぎる場合や、I/O 集中型ワークロードを実行するアプリの場合、待機時間やタイムアウトの増加などのネットワーク容量の問題が発生する可能性があります。 アプリのスケールアウトは影響を受けることはありません。

CIDR 範囲の推奨事項

^* 最大インスタンス数の増加を要求するには、製品グループに問い合わせてください。

ネットワーク セキュリティ グループ

仮想ネットワーク内のリソース間のトラフィックは、ネットワーク セキュリティ グループを使用して制御できます。 たとえば、アプリの送信トラフィックが仮想ネットワーク内のリソースに到達するか、またはネットワークから離れるのをブロックするセキュリティ規則を作成できます。 これらのセキュリティ規則は、仮想ネットワーク統合が構成されたアプリに適用されます。 パブリック アドレスへのトラフィックをブロックするには、仮想ネットワーク統合が必要であり、[すべてをルーティング] を有効にする必要があります。 仮想ネットワーク統合はアプリからの送信トラフィックのみに影響を与えるため、NSG での受信規則はアプリに適用されません。

アプリへの受信トラフィックを制御するには、アクセス制限機能を使用します。 統合サブネットに適用される NSG は、統合サブネットに適用されているルートに関係なく有効になります。 関数アプリが、[すべてをルーティング] が有効になっている仮想ネットワークに統合されており、統合サブネット上のパブリック アドレス トラフィックに影響するルートがない場合でも、すべての送信トラフィックは、統合サブネットに割り当てられた NSG の対象になります。 [すべてをルーティング] が有効になっていない場合、NSG は RFC1918 トラフィックにのみ適用されます。

ルート

ルート テーブルを使用して、アプリからの送信トラフィックを任意の場所にルーティングすることができます。 既定では、ルート テーブルは、RFC1918 の送信先トラフィックのみに影響を与えます。 [すべてをルーティング] が有効になっている場合、すべての送信呼び出しが影響を受けます。 Route All を無効にすると、ルート テーブルはプライベート トラフィック (RFC1918) にのみ影響します。 統合サブネット上に設定されているルートは、受信アプリ要求への応答には影響を与えません。 一般的な宛先には、ファイアウォール デバイスまたはゲートウェイを含めることができます。

オンプレミスのすべての送信トラフィックをルーティングする場合は、ルート テーブルを使用して、すべての送信トラフィックを ExpressRoute ゲートウェイに送信できます。 ゲートウェイにトラフィックをルーティングする場合は、外部ネットワークのルートを設定して、応答を返信するようにしてください。

また、Border Gateway Protocol (BGP) ルートも、アプリのトラフィックに影響を与えます。 ExpressRoute ゲートウェイのようなものから BGP ルートを使用している場合は、アプリの送信トラフィックが影響を受けます。 既定では、BGP ルートは、RFC1918 の送信先トラフィックにのみ影響を与えます。 関数アプリが Route All が有効になっている仮想ネットワークに統合されている場合、すべての送信トラフィックが BGP ルートの影響を受ける可能性があります。

送信 IP の制限

App Service Environmentがデプロイされている仮想ネットワークの送信制限を構成できます。

エラスティック Premium プランまたは App Service プランの関数アプリを仮想ネットワークと統合した場合でも、アプリは既定でインターネットへの送信呼び出しを行うことができます。 [すべてをルーティング] が有効になっている VNet と関数アプリを統合することにより、すべての送信トラフィックが仮想ネットワークに強制的に送信されます。この場合は、ネットワーク セキュリティ グループのルールを使用してトラフィックを制限できます。 Flex Consumption の場合、すべてのトラフィックは仮想ネットワーク経由で既にルーティングされており、 すべてルーティング は必要ありません。

仮想ネットワークを使用して送信 IP を制御する方法については、「Tutorial: Azure 仮想ネットワーク NAT ゲートウェイで Azure Functions の送信 IP を制御する」を参照してください。

プライベート ゾーンのAzure DNS

アプリが仮想ネットワークと統合されると、仮想ネットワークが構成されているのと同じ DNS サーバーが使用され、仮想ネットワークにリンクされているAzure DNSプライベート ゾーンで動作します。

Automation

次の API では、リージョンでの仮想ネットワーク統合をプログラミングで管理できます。

• Azure CLI: az functionapp vnet-integration コマンドを使用して、リージョンの仮想ネットワーク統合を追加、一覧表示、または削除します。
• ARM テンプレート: Azure Resource Manager テンプレートを使用してリージョン仮想ネットワーク統合を有効にすることができます。 完全な例については、こちらの関数クイックスタート テンプレート ページを参照してください。

ハイブリッド接続

Hybrid Connections は、他のネットワーク内のアプリケーション リソースにアクセスするために使用できるAzure Relayの機能です。 アプリからアプリケーション エンドポイントにアクセスできます。 アプリケーションにアクセスするために使用することはできません。

Azure Functionsで使用されているように、各ハイブリッド接続は 1 つの TCP ホストとポートの組み合わせに関連付けられます。 つまり、TCP リッスン ポートにアクセスしている限り、任意のオペレーティング システムの任意のアプリケーションがハイブリッド接続のエンドポイントになることができます。 ハイブリッド接続機能では、アプリケーション プロトコルやアクセス先は認識されません。 ネットワーク アクセスを提供するだけです。

詳細については、ハイブリッド接続に関する App Service ドキュメントを参照してください。 これらの同じ構成手順でAzure Functionsがサポートされます。

仮想ネットワーク経由で Azure サービスに接続する

仮想ネットワーク統合により、関数アプリは仮想ネットワーク内のリソースにアクセスできます。 このセクションでは、アプリを特定のサービスに接続する際に考慮すべき検討事項について概説します。

お使いのストレージ アカウントを仮想ネットワークに制限する

関数アプリを作成するときは、Blob、Queue、Table Storage をサポートする汎用Azure Storage アカウントを作成またはリンクする必要があります。 このストレージ アカウントは、サービス エンドポイントまたはプライベート エンドポイントで保護されているものに置き換えることができます。

仮想ネットワークでセキュリティ保護されたストレージ アカウントを使用して関数アプリを構成する方法については、「お使いのストレージ アカウントを仮想ネットワークに制限する」を参照してください。

プライベート コンテンツ共有ルーティング が構成されていることを確認する必要があります。 仮想ネットワークでセキュリティ保護されたストレージ アカウントを使用して関数アプリを構成する方法については、「お使いのストレージ アカウントを仮想ネットワークに制限する」を参照してください。

仮想ネットワークでセキュリティ保護されたストレージ アカウントを使用して関数アプリを構成する方法については、「お使いのストレージ アカウントを仮想ネットワークに制限する」を参照してください。

Key Vault参照を使用する

Azure Key Vault参照を使用して、コードの変更を必要とせずに、Azure Functions アプリケーションのAzure Key Vaultのシークレットを使用できます。 Azure Key Vaultは、アクセス ポリシーと監査履歴を完全に制御できる、一元化されたシークレット管理を提供するサービスです。

仮想ネットワーク統合がアプリ用に構成されている場合は、Key Vault参照を使用して、ネットワーク制限付きコンテナーからシークレットを取得できます。

仮想ネットワーク トリガー (非 HTTP)

ワークロードでは、仮想ネットワークによって保護されたイベント ソースからアプリをトリガーする必要がある場合があります。

Flex 従量課金プランでは、仮想ネットワーク トリガーがネイティブにサポートされます。 関数アプリは、ランタイム スケール監視用の追加の構成を必要とせずに、仮想ネットワークによって保護されたイベント ソースからトリガーできます。

Elastic Premium プランを使用すると、仮想ネットワークによってセキュリティ保護されたサービスをトリガーする関数を作成できます。 これらの非 HTTP トリガーは、"仮想ネットワーク トリガー" と呼ばれます。

Elastic Premium プランを使用すると、仮想ネットワークによってセキュリティ保護されたサービスをトリガーする関数を作成できます。

既定では、仮想ネットワーク トリガーによって、関数アプリが、プレウォームされたインスタンス数を超えてスケーリングされることはありません。 ただし、特定の拡張機能では、関数アプリの動的なスケーリングが行われる仮想ネットワーク トリガーがサポートされています。 次のいずれかの方法を使うと、サポートされている拡張機能の関数アプリでこの "動的スケーリング監視" を有効にできます。

az resource update -g <resource_group> -n <function_app_name>/config/web --set properties.functionsRuntimeScaleMonitoringEnabled=1 --resource-type Microsoft.Web/sites

$Resource = Get-AzResource -ResourceGroupName <resource_group> -ResourceName <function_app_name>/config/web -ResourceType Microsoft.Web/sites
$Resource.Properties.functionsRuntimeScaleMonitoringEnabled = $true
$Resource | Set-AzResource -Force

仮想ネットワーク トリガーの動的スケーリング監視のサポートは、Functions ランタイムのバージョン 1.x では利用できません。

この表の拡張機能では、仮想ネットワーク トリガーの動的スケーリング監視がサポートされています。 最適なスケーリング パフォーマンスを得るには、ターゲット ベースのスケーリングもサポートするバージョンにアップグレードする必要があります。

^* Queue Storage のみ。

関数アプリが App Service プランまたはApp Service Environmentのいずれかで実行されている場合は、仮想ネットワーク トリガーによってセキュリティ保護されたリソースを含む関数を記述できます。 関数が正しくトリガーされるようにするには、トリガー接続で定義されているリソースにアクセスできる仮想ネットワークに、アプリを接続する必要があります。

たとえば、仮想ネットワークからのトラフィックのみを受け入れるようにAzure Cosmos DBを構成するとします。 この場合、その仮想ネットワークとの仮想ネットワーク統合を提供する App Service プランで関数アプリをデプロイする必要があります。 統合により、Azure Cosmos DB リソースが関数をトリガーできるようにします。

プライベート エンドポイントのテスト

プライベート エンドポイントを使用して関数アプリで関数をテストする場合、そのネットワーク内の仮想マシン (VM) など、同じ仮想ネットワーク内からテストを行う必要があります。 その VM からポータルで [コードとテスト] オプションを使用するには、次の CORS オリジンを関数アプリに追加する必要があります。

• https://functions-next.azure.com
• https://functions-staging.azure.com
• https://functions.azure.com
• https://portal.azure.com

プライベート エンドポイントまたはその他のアクセス制限を使用して関数アプリへのアクセスを制限する場合は、サービス タグ AzureCloud を許可リストに追加する必要もあります。 許可リストを更新するには:

1. 関数アプリに移動し、 設定>Networking を選択します。 [ 受信トラフィックの構成>パブリック ネットワーク アクセス] で、[ アクセス制限なしで有効] を選択します。

2. [パブリック ネットワーク アクセス] が [選択した仮想ネットワークと IP アドレスから有効] に設定されていることを確認します。

3. [サイトのアクセスとルール] の [規則を追加する]:

   1. [ソース] 設定の Service Tag として 、AzureCloud として を選びます。

   2. アクションが [許可] であることを確認し、目的の名前と優先度を設定します。