この記事は自動的に翻訳されています。翻訳には不正確な表現が含まれる場合があります。
英語の原文はこちらをご覧ください。
Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

プライベート エンドポイント

SCEPman 2.8 以降をインストールすると、Storage Account と Key Vault は Private Endpoint を通じて VNET に接続されます。例外を定義しない限り、これら 2 つの Azure Resources のデータへのアクセスはこの VNET 経由でのみ可能です。

この VNET は、他の SCEPman コンポーネントと同じリソース グループ内にあります。SCEPman および SCEPman Certificate Master の App Services は VNET に接続されており、ネットワーク レベルで Storage Account と Key Vault にアクセスできます。

インストール後は例外が設定されていないため、他のエンティティは Key Vault の証明書やキー、または Storage Account の Table Storage にアクセスできません。必要な場合、たとえば Subordinate CA を生成する場合 または Storage Account を照会する場合は、それぞれの Azure Resource の Networking ブレードで例外を追加する必要があります。

Key Vault と Storage Account の管理インターフェースへのアクセスは影響を受けません。つまり、Storage Account の SKU を変更したり、Key Vault のアクセス ログを確認したりするために、管理用マシンを例外リストに追加する必要はありません。

SCEPman 2.8 以降をインストールしても、SCEPman および SCEPman Certificate Master の App Services には Private Endpoint はありません。ネットワーク制限なしで、引き続きインターネットからアクセスできます。SCEPman は通常、ネットワーク接続を確立するために使用されるインフラストラクチャの一部であるため、ネットワーク レベルでの SCEPman へのアクセス制限は推奨しません。まだ接続されていない場合でも利用可能であるべきです。

必要に応じて、Conditional Access を使用して、ネットワーク条件を含むさまざまな制限により SCEPman Certificate Master へのアクセスを制限できます。SCEPman は通常 Conditional Access を使用しません。2 つのエンドポイント SCEP と OCSP は Entra 認証を使用しないためです。ただし、次へのアクセスを制限するために Conditional Access を使用することはできます。 SCEPman の REST API.

Private Endpoint 用に使用される Azure Resources

Type
説明

Virtual Network

SCEPman App Services、Key Vault、Storage Account は、この VNET を介して接続します。

Private Endpoint（×2）

Key Vault 用と Storage Account 用がそれぞれ 1 つずつあります。これにより、VNET 経由でアクセスできるようになります。

Private DNS zone（×2）

Key Vault 用と Storage Account 用がそれぞれ 1 つずつあります。どちらも VNET 内に内部 IP アドレスを持っており、それぞれの Private DNS zone に名前があります。

Network Interface（×2）

Key Vault 用と Storage Account 用がそれぞれ 1 つずつあります。Private Endpoint を VNET に接続します。

既存の SCEPman インストールに Private Endpoint を追加する

SCEPman 2.7 以前をインストールしている場合、SCEPman 2.8 以降に更新しても、Key Vault と Storage Account に Private Endpoint は自動的には追加されません。意図的に判断したうえで、手動で追加する必要があります。次の手順に従ってください。

1

Virtual Network の作成

  • SCEPman のリソース グループで、既定の設定または組織の要件に応じて新しい Virtual Network を作成します。これには 既定のサブネット.

  • 新しい Virtual Network に追加のサブネットを作成し、既定の設定を使用して 「Subnet Delegation」 を Microsoft.Web/serverFarms

2

KeyVault Private Endpoint の作成

  1. SCEPman の Resource Group > KeyVault > Settings > Networking > Private endpoint connections に移動し、private endpoint を作成します

  2. リソースの種類を選択: Microsoft.KeyVault/vaults

  3. を選択し、 KeyVault を Resource で選択して vault を Target sub-resource に指定します

  4. Virtual Network と既定のサブネットを選択します（最初の手順で作成したサブネットではありません）

  5. 有効にする private DNS zone と統合 して、Private DNS zone を自動的に作成して接続します

3

Storage Account Private Endpoint の作成

  1. SCEPman の Resource Group > Storage Account > Security + Networking > Networking > Private endpoints に移動し、Private Endpoint を作成します

  2. リソースごとに、target sub-resource を table

  3. に設定し、Virtual Network と既定のサブネットを選択します

  4. 有効にする private DNS zone と統合 して、Private DNS zone を自動的に作成して接続します

4

SCEPman App Service の統合

  1. に移動する SCEPman App service > Networking > Add virtual network integration を Outbound traffic configuration で「Not configured」をクリックして

  2. 最初の手順で作成した Virtual Network とサブネットを選択します。

  3. 「Outbound internet traffic」オプションのチェックを外し、適用します

5

Certificate Master App Service の統合

  • 2 つ目の app service に virtual network integration を追加すると、以前の接続を一覧から選択できるため、新しい接続を作成する必要はありません。

  • 有効になっている場合は、「Outbound internet traffic」オプションのチェックを外し、適用します

6

Private Endpoint 承認の確認

KeyVault と Storage Account の両方の Private Endpoint が Approved 状態であることを確認します

7

テストと結果

確認できたら、Key Vault と Storage account の両方の public access を無効にできます。

正しく接続されている場合、SCEPman のホームページにはすべての接続が「Connected」と表示されるはずです

MDM またはを使用して証明書を展開し、private endpoints の実装が成功していることをテストします Certificate Master。

最終更新

役に立ちましたか？