検索サービスをネットワークセキュリティ境界に追加する

[アーティクル]
12/22/2024

重要

Azure AI 検索によるネットワークセキュリティ境界のサポートは、追加使用条件の下でパブリックプレビュー段階にあります。この機能を提供するリージョンで利用できます。このプレビューバージョンはサービスレベルアグリーメントなしで提供されています。運用環境のワークロードに使用することはお勧めできません。特定の機能はサポート対象ではなく、機能が制限されることがあります。

始める前に、「制限と考慮事項」セクションを確認してください。

この記事では、Azure AI 検索サービスをネットワークセキュリティ境界に参加させて、検索サービスへのネットワークアクセスを制御する方法を説明します。ネットワークセキュリティ境界に参加すると、次のことができます。

同じ境界内の他の Azure リソースとのコンテキストで、検索サービスへのすべてのアクセスをログします。
検索サービスから境界外の他のサービスへのデータ流出をブロックします。
ネットワークセキュリティ境界のインバウンドとアウトバウンドのアクセス機能を使って、検索サービスへのアクセスを許可します。

この記事で説明するように、Azure portal で検索サービスをネットワークセキュリティ境界に追加できます。または、Azure Virtual Network Manager REST API を使って検索サービスを参加させ、Search Management REST API を使って構成設定を表示および同期することもできます。

制限と考慮事項

ネットワークセキュリティ境界内の検索サービスの場合、インデクサーはシステムまたはユーザー割り当てのマネージド ID を使う必要があり、データソースへの読み取りアクセスを許可するロールの割り当てを持っている必要があります。
現在、インデクサーでサポートされているデータソースは、Azure Blob Storage、Azure Cosmos DB for NoSQL、Azure SQL Database に限られます。
現在、境界内では、データ取得のための Azure PaaS へのインデクサー接続が主なユースケースです。 Azure AI サービス、Azure OpenAI、または Azure AI Foundry モデルカタログへのアウトバウンドスキル駆動型 API 呼び出し、または "データとのチャット" のための Azure AI Foundry からのインバウンド呼び出しのシナリオの場合は、要求が境界を通過するのを許可するようにインバウンドとアウトバウンドの規則を構成する必要があります。構造対応のチャンキングとベクトル化のためにプライベート接続が必要な場合は、プライベートネットワークと共有プライベートリンクを作成する必要があります。

前提条件

既存のネットワークセキュリティ境界。作成して検索サービスに関連付けることができます。
任意の課金対象レベルで任意のリージョンの Azure AI 検索。

検索サービスをネットワークセキュリティ境界に割り当てる

Azure ネットワークセキュリティ境界を使うと、管理者は、仮想ネットワークの外部にデプロイされた PaaS リソース (Azure Storage や Azure SQL Database など) に対して論理ネットワーク分離境界を定義できます。それは境界内のリソースへの通信を制限し、インバウンドとアウトバウンドのアクセス規則を通じて境界以外のパブリックトラフィックを許可します。

Azure AI 検索をネットワークセキュリティ境界に追加して、インデックス作成とクエリのすべての要求がセキュリティ境界内で行われるようにすることができます。

Azure portal で、自分のサブスクリプションのネットワークセキュリティ境界サービスを見つけます。
左側のメニューから [リソース] を選びます。
[追加]>[リソースを既存のプロファイルに関連付ける] を選びます。
[プロファイル] で、ネットワークセキュリティ境界を作成したときに作成したプロファイルを選びます。
[関連付け] を選んでから、作成した検索サービスを選びます。
画面の左下のセクションで [関連付け] を選んで、関連付けを作成します。

ネットワークセキュリティ境界のアクセスモード

ネットワークセキュリティ境界では、関連付けられたリソースに対して 2 つの異なるアクセスモードがサポートされています。

モード	説明
学習モード	これが既定のアクセスモードです。 "学習" モードのネットワークセキュリティ境界は、境界が強制モードであったとしたら拒否されていた、検索サービスへのすべてのトラフィックをログします。これにより、ネットワーク管理者は、アクセス規則の適用を実装する前に、検索サービスの既存のアクセスパターンを理解できます。
強制モード	"強制" モードのネットワークセキュリティ境界は、アクセス規則によって明示的に許可されていないすべてのトラフィックをログして拒否します。

モード

説明

学習モード

これが既定のアクセスモードです。 "学習" モードのネットワークセキュリティ境界は、境界が強制モードであったとしたら拒否されていた、検索サービスへのすべてのトラフィックをログします。これにより、ネットワーク管理者は、アクセス規則の適用を実装する前に、検索サービスの既存のアクセスパターンを理解できます。

強制モード

"強制" モードのネットワークセキュリティ境界は、アクセス規則によって明示的に許可されていないすべてのトラフィックをログして拒否します。

ネットワークセキュリティ境界と検索サービスのネットワーク設定

publicNetworkAccess 設定は、ネットワークセキュリティ境界との検索サービスの関連付けを決定します。

学習モードでは、publicNetworkAccess 設定によってリソースへのパブリックアクセスが制御されます。
強制モードでは、publicNetworkAccess 設定はネットワークセキュリティ境界の規則によってオーバーライドされます。たとえば、publicNetworkAccess 設定が enabled である検索サービスが強制モードでネットワークセキュリティ境界に関連付けられている場合、検索サービスへのアクセスは、やはりネットワークセキュリティ境界アクセスの規則によって制御されます。

ネットワークセキュリティ境界のアクセスモードを変更する

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のメニューで [リソース] を選びます。
テーブルで検索サービスを見つけます。
検索サービス行の右端にある 3 つのドットを選びます。ポップアップで [アクセスモードの変更] を選びます。
目的のアクセスモードを選んで、[適用] を選びます。

ネットワークアクセスのログを有効にする

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のメニューで [診断設定] を選びます。
[診断設定の追加] を選択します。
[診断設定の名前] に、"診断" などの任意の名前を入力します。
[ログ] の下の [allLogs] を選択します。 [allLogs] を選ぶと、ネットワークセキュリティ境界内のリソースに対するすべてのインバウンドとアウトバウンドのネットワークアクセスがログされます。
[宛先の詳細] で、[ストレージアカウントへのアーカイブ] または [Log Analytics ワークスペースへの送信] を選びます。ストレージアカウントは、ネットワークセキュリティ境界と同じリージョンに存在する必要があります。既存のストレージアカウントを選択することも、新しいストレージアカウントを作成することもできます。 Log Analytics ワークスペースは、ネットワークセキュリティ境界で使われているものとは異なるリージョンでもかまいません。その他の適用可能な宛先をどれでも選択できます。
[保存] を選んで診断設定を作成し、ネットワークアクセスのログを始めます。

ネットワークアクセスログの読み取り

Log Analytics ワークスペース

network-security-perimeterAccessLogs テーブルには、すべてのログカテゴリのすべてのログが含まれています (network-security-perimeterPublicInboundResourceRulesAllowed など)。すべてのログには、ログカテゴリと一致するネットワークセキュリティ境界のネットワークアクセスの記録が含まれます。

network-security-perimeterPublicInboundResourceRulesAllowed ログ形式の例を次に示します。

列名	意味	例の値
ResultDescription	ネットワークアクセス操作の名前	POST /indexes/my-index/docs/search
プロファイル	検索サービスが関連付けられたネットワークセキュリティ境界	defaultProfile
ServiceResourceId	検索サービスのリソース ID	`search-service-resource-id`
一致した規則	ログで一致した規則の JSON の説明	`{ "accessRule": "IP firewall" }`
SourceIPAddress	インバウンドネットワークアクセスのソース IP (該当する場合)	1.1.1.1
AccessRuleVersion	ネットワークアクセス規則を強制するために使われた network-security-perimeter アクセス規則のバージョン	0

ストレージアカウント

ストレージアカウントには、すべてのログカテゴリに対してコンテナーがあります (たとえば、insights-logs-network-security-perimeterpublicinboundperimeterrulesallowed)。コンテナー内のフォルダー構造は、ネットワークセキュリティ境界のリソース ID およびログが取得された時刻と一致します。 JSON ログファイルの各行には、ログカテゴリと一致するネットワークセキュリティ境界のネットワークアクセスの記録が含まれます。

たとえば、インバウンド境界規則の許可カテゴリログでは、次の形式が使われます。

"properties": {
    "ServiceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/network-security-perimeter/providers/Microsoft.Search/searchServices/network-security-perimeter-search",
    "Profile": "defaultProfile",
    "MatchedRule": {
        "AccessRule": "myaccessrule"
    },
    "Source": {
        "IpAddress": "255.255.255.255",
    }
}

検索サービスに対するアクセス規則を追加する

ネットワークセキュリティ境界プロファイルでは、境界経由のアクセスを許可または拒否する規則を指定します。

境界内では、すべてのリソースがネットワークレベルで相互にアクセスできます。それでも認証と認可を設定する必要がありますが、ネットワークレベルでは、境界の内部からの接続要求は受け入れられます。

ネットワークセキュリティ境界の外部にあるリソースの場合は、インバウンドとアウトバウンドのアクセス規則を指定する必要があります。インバウンド規則では、入ることを許可する接続を指定し、アウトバウンド規則では、出ることを許可する要求を指定します。

検索サービスは、Azure AI Foundry、Azure OpenAI Studio、Azure Machine Learning プロンプトフローなどのアプリや、インデックス作成またはクエリ要求を送信するすべてのアプリからの受信要求を受け入れます。検索サービスは、インデクサーベースのインデックス作成とスキルセットの実行の間にアウトバウンド要求を送信します。このセクションでは、Azure AI Search のシナリオでインバウンドとアウトバウンドのアクセス規則を設定する方法について説明します。

Note

ネットワークセキュリティ境界に関連付けられているすべてのサービスは、同じネットワークセキュリティ境界に関連付けられている他のサービスへのインバウンドとアウトバウンドのアクセスが、マネージド ID とロールの割り当てを使って認証されたときは、そのアクセスを暗黙的に許可します。ネットワークセキュリティ境界の外部のアクセスを許可するとき、または API キーを使って認証されたアクセスに対してのみ、アクセス規則を作成する必要があります。

インバウンドアクセス規則を追加する

インバウンドアクセス規則では、インターネットおよび境界の外部のリソースが、境界の内部のリソースと接続するのを許可できます。

ネットワークセキュリティ境界では、2 種類のインバウンドアクセス規則がサポートされています。

IP アドレス範囲。 IP アドレスまたは範囲は、クラスレスドメイン間ルーティング (CIDR) 形式である必要があります。 192.0.2.0/24 は CIDR 表記の例であり、これは 192.0.2.0 から 192.0.2.255 の範囲の IP を表します。この種類の規則では、範囲内の任意の IP アドレスからのインバウンド要求が許可されます。
サブスクリプション。この種類の規則では、サブスクリプションからの任意のマネージド ID を使って認証されたインバウンドアクセスが許可されます。

Azure portal でインバウンドアクセス規則を追加するには:

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のメニューで [プロファイル] を選びます。
ネットワークセキュリティ境界で使っているプロファイルを選びます
左側のメニューで [受信アクセス規則] を選びます。
[追加] を選択します。

次の値を入力または選択します。

設定	値
規則の名前	インバウンドアクセス規則の名前 (例: "MyInboundAccessRule")。
Source Type	有効な値は、IP アドレス範囲またはサブスクリプションです。
許可されるソース	IP アドレス範囲を選んだ場合は、インバウンドアクセスを許可する IP アドレス範囲を CIDR 形式で入力します。 Azure の IP 範囲は、こちらのリンクでわかります。サブスクリプションを選んだ場合は、インバウンドアクセスを許可するサブスクリプションを使います。

[追加] を選んで、インバウンドアクセス規則を作成します。

アウトバウンドアクセス規則を追加する

検索サービスは、インデクサーベースのインデックス作成とスキルセットの実行の間にアウトバウンド呼び出しを行います。インデクサーのデータソース、Azure AI サービス、またはカスタムスキルロジックがネットワークセキュリティ境界の外部にある場合は、検索サービスが接続を行うのを許可するアウトバウンドアクセス規則を作成する必要があります。

パブリックプレビューでは、Azure AI 検索はセキュリティ境界内の Azure Storage または Azure Cosmos DB にのみ接続できることを思い出してください。インデクサーが他のデータソースを使う場合は、その接続をサポートするためのアウトバウンドアクセス規則が必要です。

ネットワークセキュリティ境界は、アクセス先の完全修飾ドメイン名 (FQDN) に基づいてアウトバウンドアクセス規則をサポートします。たとえば、ネットワークセキュリティ境界に関連付けられているサービスから FQDN (mystorageaccount.blob.core.windows.netなど) へのアウトバウンドアクセスを許可できます。

Azure portal でアウトバウンドアクセス規則を追加するには:

Azure portal でネットワークセキュリティ境界リソースに移動します。
左側のメニューで [プロファイル] を選びます。
ネットワークセキュリティ境界で使っているプロファイルを選びます
左側のメニューで [送信アクセス規則] を選びます。
[追加] を選択します。

次の値を入力または選択します。

設定	値
規則の名前	アウトバウンドアクセス規則の名前 (例: "MyOutboundAccessRule")
変換先の型	FQDN のままにします
許可される宛先	アウトバウンドアクセスを許可する FQDN のコンマ区切りの一覧を入力します

[追加] を選んで、アウトバウンドアクセス規則を作成します。

ネットワークセキュリティ境界を経由する接続をテストする

ネットワークセキュリティ境界を経由する接続をテストするには、インターネットに接続できるローカルコンピューターまたは Azure VM で、Web ブラウザーにアクセスする必要があります。

ネットワークセキュリティ境界の関連付けを強制モードに変更して、検索サービスへのネットワークアクセスに対するネットワークセキュリティ境界要件の適用を始めます。
ローカルコンピューターまたは Azure VM のどちらを使うかを決めます。
1. ローカルコンピューターを使っている場合は、自分のパブリック IP アドレスを知っている必要があります。
2. Azure VM をお使いの場合は、プライベートリンクを使うこと、またはAzure portal を使って IP アドレスを調べることができます。
IP アドレスを使うと、その IP アドレスのアクセスを許可するインバウンドアクセス規則を作成できます。プライベートリンクを使っている場合は、このステップを省略できます。
最後に、Azure portal で検索サービスに移動してみます。インデックスを問題なく表示できる場合、ネットワークセキュリティ境界は正しく構成されています。

ネットワークセキュリティ境界の構成を表示して管理する

ネットワークセキュリティ境界構成 REST API を使用して、境界の構成の確認と調整を行うことができます。

プレビュー API バージョン 2024-06-01-preview を必ずお使いください。 Management REST API を呼び出す方法を学ぶ。

次の方法で共有

検索サービスをネットワークセキュリティ境界に追加する

制限と考慮事項

前提条件