PaaS Private Access Decision Matrix

Scope: Microsoft Learn / Azure Architecture Centerの一次資料を2026-09-11時点で確認し、旧来の短い記事を公開運用向けdeep diveへ更新。SKU、region、limits、Preview statusは変わるため、実装直前にOfficial sourcesを再確認してください。

PaaS Private Access Decision Matrixを理解するための前提

Private EndpointはVNet内private IPをservice instanceへ割り当て、Private Link経由でprivate connectivityを提供する。 Service Endpointはservice public endpointを使いながらsubnet identityをPaaS側ACLへ渡す。

MicrosoftはPaaS private accessでAzure Private Linkを推奨している。 on-premからprivate routeでPaaSへ到達する要件はPrivate Endpoint + hybrid DNSが基本。

Private EndpointはDNS設計が成否を左右し、privatelink zone/link/forwardingを誤るとpublic endpointへ解決される。 public firewall allowlistは最も単純だがpublic endpoint exposure、egress IP固定、allowlist管理を引き受ける。

通信や判断の流れを追う

ClientDNS queryResolver / Private DNSPrivate endpointService

Control plane と data plane

Control planePrivate Endpoint resource/connection approval、service public network access、service endpoint ACL、Private DNS zone/linkがcontrol plane。

Data planeclientのDNS解決結果がpublic/private destinationを決め、route/security/NATを経てPaaS endpointへ到達する。

仕組みと設計上の意味

選定は「securityが強い順」だけでなくhybrid reachability、DNS ownership、cost、scale、operationsで決める。

Private Endpointを使ってもservice public accessを残せば別pathが存在するため、exposure policyを明示する。

Service EndpointはDNS変更が少なく簡単だが、private IP endpointではない。

Firewall allowlistはNAT egress identity変更がincident要因になるため、egress lifecycleを管理する。

Packet / decision path

source→destinationを1本のflowとして固定し、名前解決・routing・security・NAT/service processing・return pathを必要な範囲で順に確認する。

private connectivity/no public exposure要件を決める。
on-prem/cross-VNet access要件を確認。
DNS ownershipとresolver pathを決める。
service-side firewall/public access policyを決める。
packet/DNS pathを検証してからpublic pathを閉じる。

設計判断

判断点	推奨	理由
No public endpoint	Private Endpoint	private IP + Private Link
Azure subnet制限中心	Service Endpoint	簡易でDNS変更少
On-prem private PaaS	Private Endpoint + Private Resolver	hybrid private DNSを構成
Temporary simple allow	Public firewall + fixed egress	exposure/allowlist運用を受容

確認手順

Azure Portal

PaaS NetworkingでPublic network access/Private endpoint/VNet rulesを確認。
Private DNS zoneとVNet linksを確認。
clientからFQDN→IPとTCP connectionを両方検証。

Evidence contract

Identitysubscription / resource group / resource ID / regionを固定。

Before / After同じsource・destination・protocol・portで比較。

Effective state設定値だけでなくeffective route/security/health/logを取得。

Runtimecontrol-plane Succeededとapplication successを分けて判定。

Azure CLI — read-only first

az network private-endpoint list -g <rg> -o table
az network vnet subnet show -g <rg> --vnet-name <vnet> -n <subnet> --query serviceEndpoints -o jsonc
az network private-dns link vnet list -g <rg> -z <zone> -o table

PowerShell — read-only first

Get-AzPrivateEndpoint -ResourceGroupName <rg>
Get-AzPrivateDnsVirtualNetworkLink -ResourceGroupName <rg> -ZoneName <zone>

障害切り分け

症状	疑う点	証拠	次の確認
PE作成後もpublic IP解決	private DNS zone/link不足	nslookup + zone links	DNS integration修正
on-premだけ解決不可	conditional forwarding/inbound endpoint不足	on-prem resolver logs	hybrid DNS修正
Service Endpointで403	service ACL不足	service networking config	subnet rule追加
allowlist環境で断続失敗	egress IP変動	observed source IP	explicit egressへ移行

変更・rollback

Private Endpoint migrationはpublic pathを即閉じずparallel verify後にrestrict。
DNS TTL/cacheを考慮してcutover windowを設ける。
rollback時はservice public network accessとDNSの両方を戻す。
approval workflow/connection stateをevidenceとして保存。

PaaS Private Access Decision Matrix