Azure Virtual Network Manager

解決する課題

VNet の数が増えると、ピアリングを総当たりで張り、NSG 規則を VNet ごとに重複定義する運用が破綻します。Virtual Network Manager（AVNM）は対象 VNet をグループにまとめ、接続トポロジとセキュリティ規則を中央から宣言的に適用することで、配線とルール散在の問題を一掃します。

• 多数の VNet を総当たりでピアリングする組み合わせ爆発を避けたい
• メッシュやハブアンドスポークのトポロジを一括で構成し、新しい VNet を自動で取り込みたい
• NSG とは別レイヤで強制力のあるセキュリティ規則を中央から配布したい
• サブスクリプションをまたいで散らばる VNet をスコープ単位で横断管理したい
• 構成変更を段階的にリージョン単位でデプロイし、影響範囲を制御したい

主要概念と用語

• ネットワークマネージャー（Network Manager）: AVNM の最上位リソース。管理対象の範囲（スコープ）と有効化する機能を定義する
• スコープ（Scope）: このマネージャーが管理できる範囲。管理グループまたはサブスクリプション単位で指定し、その配下の VNet を扱える
• ネットワークグループ（Network Group）: 管理対象 VNet をまとめる論理グループ。構成や規則の適用単位になる
• メンバーシップ: ネットワークグループへの VNet 所属の決め方。明示的に列挙する静的メンバーと、条件式で自動的に取り込む**動的メンバー（Azure Policy 連携）**の2方式がある
• 接続構成（Connectivity Configuration）: グループ内の VNet をどうつなぐかの定義。メッシュとハブアンドスポークのトポロジを宣言する
• セキュリティ管理構成（Security Admin Configuration）: NSG より上位で評価される強制的なセキュリティ規則。ルール集（Rule Collection）として配布する
• デプロイ（Deployment）: 作成した構成を選んだリージョンへ適用する操作。構成は定義しただけでは効かず、デプロイして初めて反映される
• 接続グループ（Connected Group）: 接続構成で結ばれた VNet 群。グループ内では推移的に到達でき、ピアリングを個別に張らずに通信が成立する

仕様・制限・クォータ

• スコープが管理の前提: マネージャーは管理グループまたはサブスクリプションをスコープに持ち、その範囲内の VNet だけを扱える。スコープ外は管理できない
• 構成は定義とデプロイが別: 接続構成やセキュリティ管理構成は作っただけでは効かず、対象リージョンへ明示的にデプロイして初めて適用される
• トポロジは2種類: 接続構成はメッシュとハブアンドスポークを選べる。ハブアンドスポークではスポーク間のダイレクト接続を有効化するかも選択する
• 動的メンバーは Azure Policy 連動: 条件で自動所属させる動的メンバーシップは内部で Azure Policy を用い、タグや命名などの条件で新規 VNet を取り込める
• セキュリティ管理規則は NSG より優先: AVNM が配布する管理規則は NSG の評価より前に効き、許可・拒否を上位から強制できる
• マネージャー数、ネットワークグループ数、グループあたりの VNet 数などにサブスクリプション単位の上限がある。数値は変動するため、最新の公式ドキュメントで確認する

内部の仕組み

AVNM の中核は、宣言した構成をスコープ内の VNet へ配布・適用するコントロールプレーンです。利用者はトポロジと規則を宣言し、対象リージョンへデプロイするだけで、ピアリングの実体やルールの配置は AVNM が肩代わりします。

• 接続構成の適用: メッシュやハブアンドスポークを宣言すると、AVNM がグループ内 VNet 間の到達性を成立させる。多数の VNet を総当たりで配線する手間が不要になる
• 接続グループによる推移到達: 接続構成で結ばれた VNet は接続グループを形成し、グループ内で推移的に通信できる。素の VNet ピアリングが既定で非推移なのと対照的
• セキュリティ管理規則の二層評価: AVNM の管理規則がまず評価され、その後に従来の NSG が評価される。組織全体の最低ラインを上位で強制し、細部はチームが NSG で調整する分業ができる
• 動的メンバーシップ: タグや命名規則などの条件に合致した VNet を自動でグループへ取り込み、新規 VNet も構成の対象に組み込まれる

設計パターン / ベストプラクティス

• VNet が多いほど採用価値が高い: 数十以上の VNet を総当たりピアリングしている、あるいはこれから増える見込みがあるなら、AVNM の一括管理が効く
• 動的メンバーシップで自動取り込み: タグや命名規則で動的メンバーを構成し、新規 VNet が自動でトポロジと規則の対象になるようにする。手動の取りこぼしを防げる
• セキュリティ管理規則で最低ラインを強制: 組織全体で禁止したい通信（特定ポートのインターネット公開など）は AVNM の管理規則で上位から拒否し、各チームの NSG では覆せないようにする
• 段階的デプロイで影響を制御: 構成は一度に全リージョンへ広げず、リージョン単位で順に適用して影響範囲を確認する
• 小規模なら過剰: VNet が数個なら、素の VNet ピアリングと NSG の手運用で十分なことが多く、AVNM の管理レイヤは過剰になりやすい

運用・監視

• 構成のデプロイ状態を確認: 接続構成・セキュリティ管理構成が、どのリージョンにどの版で適用済みかをポータルや CLI で追跡する。定義済みとデプロイ済みのずれが障害の温床になる
• 有効なセキュリティ規則を検証: AVNM の管理規則と NSG の合成結果を確認し、意図した許可・拒否になっているかを点検する。到達不能時はまずこの二層を見る
• ネットワークグループのメンバーを点検: 動的メンバーシップの条件が想定どおりの VNet を取り込んでいるかを定期的に確認する
• 構成変更を監査ログで追跡: マネージャーや構成への変更を Azure Monitor / アクティビティログで記録し、誰がいつ何を配布したかを残す
• IaC で宣言的に管理: マネージャー・ネットワークグループ・構成を Bicep / Terraform で管理し、トポロジと規則の差分をレビュー可能にする

コスト

AVNM のコストは、管理する機能と対象規模に応じて積み上がります。具体的な単価はリージョンや時期で変わるため、ここでは課金の考え方を定性的に整理します。

セキュリティ

• セキュリティ管理規則で最低ラインを強制: 組織全体で許さない通信を AVNM の管理規則として上位から拒否し、各 VNet の NSG では上書きできないようにする
• 二層防御の整理: AVNM の管理規則で組織方針を、NSG でチーム個別の細部を担う。どちらが何を担保するかを明確にし、規則の重複や矛盾を避ける
• 最小到達の徹底: 接続構成でグループ内を無条件にフルメッシュ通信させず、業務要件に応じてグループ分割やハブアンドスポークで到達範囲を絞る
• 最小権限の管理: マネージャーや構成の変更権限を RBAC で絞り、誰が組織横断の規則を配布できるかを限定する
• 変更の監査: 構成の作成・デプロイ・削除を監査ログで追跡し、意図しない方針変更を検知できるようにする

関連サービス・比較

AVNM は組織横断で多数の VNet を中央管理する司令塔で、個々の通信制御を担う NSG とは層が異なります。両者は対立せず、上位方針（AVNM）と個別調整（NSG）として組み合わせて使います。下表で役割の違いを整理します。

ハンズオン / CLI例

# リソースグループを作成
az group create --name avnm-rg --location japaneast

# ネットワークマネージャーを作成（接続とセキュリティ管理を有効化、スコープにサブスクリプションを指定）
az network manager create \
  --resource-group avnm-rg \
  --name demo-avnm \
  --location japaneast \
  --scope-accesses "Connectivity" "SecurityAdmin" \
  --network-manager-scopes subscriptions="/subscriptions/<subscription-id>"

# ネットワークグループを作成
az network manager group create \
  --resource-group avnm-rg \
  --network-manager-name demo-avnm \
  --name prod-vnets

# 静的メンバーとして既存 VNet をグループへ追加
az network manager group static-member create \
  --resource-group avnm-rg \
  --network-manager-name demo-avnm \
  --network-group-name prod-vnets \
  --name member1 \
  --resource-id "/subscriptions/<subscription-id>/resourceGroups/app-rg/providers/Microsoft.Network/virtualNetworks/spoke1-vnet"