NSG Flow Logs Retirementを理解するための前提
NSG Flow Logsは2027-09-30にretire予定。 新規NSG Flow Logは2025-06-30以降作成できない。
MicrosoftはVNet Flow Logsへのmigrationを推奨し、VNet scopeでより広いtraffic visibilityを提供する。 retirement後、NSG Flow Log resourceとNSG Flow Logs向けTraffic Analytics supportは終了する。
既存Storage上のNSG Flow Log recordはAzureがretirement時に削除せず、設定されたretention policyに従う。 migrationではVNet Flow Logsを先にenable・data到着確認してからNSG Flow Logsをdisableし、visibility gapを避ける。
Control plane と data plane
仕組みと設計上の意味
migration inventoryは「NSG resource」ではなくactive flow log resourceとstorage/analytics destinationを一覧化する。
VNet Flow Logsへ並行移行中はduplicate data/ingestion costを考慮する。
historic NSG logsを保持する要件はStorage lifecycle/retentionで管理する。
dashboard/KQLがNSG-specific schema/pathへ依存していないか確認する。
Packet / decision path
source→destinationを1本のflowとして固定し、名前解決・routing・security・NAT/service processing・return pathを必要な範囲で順に確認する。
- active NSG Flow Logsをinventory。
- 対応VNetでVNet Flow Logsをenable。
- Storage/Traffic Analyticsでnew dataを確認。
- dashboard/KQL/alertをvalidation。
- NSG Flow Logsをdisableし重複/retentionを確認。
設計判断
| 判断点 | 推奨 | 理由 |
|---|---|---|
| Migration order | VNet logs先行 | visibility gapを防ぐ |
| Retention | Storage policyを確認 | historic evidence保持 |
| Analytics | KQL/dashboardを回帰確認 | schema/scope差に対応 |
| Cleanup | old flow log resourceを計画削除 | retirement前に依存解消 |
確認手順
Azure Portal
- Network Watcher → Flow logsでactive resourcesを確認。
- VNet Flow Logのtarget/storage/Traffic Analytics設定を確認。
- Log Analytics/Storageでnew timestampのrecord到着を確認。
Evidence contract
az network watcher flow-log list -g <network-watcher-rg> -o table
az network watcher flow-log show -g <network-watcher-rg> -n <flow-log> -o jsoncGet-AzNetworkWatcherFlowLog -NetworkWatcherName <watcher> -ResourceGroupName <rg>障害切り分け
| 症状 | 疑う点 | 証拠 | 次の確認 |
|---|---|---|---|
| VNet logにdataなし | target/storage/permission/config | flow log state + storage | configuration修正 |
| Traffic Analytics差異 | workspace/config/schema | workspace ingestion | query/dashboard更新 |
| 重複記録 | 新旧logging併存 | same flow/time | cutover後old disable |
| historic log消失懸念 | Storage retention誤設定 | lifecycle policy | retention是正 |
変更・rollback
- 旧logをdisableする前にVNet log到着をobservableに確認。
- Storage container/lifecycleをback up/document。
- dashboard/alert rollback用に旧queryを保存。
- retirement dateを待たずmigration完了をacceptanceにする。