Azure Networking Lifecycle / Retirements

Scope: Microsoft Learnの一次資料を2026-09-11時点で確認したPlatform Referenceです。quota、role、API version、retirement、service healthは更新されるため、production change直前にOfficial sourcesを再確認してください。

Azure Networking Lifecycle / Retirementsを理解するための前提

Application Gateway v1は2026-04-28にretired済みで、Microsoftはsupport/SLAを提供せず、残存v1 trafficはdecommissionに伴い保証されない。 Basic SKU Public IPとBasic Load Balancerは2025-09-30にretired済み。productionではStandardへの移行を急ぐ必要がある。

Azure Front Door (classic)は2027-03-31にretire予定で、new profile/domain onboarding/managed certificate等は既に制限されている。 NSG Flow Logsは2027-09-30にretire予定で、2025-06-30以降new creation不可。VNet Flow Logsへ移行する。

default outbound accessはimplicit behaviorに依存せずexplicit outboundへ移行し、2026-03-31後のAPIで作る新VNetがprivate subnet既定になる変更も設計baselineへ反映する。

通信や判断の流れを追う

症状を再現設定を確認能動試験ログ / packetアプリ確認

Control plane と Data plane

Control planeARM、Azure RBAC、Resource Graph、Activity Log、provider metadata、Service Health等からresourceの存在・権限・変更・platform状態を確認する。

Data plane実際のpacket/request成功は、effective route/security、DNS、health probe、flow/resource logs、synthetic test等で別途証明する。control-plane Succeededだけで通信成功としない。

仕組みと設計上の意味

retirementは「期限当日に突然知る」ものではなく、inventory → impact → target design → migration → validation → old resource removalのprogramとして扱います。Azure networkingはpublic endpoint、DNS、TLS certificate、source IP、logging schemaなど外部依存が多く、SKUを置き換えるだけでは完了しません。

対象	状態 / 日付	推奨action
Application Gateway v1	Retired 2026-04-28	残存v1をv2へ至急移行。support/SLAなし。
Basic Public IP	Retired 2025-09-30	Standard SKUへupgrade/migrate。
Basic Load Balancer	Retired 2025-09-30	Standard Load Balancerへ移行。
Azure Front Door (classic)	Retires 2027-03-31	Standard/Premiumへmigration。certificate/domain制約を先に確認。
NSG Flow Logs	Retires 2027-09-30	VNet Flow Logsへ移行。既存Storage recordのretentionは別管理。
Default outbound access	Behavior transition	NAT Gateway/Firewall/NVA等のexplicit outboundを設計。新VNet private subnet既定を前提化。

重要: retirement date、new creation block、support終了、data-plane停止、resource deletionは同じ日とは限りません。各serviceの公式retirement FAQでmilestoneを分けて追跡します。

Operational / decision path

対象scopeと時刻を固定し、read-only evidence → 判断 → change → same testで再検証の順を崩さない。

Resource Graph/CLIでlegacy SKU/featureをinventoryし、owner/workload/regionを紐付ける。
公式retirement pageからmilestoneを「new creation停止」「support終了」「data-plane影響」「削除」に分解する。
target SKU/serviceのfeature gap、IP/DNS/TLS/logging/price/zone behaviorを比較する。
parallel/preview migrationを実施し、same test vectorでpositive/negative/observabilityを検証する。
cutover後はrollback windowを経てold resourceを削除し、inventory queryで0件を確認する。

設計判断

判断点	推奨	理由
Retirement register	owner・deadline・resource IDs・targetを一元管理	ニュースではなく実resource単位で追える
Migration	data plane + observability + operationsを同時移行	trafficだけ成功してlogs/alertsが消えるのを防ぐ
Deadline	vendor dateより内部期限を前倒し	change freeze/障害/証明書更新のbufferを確保
Rollback	irreversible migrationを事前識別	Front Door等はmigration semanticsを確認してcutover計画を分ける

確認手順

Azure Portal

Resource Graph Explorer/All resourcesでSKU・resource type・flow log resource等をinventory。
Advisor/Service Health/retirement notificationsも参照し、ownerへactionを割り当て。
migration後にold SKU/featureが残っていないか再inventory。

Evidence contract

Identitytenant / subscription / resource ID / region / principalを可能な限り固定。

TimeUTC time rangeと実行時刻を記録し、変更・障害timelineと結ぶ。

Scopesubscription/region/resource typeなど、その値が意味を持つscopeを必ず残す。

Runtimecontrol-plane evidenceと実通信/data-plane evidenceを分けて保存。

Read-only first: 以下のCLI/PowerShellは原則として参照系から開始します。コメントでMUTATINGと示した操作は、必要性・scope・rollbackを確認した後にのみ実行します。

Azure CLI

# example: legacy Application Gateway v1 candidates
az graph query -q "Resources | where type =~ 'microsoft.network/applicationgateways' | extend skuName=tostring(properties.sku.name), skuTier=tostring(properties.sku.tier) | project name,resourceGroup,subscriptionId,location,skuName,skuTier,id" -o table

# example: NSG flow log resources
az graph query -q "Resources | where type =~ 'microsoft.network/networkwatchers/flowlogs' | project name,resourceGroup,subscriptionId,location,id,properties" -o jsonc

# explicit outbound audit needs VNet/subnet + NAT/UDR/LB/Firewall context; do not infer from one property only.

PowerShell

Search-AzGraph -Query "Resources | where type =~ 'microsoft.network/applicationgateways' | extend skuName=tostring(properties.sku.name), skuTier=tostring(properties.sku.tier) | project name,resourceGroup,subscriptionId,location,skuName,skuTier,id"

Search-AzGraph -Query "Resources | where type =~ 'microsoft.network/networkwatchers/flowlogs' | project name,resourceGroup,subscriptionId,location,id"

障害切り分け

症状	疑う点	証拠	次の確認
retired serviceがまだ稼働	support/SLAなし・decommission risk	resource inventory + official notice	緊急migration planを作る
migration後にmonitoringが消えた	diagnostic category/table差	before/after logs + diagnostic settings	observabilityをtarget serviceへ再構成
source IP/allowlistが変わった	SKU/egress/frontend IP変更	public IP/DNS/firewall evidence	consumer allowlistとNAT behaviorを確認
期限前だがnew creation不可	creation block milestoneがretirementより早い	official FAQ timeline	既存resource更新可否とtarget migrationを確認

変更・rollback

retirement migrationは通常change freeze直前まで待たない。内部deadlineを前倒しし、複数windowを確保する。
cutover前にDNS TTL、certificate binding、health probes、WAF policy、diagnostic settings、source/destination IP dependenciesをinventoryする。
irreversible migrationやold resource deleteはrollback方法を明示し、必要ならparallel targetを保持する。
完了条件は「new serviceが作れた」ではなく、end-to-end traffic、negative test、logs/alerts、restart/redeploy後、old legacy inventory=0まで含める。

変更前後で保存する証拠

Before対象resource IDs、関連設定、current state、query/command出力。

Changeactor、ticket/deployment ID、correlation ID、開始/終了時刻。

Aftersame command/queryとsame test vectorで差分確認。

Rollback戻す条件、戻す対象、rollback後に再実行する観測。

Azure Networking Lifecycle / Retirements