Azure 仮想ネットワーク ピアリングの作成、変更、または削除

ピアリングを操作するために必要なアクセス許可が Azure アカウントを使用して、 Azure portal にサインインします。

Azure Cloud Shell でコマンドを実行するか、コンピューターからローカルで PowerShell を実行します。 Azure Cloud Shell は無料のインタラクティブ シェルです。この記事の手順は、Azure Cloud Shell を使って実行することができます。 一般的な Azure ツールが事前にインストールされており、アカウントで使用できるように構成されています。 Azure Cloud Shell のブラウザー タブで、[環境の選択] ドロップダウン リストを見つけ、(まだ選択されていない場合は) [PowerShell] を選択します。

PowerShell をローカルで実行している場合、Azure PowerShell モジュール バージョン 1.0.0 以降を使用します。 インストールされているバージョンを確認するには、Get-Module -ListAvailable Az.Network を実行します。 インストールまたはアップグレードする必要がある場合は、Azure PowerShell モジュールのインストールに関するページを参照してください。 Connect-AzAccountを実行して、仮想ネットワーク ピアリングを操作するために必要なアクセス許可を持つアカウントで Azure にサインインします。

Azure Cloud Shell でコマンドを実行するか、お使いのコンピューターからローカルで Azure CLI を実行します。 Azure Cloud Shell は無料のインタラクティブ シェルです。この記事の手順は、Azure Cloud Shell を使って実行することができます。 一般的な Azure ツールが事前にインストールされており、アカウントで使用できるように構成されています。 Azure Cloud Shell のブラウザー タブで、[環境の選択] ドロップダウン リストを見つけ、(まだ選択されていない場合は) [Bash] を選びます。

ローカルで Azure CLI を実行する場合は、Azure CLI バージョン 2.0.31 以降を使用してください。 インストールされているバージョンを確認するには、az --version を実行します。 インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。 az loginを実行して、仮想ネットワーク ピアリングを操作するために必要なアクセス許可を持つアカウントで Azure にサインインします。

Azure への接続を使用するアカウントは、 ネットワーク共同作成者 ロール、またはアクセス許可に記載されている適切なアクションが割り当てられるカスタム ロールに割り当てる必要があります。

1. Azure portal の上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. 仮想ネットワークで、ピアリングを作成するネットワークを選択します。

3. [設定] で [ピアリング] を選択します。

4. [+ 追加]を選択します。

5. 次の設定の値を入力または選択し、[追加] を選択します。

   Settings	Description
   リモート仮想ネットワークの概要
   [Peering link name]\(ピアリング リンク名\)	ローカル仮想ネットワークからのピアリングの名前。 仮想ネットワーク内で一意となる名前を使用してください。
   仮想ネットワークのデプロイ モデル	ピアリングする仮想ネットワークのデプロイに使用されたデプロイ モデルを選択します。
   リソース ID を知っている	ピアリングする仮想ネットワークへの読み取りアクセス権がある場合は、このチェック ボックスをオフのままにしておきます。 ピアリングする仮想ネットワークまたはサブスクリプションへの読み取りアクセス権がない場合は、このチェック ボックスをオンにします。
   リソースID	このフィールドは、[リソース ID を知っている] チェック ボックスをオンにすると表示されます。 この仮想ネットワークと同じ Azure リージョン、またはサポートされている異なる Azure リージョンに存在する、仮想ネットワークのリソース ID を入力する必要があります。 完全なリソース ID は、/subscriptions/<Id>/resourceGroups/<resource-group-name>/providers/Microsoft.Network/virtualNetworks/<virtual-network-name> のようになります。 仮想ネットワークのプロパティを表示することで、仮想ネットワークのリソース ID を取得できます。 仮想ネットワークのプロパティを表示する方法については、「仮想ネットワークと設定の表示」を参照してください。 サブスクリプションが、ピアリングしている仮想ネットワークを持つサブスクリプションとは異なる Microsoft Entra テナントに関連付けられている場合は、ユーザーのアクセス許可を割り当てる必要があります。 各テナントのユーザーを、反対のテナントに ゲスト ユーザー として追加します。
   Subscription	ピアリングする仮想ネットワークのサブスクリプションを選択します。 アカウントがアクセスできるサブスクリプションの数に応じて、1 つ以上のサブスクリプションが一覧表示されます。
   仮想ネットワーク	リモート仮想ネットワークを選択します。
   リモート仮想ネットワーク ピアリングの設定
   ピアリングされた仮想ネットワークに 'vnet-1' へのアクセスを許可する	既定では、このオプションが選択されています。 - ピアリングされた仮想ネットワークから 'vnet-1' へのトラフィックを許可するには、このオプションを選択します。 この設定により、ハブスポーク ネットワーク トポロジ内のハブとスポーク間の通信が可能になり、ピアリングされた仮想ネットワーク内の VM が 'vnet-1' の VM と通信できるようになります。 ネットワーク セキュリティ グループの VirtualNetwork サービス タグには、この設定を選択すると、仮想ネットワークとピアリングされた仮想ネットワークが含まれます。 サービス タグの詳細については、Azure のサービス タグに関するページを参照してください。
   ピアリングされた仮想ネットワークが 'vnet-1' から転送されたトラフィックを受信することを許可する	このオプション は既定では選択されていません。 - このオプションを有効にすると、ピアリングされた仮想ネットワークは、"vnet-1" にピアリングされた仮想ネットワークからトラフィックを受信できます。 たとえば、vnet-1 に転送される vnet-2 の外部からのトラフィックを受信する NVA が vnet-2 にある場合は、この設定を選択すると、そのトラフィックが vnet-2 から vnet-1 に到達できるようになります。 この機能を有効にすると、ピアリングを介してトラフィック転送が許可されますが、ユーザー定義ルートやネットワーク仮想アプライアンスが作成されるわけではありません。 ユーザー定義ルートとネットワーク仮想アプライアンスは個別に作成されます。
   ピアリングされた仮想ネットワーク内のゲートウェイまたはルート サーバーがトラフィックを 'vnet-1' に転送することを許可する	このオプションは 既定では選択されていません。 - この設定を有効にすると、"vnet-1" はピアリングされた仮想ネットワークのゲートウェイまたはルート サーバーからトラフィックを受信できます。 このオプションを有効にするには、ピアリングされた仮想ネットワークにゲートウェイまたはルート サーバーが含まれる必要があります。
   ピアリングされた仮想ネットワークが 'vnet-1' のリモート ゲートウェイまたはルート サーバーを使用できるようにする	このオプション は既定では選択されていません。 - このオプションを有効にできるのは、'vnet-1' にリモート ゲートウェイまたはルート サーバーがあり、'vnet-1' で "'vnet-1' のゲートウェイがピアリングされた仮想ネットワークにトラフィックを転送できるようにする" 場合のみです。このオプションは、ピアリングされた仮想ネットワークのピアリングのいずれかでのみ有効にすることができます。 このオプションを選択することもできます。この仮想ネットワークでリモート ルート サーバーを使用してルートを交換する場合は、「Azure Route Server. 注:仮想ネットワークにゲートウェイが既に構成されている場合は、リモート ゲートウェイを使用できません。転送にゲートウェイを使用する方法の詳細については、「仮想ネットワーク ピアリングでの転送用に VPN ゲートウェイを構成する」を参照してください。
   ローカル仮想ネットワークの概要
   [Peering link name]\(ピアリング リンク名\)	リモート仮想ネットワークからのピアリングの名前。 仮想ネットワーク内で一意となる名前を使用してください。
   ローカル仮想ネットワーク ピアリングの設定
   ピアリングされた仮想ネットワークへのアクセスを 'vnet-1' に許可する	既定では、このオプションが選択されています。 - 'vnet-1' からピアリングされた仮想ネットワークへのトラフィックを許可するには、このオプションを選択します。 この設定により、ハブスポーク ネットワーク トポロジ内のハブとスポーク間の通信が可能になり、'vnet-1' 内の VM がピアリングされた仮想ネットワーク内の VM と通信できるようになります。
   'vnet-1' がピアリングされた仮想ネットワークからトラフィック転送を受信することを許可する	このオプション は既定では選択されていません。 - このオプションを有効にすると、ピアリングされた仮想ネットワークにピアリングされた仮想ネットワークから "vnet-1" がトラフィックを受信できるようになります。 たとえば、vnet-1 に転送される vnet-2 の外部からトラフィックを受信する NVA が vnet-2 にある場合は、この設定を選択して、そのトラフィックが vnet-2 から vnet-1 に到達できるようにできます。 この機能を有効にすると、ピアリングを介してトラフィック転送が許可されますが、ユーザー定義ルートやネットワーク仮想アプライアンスが作成されるわけではありません。 ユーザー定義ルートとネットワーク仮想アプライアンスは個別に作成されます。
   'vnet-1' 内のゲートウェイまたはルート サーバーがトラフィックをピアリングされた仮想ネットワークに転送することを許可する	このオプションは 既定では選択されていません。 - この設定を有効にすると、ピアリングされた仮想ネットワークが 'vnet-1' のゲートウェイまたはルート サーバーからトラフィックを受信できるようになります。 このオプションを有効にするには、'vnet-1' にゲートウェイまたはルート サーバーが含まれる必要があります。
   'vnet-1' がピアリングされた仮想ネットワークのリモート ゲートウェイまたはルート サーバーを使用できるようにする	このオプション は既定では選択されていません。 - このオプションは、ピアリングされた仮想ネットワークにリモート ゲートウェイまたはルート サーバーがあり、ピアリングされた仮想ネットワークで "ピアリングされた仮想ネットワーク内のゲートウェイが "vnet-1" にトラフィックを転送できるようにする場合にのみ有効にすることができます。このオプションは、いずれかの 'vnet-1' ピアリングでのみ有効にすることができます。

1. 数秒後に [更新] ボタンを選択すると、ピアリングの状態が [更新中] から [接続済み] に変わります。

異なるサブスクリプションおよびデプロイ モデルの仮想ネットワーク間にピアリングを実装する手順については、次の手順をご覧ください。

Add-AzVirtualNetworkPeering を使用して仮想ネットワーク ピアリングを作成します。

## Place the virtual network vnet-1 configuration into a variable. ##
$net-1 = @{
        Name = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
$vnet-1 = Get-AzVirtualNetwork @net-1

## Place the virtual network vnet-2 configuration into a variable. ##
$net-2 = @{
        Name = 'vnet-2'
        ResourceGroupName = 'test-rg-2'
}
$vnet-2 = Get-AzVirtualNetwork @net-2

## Create peering from vnet-1 to vnet-2. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        VirtualNetwork = $vnet-1
        RemoteVirtualNetworkId = $vnet-2.Id
}
Add-AzVirtualNetworkPeering @peer1

## Create peering from vnet-2 to vnet-1. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        VirtualNetwork = $vnet-2
        RemoteVirtualNetworkId = $vnet-1.Id
}
Add-AzVirtualNetworkPeering @peer2

1. az network virtual network peering create を使用して、仮想ネットワーク ピアリングを作成します。

## Create peering from vnet-1 to vnet-2. ##
az network vnet peering create \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --remote-vnet vnet-2 \
    --resource-group test-rg \
    --allow-vnet-access \
    --allow-forwarded-traffic

## Create peering from vnet-2 to vnet-1. ##
az network vnet peering create \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2 \
    --remote-vnet vnet-1 \
    --resource-group test-rg-2 \
    --allow-vnet-access \
    --allow-forwarded-traffic

1. Azure portal の上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. [仮想ネットワーク] でのピアリング設定を表示または変更する仮想ネットワークを選択します。

3. [設定] で [ピアリング] を選択してから、設定を表示または変更するピアリングを選択します。

   

4. 該当する設定を変更します。 各設定のオプションについては、「ピアリングの作成」の手順 4 を参照してください。 その後、[保存] を選択して構成の変更を完了します。

   

Get-AzVirtualNetworkPeering を使用して仮想ネットワークのピアリングとその設定を一覧表示します。

$peer = @{
        VirtualNetworkName = 'vnet-1'
        ResourceGroupName = 'test-rg'
}
Get-AzVirtualNetworkPeering @peer

Set-AzVirtualNetworkPeering を使用してピアリング設定を変更します。

## Place the virtual network peering configuration into a variable. ##
$peer = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
$peering = Get-AzVirtualNetworkPeering @peer

# Allow traffic forwarded from remote virtual network. ##
$peering.AllowForwardedTraffic = $True

## Update the peering with changes made. ##
Set-AzVirtualNetworkPeering -VirtualNetworkPeering $peering

az network vnet peering list を使用して仮想ネットワークのピアリングを一覧表示します。

az network vnet peering list \
    --resource-group test-rg \
    --vnet-name vnet-1 \
    --out table

az network vnet peering show を使用して特定のピアリングの設定を表示します。

az network vnet peering show \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

az network vnet peering update を使用してピアリング設定を変更します。

## Block traffic forwarded from remote virtual network. ##
az network vnet peering update \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1 \
    --set allowForwardedTraffic=false

2 つの仮想ネットワーク間のピアリングが削除されると、その仮想ネットワーク間でトラフィックが流れることはできなくなります。 仮想ネットワークがピアリングを削除するのではなく、必ずしも通信する場合に、リモート仮想ネットワークへのトラフィックをブロックする場合は、 リモート仮想ネットワークへのトラフィックを許可する 設定の選択を解除します。 ピアリングを削除して再作成するよりも、ネットワーク アクセスを無効にして有効にする方が簡単な場合があります。

1. Azure portal の上部にある検索ボックスに、「仮想ネットワーク」と入力します。 検索結果で、[仮想ネットワーク] を選択します。

2. [仮想ネットワーク] でのピアリング設定を表示または変更する仮想ネットワークを選択します。

3. [設定] で [ピアリング] を選択します。

   

4. 削除するピアリングの横のボックスを選んでから、[削除] を選びます。

   

5. [ピアリングの削除] で、確認ボックスに「削除」と入力し、[削除] を選択します。

   

   Note

   仮想ネットワーク から仮想ネットワーク ピアリングを削除すると、リモート仮想ネットワークからのピアリングも削除されます。

6. [削除] を選択し、[削除の確認] で削除を確定します。

Remove-AzVirtualNetworkPeering を使用して仮想ネットワーク ピアリングを削除します

## Delete vnet-1 to vnet-2 peering. ##
$peer1 = @{
        Name = 'vnet-1-to-vnet-2'
        ResourceGroupName = 'test-rg'
}
Remove-AzVirtualNetworkPeering @peer1

## Delete vnet-2 to vnet-1 peering. ##
$peer2 = @{
        Name = 'vnet-2-to-vnet-1'
        ResourceGroupName = 'test-rg-2'
}
Remove-AzVirtualNetworkPeering @peer2

az network vnet peering delete を使用して仮想ネットワーク ピアリングを削除します。

## Delete vnet-1 to vnet-2 peering. ##
az network vnet peering delete \
    --resource-group test-rg \
    --name vnet-1-to-vnet-2 \
    --vnet-name vnet-1

## Delete vnet-2 to vnet-1 peering. ##
az network vnet peering delete \
    --resource-group test-rg-2 \
    --name vnet-2-to-vnet-1 \
    --vnet-name vnet-2