IPAMを『空きCIDR一覧』ではなく、address ownershipとdelegationを持つorganization-wide controlとして設計する。pool hierarchy、allocation lifecycle、直接CIDR割当の防止、IPv4/IPv6、region availabilityを明示し、IPAM recordと実VNet address spaceのdriftを監視する。
VNM IP Address Management (IPAM)を理解するための前提
AVNM IPAMはIP address spaceをpoolとして管理し、VNetへnon-overlapping CIDRを払い出すことでチーム個別採番による重複リスクを下げる。 poolはhierarchicalに構成でき、Microsoftのcurrent design guidanceではroot poolの下に最大7層のchild poolを作成できる。region / business unit / environment等にdelegationできる。
IPv4とIPv6を扱え、poolからのallocationを複数regionのVNetへ提供できる。resource削除で解放されたCIDRはpoolへ戻り再利用対象になる。 IPAM Pool User等のdelegated permissionを使い、workload teamへpool定義を変更させずにaddress allocationの利用だけを委任できる。
IPAMを導入しても、利用者がIPAM外でVNet address spaceを直接指定できる経路が残る場合がある。Microsoft guidanceはAzure PolicyでIPAM complianceを強制する考え方を示している。 address planはCIDR重複だけでなく、hybrid summarization、future growth、Private Endpoint密度、AKS等のIP消費、region failoverを考慮する。
IPAMのservice availabilityはregionで変わり得る。design documentに固定コピーした対応regionだけを根拠にせず、deployment前にcurrent Microsoft Learnを確認する。
Ownership / Control / Data plane boundary
root poolとorganization address strategyをcentral network/IPAM teamが所有する。
region / BU / environment単位のchild poolをdelegated ownerへ渡し、利用範囲を限定する。
workloadは必要prefix sizeを要求し、poolから重複しないCIDRを取得する。
実際のVNet address spaceとIPAM allocation recordが一致しているかをPolicy/drift checkで確認する。
Architecture model
設計判断
| 判断軸 | 推奨する問い | 設計時に固定するもの |
|---|---|---|
| Root pool | on-prem / cloud / acquired networkを含むどのaddress rangeをAzure IPAMのauthorityにするか。 | source of truth、reserved/external ranges、overlap scan。 |
| Hierarchy | region・BU・environmentのどの順でdelegationするか。 | pool levels、owner、minimum/maximum allocation size。 |
| Allocation unit | workloadへ最初からどのprefix sizeを渡すか。 | growth model、subnet reserve、PE/AKS consumption、expansion rule。 |
| Compliance | IPAM外の直接address assignmentをどう防ぐか。 | Azure Policy、exception、audit/remediation process。 |
| Lifecycle | delete/reuse時にquarantine期間やdependency確認が必要か。 | release process、DNS/route reference cleanup、reuse policy。 |
| Hybrid summary | ExpressRoute/VPN/BGPでどのprefixをsummary可能にするか。 | regional supernet、advertisement boundary、DR/failover plan。 |
実装・展開の順序
- 既存CIDR inventoryを取得する。 Azure VNetだけでなくon-prem、other cloud、VPN partner、reserved rangeを集約しoverlapを検査する。
- root/child pool hierarchyを設計する。 routing summarizationとownershipに意味のある境界だけを採用する。
- delegated roleを最小権限で付与する。 workload teamには必要poolのallocation利用だけを委任する。
- canary workloadでallocationする。 既存VNetとの重複、subnet plan、hybrid route、DNS/Private Endpointを含めて確認する。
- Policy complianceを有効化する。 IPAM外直接割当の検知/拒否を段階展開し、既存legacy VNetはexception inventoryへ分離する。
- driftとcapacityを監視する。 pool utilization、largest free block、released CIDR、runtime VNetとの不一致を継続レビューする。
Platform team / Workload team の責任分界
| 領域 | Platform / central team | Workload / application team |
|---|---|---|
| Enterprise range | root pool、reserved range、hybrid overlap policyを管理。 | 必要address demandのforecastを提供。 |
| Delegated pools | regional/BU child poolとrole assignmentを管理。 | 割当権限のあるpoolだけを利用し、勝手に新rangeを採番しない。 |
| VNet allocation | allocation standard / prefix-size guardrailを定義。 | workload growthに必要なprefix sizeとsubnet planを設計。 |
| Compliance | Azure Policyとexception inventoryを管理。 | legacy/direct assignmentの例外理由と期限を維持。 |
| Lifecycle | release/reuse、capacity forecastを管理。 | resource delete前にDNS/route/peer dependencyをcleanup。 |
Verification / review evidence
設計レビューで残す証拠
- enterprise CIDR inventoryとoverlap scan結果
- IPAM pool hierarchy / owner / delegated role一覧
- workload allocation recordと実VNet address spaceの対応表
- pool utilizationと将来growth forecast
- Policy compliance / exception一覧
- release/reuse時のroute/DNS/peering dependency確認
runtimeで確認すること
- 新規allocationが同一pool hierarchy内で既存CIDRと重複しないこと
- delegated userがpool定義変更なしに許可されたallocationだけ実行できること
- IPAM外直接割当がPolicy設計通りaudit/denyされること
- allocated CIDRがVNet/subnetへ反映されhybrid routeと衝突しないこと
- resource削除後のrelease状態が期待通りで、参照残りがないこと
- capacity alertが枯渇直前ではなくlarge-block fragmentationも含め検知できること
az network manager ipam-pool list --network-manager-name <manager> --resource-group <rg> -o tableaz network manager list -o tableCommon failure modes
| 症状 / anti-pattern | 原因になりやすい設計 | 確認・是正 |
|---|---|---|
| 新VNet作成時にaddress overlap | IPAM外直接割当、またはlegacy rangeがsource of truthへ未登録。 | runtime VNet inventoryとIPAM allocationを比較し、Policyでdirect assignmentを統制。 |
| 空き総量はあるのに大きなprefixを取れない | 小割りし過ぎてpoolがfragmentation。 | largest contiguous free blockをcapacity指標に加え、pool hierarchy/prefix policyを見直す。 |
| workload teamが他部門poolを消費 | delegation/RBACが広すぎる。 | IPAM Pool User等を必要child poolへscopeし、role assignmentを監査。 |
| CIDR再利用後に旧dependencyへ到達 | release時にDNS/route/firewall/object referenceをcleanupしていない。 | reuse前dependency scanと必要なquarantine policyを導入。 |
| 文書上の対応regionと実際が違う | 古いregion availability一覧を固定情報として運用。 | deployment前にcurrent Microsoft LearnのIPAM availabilityを確認。 |
Change safety / rollback
Current notes — 2026-09-11
2026-09-11時点のMicrosoft LearnではIPAMは広く一般提供されている一方、一部regionのavailability例外が明記されている。対応regionは変わり得るため、このページでは固定リストを設計前提にせず、実deployment時に公式availabilityを再確認する。