Front Door to Origin via Private Linkを理解するための前提
Front Door origin Private LinkはPremium tierに適用され、supported Azure originへFront Door managed networkからprivate endpoint接続する。 Private Link有効化時、Front Doorがmanaged regional private networkからprivate endpoint requestを作成し、origin ownerがapproveする。
approval完了後、client→Front Door edge→Microsoft backbone→regional cluster→managed private endpoint→originというpathになる。 originはpublic accessを不要にでき、Internetからoriginへdirect bypassされる面を減らせる。
Front Doorのmanaged private endpointはconsumer VNetにユーザー管理NICとして現れる通常Private Endpointとは運用境界が異なる。 同じoriginでPrivate Link region/resource/target subresourceを変更する場合、approval lifecycleとtemporary outageを考慮する。
Control plane / Data plane / Observability
clientはpublic Front Door edgeへ接続。
Front Door regional cluster側でprivate endpointを保持。
Private Link platform経由でsupported originへ到達。
Client-to-backend path
- client requestがFront Door global edgeへ入る。
- route/origin groupがPrivate Link enabled originを選ぶ。
- Front Door regional clusterへMicrosoft backboneで転送する。
- Front Door managed private endpointからPrivate Link platformへ入る。
- approved connectionでorigin private pathへ到達する。
- responseはFront Doorへ戻りedgeからclientへ返る。
仕組みを分解する
「Front Door + Private Link」はclientをVNetへprivate接続する機能ではありません。client側entry pointは依然Front Door edgeです。privateになるのはFront Door→origin区間であり、origin bypass防止とpublic exposure削減が主目的です。
運用時はresource configurationだけで完了判定せず、実clientからの名前解決、TCP/TLS handshake、HTTP status、backend側のsource IP/Host/header、health telemetryを同じtimestampで揃えます。load balancer/proxyがhealthyでもapplication dependencyが壊れている場合があり、逆にbackend applicationが正常でもhealth probe条件やrouting ruleが不整合ならtrafficは到達しません。
設計判断
| 判断軸 | 設計方針 |
|---|---|
| Tier | Private Link originが必要ならPremium。Standardで同等と仮定しない。 |
| Origin support | App Service/Storage/Internal LB等のsupported origin typeとtarget subresourceをcurrent docsで確認する。 |
| Approval ownership | Front Door teamとorigin teamが別ならPending requestのowner/SLAを決める。 |
| Public access | Private Link成功確認後にorigin public accessを閉じ、rollback pathを保持する。 |
確認手順
Read-only verification
- Front Door originのsharedPrivateLinkResource/region/target typeを確認する。
- origin側Private Endpoint connectionsでFront Door requestがApprovedか確認する。
- Front Door経由のrequest成功とorigin direct public access拒否を両方確認する。
- approval change時はhealth/probeとaccess logを継続監視する。
Evidence to keep
- resource ID / subscription / region / frontend / backend targetを保存し、同名resource取り違えを防ぐ。
- DNS answer、source IP、destination IP/port、Host/SNI、health status、timestampを同じincident recordへ残す。
- 変更前後で同じclient journeyをnew connectionとして再実行する。
- Portal表示だけでなくCLI/PowerShell/APIまたはlogsを併用し、観測面の一時差を識別する。
az afd origin show -g <rg> --profile-name <profile> --origin-group-name <group> --origin-name <origin> -o jsonc
az network private-endpoint-connection list --id <origin-resource-id> -o jsoncGet-AzFrontDoorCdnOrigin -ResourceGroupName <rg> -ProfileName <profile> -OriginGroupName <group> -Name <origin>障害切り分け
| 症状 | 第一候補 | 証拠 | 次の確認 |
|---|---|---|---|
| Front Door 503 | PE approval pending | origin connection state | approve request |
| approval済みでfail | target subresource/region | origin config + health | Private Link parameters |
| origin direct access可 | public access残存 | direct curl | public exposure policy |
| 切替直後error | connection provisioning | deployment/activity log | establishment完了待ち |
| mTLS origin期待 | unsupported assumption | Front Door docs | origin auth方式再設計 |
変更時の確認と rollback
- public origin→Private Link切替前にexisting public restrictionを保存する。
- origin public accessを閉じる操作はPrivate Link health確認後に分離して実施する。
- PE approval rejection/deleteはFront Door origin configとの順序を決める。
- rollback後はFront Door経由成功とorigin securityを再評価する。
Current notes — 2026-09-11
Front Door Premiumはorigin Private Linkを正式にサポートする。client-side mTLSをこの機能が代替するわけではない。
Related articles
Official sources
動作、retirement、feature availability、health/TLS behaviorはMicrosoft Learnのcurrent documentationを基準に確認しています。production変更時は対象subscription/region/SKUの最新documentationとresource provider stateを再確認してください。