Azure Virtual Network Manager FAQ

この記事では、Azure Virtual Network Managerに関してよく寄せられる質問に回答します。

全般

Azure Virtual Network ManagerをサポートするAzureリージョンはどれですか?

リージョンのサポートに関する最新情報については、「リージョン別の利用可能な製品」を参照してください。

Azure Virtual Network Managerの一般的なユース ケースは何ですか?

• お使いの環境とその機能のセキュリティ要件を満たすために、ネットワーク グループを作成できます。 たとえば、運用環境とテスト環境のネットワーク グループを作成して、その接続とセキュリティ規則を大規模に管理できます。

  セキュリティ管理者ルールの場合は、2 つの規則コレクションを使用してセキュリティ管理者の構成を作成できます。 各ルール コレクションは、それぞれ運用環境とテスト ネットワーク グループを対象とします。 デプロイ後、この構成では、運用環境のネットワーク リソースに対して 1 つのセキュリティ管理者規則のセットと、テスト環境用の別のセットが適用されます。

• 接続構成を適用して、組織のサブスクリプション全体で多数の仮想ネットワークのメッシュまたはハブおよびスポーク ネットワーク トポロジを作成できます。

• 危険度の高いトラフィックを拒否できます。 企業の管理者は、通常トラフィックを許可するネットワーク セキュリティ グループの規則をオーバーライドする特定のプロトコルまたはソースをブロックできます。

• トラフィックを強制的に許可できます。 たとえば、ネットワーク セキュリティ グループの規則がトラフィックを拒否するように構成されている場合でも、特定のセキュリティ スキャナーが常にすべてのリソースへの受信接続を持つことが許可される場合があります。

Azure Virtual Network Managerを使用する場合のコストは何ですか?

Azure Virtual Network Manager料金は、アクティブな仮想ネットワーク マネージャー構成がデプロイされている仮想ネットワークの数に基づいています。 たとえば、仮想ネットワーク マネージャー スコープに 100 個の仮想ネットワークが含まれているが、構成がそれらの 5 つの仮想ネットワークにのみデプロイされている場合、その 5 つの仮想ネットワーク (すべて 100 個ではなく) に対して課金されます。 また、ピアリングの料金は、デプロイされた接続構成 (メッシュまたはハブ アンド スポーク) によって管理される仮想ネットワークのトラフィック量にも適用されることに注意してください。

仮想ネットワークに同じ仮想ネットワーク マネージャー インスタンスによって複数の構成がデプロイされている場合、その仮想ネットワークには 1 つの料金料金しか発生しません。重複する料金は発生しません。 たとえば、仮想ネットワーク マネージャーが接続構成とセキュリティ管理者構成の両方を 5 つの仮想ネットワークの同じセットにデプロイした場合、その 5 つの仮想ネットワークに対して課金されますが、2 回は課金されません。 このコストは、構成が異なる仮想ネットワーク マネージャー インスタンスから発生しない限り、複数の構成には考慮されません。

2025 年 2 月より前のAzure Virtual Network Manager料金は、アクティブな仮想ネットワーク マネージャー構成がデプロイされた仮想ネットワークを含むサブスクリプションの数に既定で基づいていました。 2025 年 2 月より前に 仮想ネットワーク マネージャー インスタンスを作成した場合は、仮想ネットワーク ベースの価格に切り替えることができます。

Azure Virtual Network Managerのnetwork verifier ツールは、Azure Virtual Network Manager検証ツール ワークスペースで実行された到達可能性分析ごとに課金されます。 この料金は、Azure Virtual Network Manager料金とは別です。

Azure Virtual Network Managerの IP アドレス管理 Azure Virtual Network Managerの IP アドレス管理ツールによって 1 時間単位で管理されるアクティブな IP アドレスあたりの機能料金。 アクティブ IP アドレスは、IP プールに関連付けられている仮想ネットワーク内のネットワーク インターフェイスに関連付けられている任意の IP アドレスとして定義されます。 この料金は、Azure Virtual Network Manager料金とは別です。

お住まいのリージョンの現在の価格については、Azure Virtual Network Manager の価格ページをご覧ください。

Azure Virtual Network Managerをデプロイする方法

Azure Virtual Network Manager インスタンスと構成は、次のようなさまざまなツールを使用してデプロイおよび管理できます。

• Azure portal
• Azure CLI
• Azure PowerShell
• ARM テンプレート
• Terraform
• Bicep

技術

仮想ネットワークは複数のAzure Virtual Network Manager インスタンスに属できますか?

はい。仮想ネットワークは、複数のAzure Virtual Network Manager インスタンスに属することができます。

メッシュ接続構成中にスポーク仮想ネットワークをVirtual WAN ハブに接続して、それらのスポーク仮想ネットワークが直接通信できるようにすることはできますか。

はい。スポーク仮想ネットワークは、メッシュ接続構成中にVirtual WAN ハブに接続できます。 メッシュ化されたグループ内の仮想ネットワークは、相互に直接接続されます。

Azure Virtual Network Manager メッシュの一部である仮想ネットワーク内の IP プレフィックスに対する操作は自動的に伝達されますか?

メッシュ内の仮想ネットワークは自動的に同期されます。IP プレフィックスは自動的に更新されます。 つまり、メッシュ内の仮想ネットワークで IP プレフィックスが変更された後でも、メッシュ内のトラフィックは機能します。

メッシュ接続の構成が意図したとおりに適用されていることを確認するにはどうすればよいですか?

適用された構成を 表示する方法については、ドキュメントを参照してください。 メッシュ接続構成では仮想ネットワークが仮想ネットワーク ピアリングに接続されないため、ピアリング ブレードにメッシュ接続が表示されません。

Azure Virtual Network Managerが作成されたリージョンがダウンした場合はどうなりますか? デプロイされた構成に影響しますか、それとも構成を変更できないだけですか?

構成を変更する機能のみが影響を受けます。 Azure Virtual Network Manager で構成をコミットした後に、それがプログラムされると、動作を続けます。 たとえば、Azure Virtual Network Manager インスタンスがリージョン 1 で作成され、メッシュ トポロジがリージョン 2 で確立されている場合、リージョン 2 のメッシュは、リージョン 1 が使用できなくなった場合でも引き続き機能します。

グローバル メッシュ ネットワーク トポロジとは何ですか?

グローバル メッシュを使用すると、リージョン間の仮想ネットワークが相互に通信できます。 その効果は、グローバル仮想ネットワーク ピアリングの動作に似ています。

作成できるネットワーク グループの数に制限はありますか?

作成できるネットワーク グループの数に制限はありません。

適用されているすべての構成のデプロイを削除するにはどうすればよいですか?

構成が適用されているすべてのリージョンに [なし] 構成をデプロイする必要があります。

自分で管理していない別のサブスクリプションから仮想ネットワークを追加できますか?

はい (それらの仮想ネットワークにアクセスするための適切なアクセス許可がある場合)。

手動で追加されたメンバーと条件付きで追加されたメンバーを持つネットワーク グループ間で、構成のデプロイはどのように異なりますか。

Azure Virtual Network Manager における構成デプロイメントを参照してください。

Azure Virtual Network Manager コンポーネントを削除するにはどうすればよいですか?

「コンポーネントの削除と更新Azure Virtual Network Managerチェックリスト」を参照>。

顧客データAzure Virtual Network Manager格納されますか?

いいえ。 Azure Virtual Network Managerは顧客データを格納しません。

Azure Virtual Network Manager インスタンスを移動できますか?

いいえ。 Azure Virtual Network Managerでは現在、インスタンスを別のリージョン、リソース グループ、またはサブスクリプションに移動する機能はサポートされていません。 インスタンスを移動する必要がある場合は、インスタンスを削除し、Azure Resource Manager テンプレートを使用して目的の場所に別のインスタンスを作成することを検討してください。

Azure Virtual Network Managerを持つサブスクリプションを別のテナントに移動できますか?

いいえ。Azure Virtual Network Manager インスタンスが存在するサブスクリプションを別のテナントに移動することはサポートされていません。 詳細については、「limitations with Azure Virtual Network Manager」を参照してください。

トラブルシューティングのために適用済みの構成を確認するにはどうすればよいですか?

Azure Virtual Network Manager設定は、仮想ネットワークの Network Manager で表示できます。 設定には、適用される構成が表示されます。 詳細については、「Azure Virtual Network Manager によって適用される構成の表示」を参照してください。

Azure Virtual Network Manager インスタンスがあるリージョンですべてのゾーンがダウンした場合はどうなりますか?

地域的な停電が発生した場合、現在管理されている仮想ネットワーク リソースに適用されているすべての構成はそのまま維持されます。 停電中は、新しい構成を作成することも、既存の構成を変更することもできません。 停電が解消されれば、仮想ネットワーク リソースの管理は以前と同じように継続できます。

Azure Virtual Network Managerによって管理されている仮想ネットワークは、非管理対象の仮想ネットワークとピアリングできますか?

はい。 Azure Virtual Network Managerは、手動ピアリングで作成された既存のハブ アンド スポーク トポロジと完全に互換性があります。 ハブとスポークの仮想ネットワーク間の既存のピアリングされた接続を削除する必要はありません。 移行は、お客様のネットワークにダウンタイムが生じることなく行われます。

既存のハブアンドスポーク トポロジをAzure Virtual Network Managerに移行できますか?

はい。 Azure Virtual Network Managerで既存の仮想ネットワークをハブ アンド スポーク トポロジに移行するのは簡単です。 ハブ アンド スポーク トポロジ接続構成を作成できます。 この構成をデプロイすると、必要なピアリングは、Azure Virtual Network Managerが自動的に作成されます。 既存のピアリングはそのまま残るので、ダウンタイムはありません。

仮想ネットワーク間の接続の確立に関して、接続グループは仮想ネットワーク ピアリングとどのような違いがありますか?

Azureでは、仮想ネットワーク ピアリングと接続されたグループは、仮想ネットワーク間の接続を確立する 2 つの方法です。 仮想ネットワーク ピアリングは、仮想ネットワーク間に 1 対 1 のマッピングを作成することによって機能します。一方、接続されたグループは、そのようなマッピングなしで接続を確立する新しいコンストラクトを使用します。

接続グループでは、すべての仮想ネットワークが個々のピアリング関係なしで接続されています。 たとえば、3 つの仮想ネットワークが同じ接続グループに属している場合、個々のピアリング関係を必要とせずに、各仮想ネットワーク間を接続できます。

各方法の効果は同じであり、仮想ネットワーク間で双方向接続が確立されます。 ただし、接続されたグループを使用すると、複数の仮想ネットワークを 1 つのエンティティとして管理でき、ピアリングの制限を超えてより高いスケールの接続を実現できるため、接続の管理が簡素化されます。

仮想ネットワーク ピアリングを使用して仮想ネットワークを管理する場合、Azure Virtual Network Managerで仮想ネットワーク ピアリング料金が 2 回支払われますか?

ピアリングに 2 回目や二重の料金が発生することはありません。 仮想ネットワーク マネージャーは、以前に作成したすべての仮想ネットワーク ピアリングを尊重し、それらの接続を移行します。 仮想ネットワーク マネージャー内または外部のいずれ内に作成された場合でも、すべてのピアリング リソースには 1 つのピアリング料金が発生します。

セキュリティ管理規則に例外を作成できますか?

通常、セキュリティ管理規則は、仮想ネットワーク間のトラフィックをブロックするために定義されます。 ただし、特定の仮想ネットワークとそのリソースでは、管理またはその他のプロセスのためにトラフィックを許可する必要がある場合があります。 このようなシナリオでは、必要に応じて例外を作成することができます。 これらのシナリオで、例外を使用して、リスクの高いポートをブロックする方法について説明します。

リージョンに複数のセキュリティ管理者構成をデプロイするにはどうすればよいですか?

1 つのリージョンにデプロイできるセキュリティ管理者構成は 1 つだけです。 ただし、1 つのリージョンに複数の接続構成が存在する可能性があります。 複数のセキュリティ管理者ルール セットを 1 つのリージョンに展開するには、セキュリティ管理者の構成で 複数のルール コレクションを作成 します。

セキュリティ管理者ルールは、Azureプライベート エンドポイントに適用されますか?

現時点では、セキュリティ管理者ルールは、Azure Virtual Network Managerによって管理される仮想ネットワークのスコープに該当するAzureプライベート エンドポイントには適用されません。

Azure Virtual WAN ハブをネットワーク グループの一部にすることはできますか?

いいえ。現時点では、Azure Virtual WAN ハブをネットワーク グループに含めることはできません。

Azure Virtual Network Managerハブアンドスポーク接続構成で、Azure Virtual WAN インスタンスをハブとして使用できますか。

いいえ。現時点では、Azure Virtual WAN ハブはハブ アンド スポーク トポロジのハブとしてサポートされていません。

私の仮想ネットワークが期待している構成を受け取っていません。 どのようにトラブルシューティングすればよいですか。

考えられる解決策については、次の質問に従います。

仮想ネットワークのリージョンに構成をデプロイしましたか?

Azure Virtual Network Managerの構成は、展開されるまで有効になりません。 適切な構成で、仮想ネットワーク リージョンへのデプロイを行ってください。

仮想ネットワークはスコープ内にありますか?

ネットワーク マネージャーには、スコープ内の仮想ネットワークに構成を適用するのに必要なアクセスしか委任されません。 リソースは、ネットワーク グループ内にあってもスコープ外の場合には構成は受け取れません。

マネージド インスタンスを含む仮想ネットワークにセキュリティ規則を適用していますか?

Azure SQL Managed Instanceには、いくつかのネットワーク要件があります。 これらの要件は、セキュリティ管理規則と競合する目的を持つ、優先度の高いネットワーク インテント ポリシーを通じて適用されます。 既定では、管理者ルールの適用は、これらの意図ポリシーのいずれかを含む仮想ネットワークではスキップされます。 [Allow] 規則は競合のリスクがないため、 で を設定することで 規則を適用することもできます。

セキュリティ構成規則をブロックするサービスを含む仮想ネットワークまたはサブネットに、セキュリティ規則を適用していますか?

特定のサービスでは、適切に機能するために特定のネットワーク要件が必要です。 既定では、セキュリティ管理者ルールは、Azure SQL Managed InstanceまたはAzure Databricksを含む仮想ネットワークには適用されません。 さらに、セキュリティ管理者ルールは、Azure Application Gateway、Azure Bastion、Azure Firewall、Azure Route Server、Azure VPN Gatewayなどのサービスのサブネット レベルでは適用されません。Azure Virtual WAN、Azure ExpressRoute ゲートウェイ。 完全な一覧については、「 セキュリティ管理者ルールの適用不可」を参照してください。 仮想ネットワーク レベルの非適用の場合、Allow ルールは競合のリスクがないため、 .NET クラスにセキュリティ構成の AllowRulesOnly フィールドを設定することで、securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices ルールを適用することを選択できます。

制限

Azure Virtual Network Managerのサービスの制限事項は何ですか?

最新の情報については、「limitations with Azure Virtual Network Manager」を参照してください。

次のステップ

• Azure ポータルを使用して、Azure Virtual Network Manager インスタンスを作成します。