Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
organizationのIP address spaceをpool化し、non-overlapping CIDRをsubscription/VNetへ払い出す。
Key technical points
- on-prem/multicloudを含むaddress inventoryとallocation governanceを持つ。
- future region/environment用reserved poolを確保する。
- manual spreadsheetとIaC allocation source of truthを二重管理しない。
Design guidance
- design diagramと同時にtraffic matrix、route matrix、failure matrix、ownership matrixを作る。
- platform teamのcentral policyとworkload teamのself-service範囲をresource scope/RBACへ落とす。
- at-scale変更はstaged deployment、canary region/group、rollbackを前提にする。
Operations checklist
- scope/region/subscription/network groupを明示する。
- traffic matrixとfailure testをacceptance criteriaにする。
- IaC/Policyとruntime stateのdriftを確認する。
Common pitfalls
- diagramだけ作りtraffic/failure/ownershipを定義しない。
- central policyを一括deployし、blast radiusを大きくする。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。