Azure Container Apps 環境でのネットワーク

Azure Container Apps は、独自の仮想ネットワークを実行する 環境のコンテキストで動作します。 環境を作成するときに、コンテナー アプリのネットワーク機能を通知するいくつかの重要な考慮事項があります。

• 環境の種類
• 仮想ネットワークの種類
• アクセシビリティ レベル

環境の選択

Container Apps には 2 つの異なる環境の種類があり、これらは多くの同じネットワーク特性を共有しますが、いくつかの重要な違いがあります。

詳細については、「 環境の種類」を参照してください。

仮想ネットワークの種類

既定では、Container Apps は Azure ネットワークと統合され、インターネット経由でパブリックにアクセスでき、インターネットにアクセスできるエンドポイントとのみ通信できます。 代わりに、環境を作成するときに既存の VNet を提供することもできます。 既定の Azure ネットワークまたは既存の VNet を使用して環境を作成すると、ネットワークの種類を変更することはできません。

次のような Azure ネットワーク機能が必要な場合は、既存の VNet を使用します。

• ネットワーク セキュリティ グループ
• Application Gateway の統合
• Azure Firewall の統合
• コンテナー アプリからの送信トラフィックを制御する
• 仮想ネットワーク内のプライベート エンドポイントの背後にあるリソースへのアクセス

既存の VNet を使用する場合は、デプロイするコンテナー アプリ環境専用のサブネットを提供する必要があります。 このサブネットは、他のサービスでは使用できません。 詳細については、「 仮想ネットワークの構成」を参照してください。

アクセシビリティ レベル

コンテナー アプリで、環境レベルで VNet 内からのみパブリック イングレスまたはイングレスを許可するかどうかを構成できます。

公衆ネットワーク アクセス

公衆ネットワーク アクセスの設定により、パブリック インターネットからコンテナー アプリ環境にアクセスできるかどうかが決まります。 環境の作成後にこの設定を変更できるかどうかは、環境の仮想 IP の構成によって異なります。 次の表では、環境の仮想 IP 構成に基づく、公衆ネットワーク アクセスの有効な値を示します。

Azure Container Apps 環境にプライベート エンドポイントを作成するには、公衆ネットワーク アクセスを Disabled に設定する必要があります。

Azure ネットワーク ポリシーは、パブリック ネットワーク アクセス フラグでサポートされています。

イングレスの構成

ingress セクションでは、次の設定を構成できます。

• イングレス: コンテナー アプリのイングレスを有効または無効にすることができます。

• イングレス トラフィック: どこからでもコンテナー アプリへのトラフィックを受け入れたり、同じ Container Apps 環境内からのトラフィックに制限したりできます。

• トラフィック分割ルール: アプリケーションのさまざまなリビジョン間でトラフィック分割ルールを定義できます。 詳細については、「トラフィックの分割」を参照してください。

異なるネットワークのシナリオの詳細については、「Azure Container Apps でのイングレス」を参照してください。

受信時の機能

送信時の機能

チュートリアル

環境のセキュリティ

次のアクションを実行することで、イングレスおよびエグレスのネットワーク トラフィック ワークロード プロファイル環境を完全にセキュリティ保護できます。

• ワークロード プロファイル環境で内部コンテナー アプリ環境を作成します。 手順については、「Azure CLI を使用してワークロード プロファイルを管理する」を参照してください。

• Container Apps を Application Gateway と統合します。

• すべてのトラフィックを Azure Firewall 経由でルーティングするために UDR を構成します。

HTTP エッジ プロキシの動作

Azure Container Apps は、トランスポート層セキュリティ (TLS) を終了し、各アプリケーションに要求をルーティングするエッジ HTTP プロキシを使用します。

HTTP アプリケーションは、HTTP の要求と接続の数に基づいてスケーリングされます。 Envoy は、内部トラフィックをクラスターの内部でルーティングします。

ダウンストリーム接続では HTTP1.1 と HTTP2 がサポートされ、クライアント接続をアップグレードする必要がある場合、Envo では接続を自動的に検出してアップグレードします。

アップストリーム接続は、transport オブジェクトの プロパティを設定することによって定義されます。

ポータルの依存関係

Azure Container Apps 内のすべてのアプリに、2 つの URL が存在します。

Container Apps ランタイムでは、アプリにアクセスするために使用される完全修飾ドメイン名 (FQDN) が最初に生成されます。 コンテナー アプリの FQDN は、Azure portal でコンテナー アプリの [概要] ウィンドウの [アプリケーション URL] で確認してください。

2 つ目の URL も自動的に生成されます。 この場所では、ログ ストリーミング サービスとコンソールへのアクセス権が付与されます。 必要に応じて、ファイアウォールまたはプロキシの許可リストに https://azurecontainerapps.dev/ を追加することが必要な場合があります。

ポートと IP アドレス

インバウンド接続には、次のポートが公開されます。

IP アドレスは、次の種類に分類されます。

次のステップ

• Azure Container Apps でのイングレス