Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
特定のAzure PaaSへsubnet制御を委譲し、サービスが必要なnetwork configurationを作成できるようにする機構。
Key technical points
- delegation対象サービスごとに許可される構成や同居可否が異なる。
- delegated subnetへNSG/UDRを付ける場合はサービス固有requirementsを先に確認する。
- App Service、Container Apps、Application Gateway for Containersなどでdelegationが設計要素になる。
Design guidance
- address overlapとfuture growthを最初に潰す。VNet/Subnetは後から変更できても、接続済み環境のrenumberingは高コスト。
- resourceをpublic IPへ直接出すより、managed ingress/egress serviceを境界として設計する。
- subnetへ付くNSG/UDR/NAT/delegation/service endpointを一覧化し、1つのsubnetに役割を詰め込み過ぎない。
Operations checklist
- VNet/Subnet address rangeと関連resourceをinventoryする。
- NIC effective routes/NSGを代表VMで確認する。
- public exposureとexplicit outbound methodを確認する。
Common pitfalls
- CIDR overlapを後工程で発見する。
- subnetを小さく切り過ぎ、managed serviceのscale-out余地がなくなる。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。