Azure Front Door Standard/Premiumを理解するための前提
Azure Front Door Standard/PremiumはMicrosoft global edge上のLayer 7 reverse proxy/CDNで、HTTP(S) global entry pointを提供する。 clientはnearest/appropriate Front Door edgeへ到達し、Front Doorがoriginへ別connectionを張る。
origin groupではhealth、priority、weight、latency等を組み合わせてorigin selectionを行う。 origin host headerはbackend virtual host/TLS/application behaviorに影響する。original Host preservationが必要なら設定意図を明確にする。
Front DoorはX-Forwarded-For、X-Forwarded-Host、X-Forwarded-Proto、X-Azure-FDID等をoriginへ付与する。 public originはAzureFrontDoor.Backend service tag + X-Azure-FDID検証、またはPremium Private Linkでorigin bypassを減らす。
Control plane / Data plane / Observability
Anycast edgeでclient connectionを受ける。
health/priority/weight/latencyからoriginを選ぶ。
Private Linkまたはservice tag + Front Door IDでdirect-origin bypassを抑える。
Client-to-backend path
- client DNSがFront Door endpoint/custom domainへ解決する。
- clientが近傍Microsoft edgeへHTTPS接続する。
- route/rules/WAF/cache policyをedgeで評価する。
- origin groupからenabled + healthy originをrouting methodで選ぶ。
- Front Doorがoriginへbackend connectionを張り、X-Forwarded-*等を追加する。
- origin responseをcache/rules適用後clientへ返す。
仕組みを分解する
Front DoorはDNS steering serviceではなくproxyです。Traffic Managerと違い、clientは選ばれたorigin IPへ直接接続しません。そのためorigin側のsourceはFront Door backend infrastructureで、client identityはheaders/logで扱います。public originをInternetへ開いたままだとFront Doorを迂回できるため、origin securityを配信設計の一部にします。
運用時はresource configurationだけで完了判定せず、実clientからの名前解決、TCP/TLS handshake、HTTP status、backend側のsource IP/Host/header、health telemetryを同じtimestampで揃えます。load balancer/proxyがhealthyでもapplication dependencyが壊れている場合があり、逆にbackend applicationが正常でもhealth probe条件やrouting ruleが不整合ならtrafficは到達しません。
設計判断
| 判断軸 | 設計方針 |
|---|---|
| Standard vs Premium | managed WAF/Private Link等が必要ならPremiumを基準にfeature matrixを確認する。 |
| Origin placement | multi-regionでlatency/failoverを使うか、single originでedge caching/accelerationだけ使うかを分ける。 |
| Host preservation | application custom domain/auth/cookie要件があるならincoming Hostを維持する構成を検討する。 |
| Origin lock-down | public originはservice tag + X-Azure-FDID、可能ならPremium Private Linkを使う。 |
確認手順
Read-only verification
- endpoint/domain/route/origin group/origin associationをresource IDで辿る。
- origin health、priority、weight、enabled stateを確認する。
- origin logでHost、X-Forwarded-For、X-Azure-FDIDを確認する。
- origin direct URL/IPへ外部からアクセスできない、または拒否されることを確認する。
Evidence to keep
- resource ID / subscription / region / frontend / backend targetを保存し、同名resource取り違えを防ぐ。
- DNS answer、source IP、destination IP/port、Host/SNI、health status、timestampを同じincident recordへ残す。
- 変更前後で同じclient journeyをnew connectionとして再実行する。
- Portal表示だけでなくCLI/PowerShell/APIまたはlogsを併用し、観測面の一時差を識別する。
az afd profile show -g <rg> --profile-name <profile> -o jsonc
az afd endpoint list -g <rg> --profile-name <profile> -o table
az afd origin-group list -g <rg> --profile-name <profile> -o jsonc
az afd origin list -g <rg> --profile-name <profile> --origin-group-name <group> -o jsoncGet-AzFrontDoorCdnProfile -ResourceGroupName <rg> -Name <profile>
Get-AzFrontDoorCdnOriginGroup -ResourceGroupName <rg> -ProfileName <profile>障害切り分け
| 症状 | 第一候補 | 証拠 | 次の確認 |
|---|---|---|---|
| 503/504 | origin unhealthy/timeout | Front Door access + health | origin group/probe |
| redirect/cookie異常 | Host mismatch | origin Host/Location | host preservation |
| origin bypass可能 | public origin open | direct curl | service tag/FDID/Private Link |
| client IP不明 | proxy sourceを見ている | X-Forwarded-For/X-Azure-ClientIP | header trust |
| region failoverしない | health/priority/weight | origin health | routing method確認 |
変更時の確認と rollback
- route/origin group/origin configをexportする。
- DNS custom domain cutoverはTTL/certificate stateを事前確認する。
- origin host header変更はauth/redirect/cookieまで回帰試験する。
- rollback後はFront Door経由とdirect-origin拒否の両方を確認する。
Current notes — 2026-09-11
Azure Front Door (classic) は2027-03-31に廃止予定です。2026-09-11時点でclassicはprofile新規作成、新規domain onboarding、managed certificateを既にサポートしていません。新規設計はStandard/Premiumを対象とし、既存classicは廃止日前のmigrationを計画します。
Related articles
Official sources
動作、retirement、feature availability、health/TLS behaviorはMicrosoft Learnのcurrent documentationを基準に確認しています。production変更時は対象subscription/region/SKUの最新documentationとresource provider stateを再確認してください。