Azure Kubernetes Service (AKS) 入門ガイド｜アーキテクチャ・Networking・Ingress・セキュリティ

Azure Kubernetes Service (AKS) は、Microsoft マネージドの Kubernetes クラスタサービス。Kubernetes (k8s) のコントロールプレーン (etcd・kube-apiserver・kube-controller-manager・kube-scheduler) を Microsoft が完全マネージド (無料) で提供し、ユーザーはワーカーノード (VM) のみを管理。Azure 上で本格的なコンテナオーケストレーションを実現する標準サービスで、マイクロサービス・CI/CD・スケーラブル Web アプリ・ML パイプライン基盤として広く採用。2026 年現在、Azure の主力コンピュートサービスの一つで、新規開発プロジェクトの 30-40% が AKS をベースに構築されています。

コントロールプレーンは Standard 階層なら無料 (Free SLA・99.5%)、Uptime SLA (99.95%) を有効化すると月 73 USD ≈ 1 万円 + ワーカーノードの VM コスト。ワーカーノードは通常の Azure VM 料金体系 (Pay-as-you-go・Reserved Instance・Spot 適用可)。ロードバランサ・Public IP・ストレージは別途課金。標準的な開発環境 (D2s_v5 × 3 ノード) なら月 3-5 万円、本番環境 (D4s_v5 × 5 ノード + Uptime SLA + LB + Premium SSD) で月 15-30 万円が目安。コスト最適化には Spot Node Pool・Reserved Instance・KEDA による Pod 自動スケール (アイドル時 0 スケール) が有効です。

AKS クラスタは以下のコンポーネントから構成: 1) Control Plane (Microsoft マネージド): etcd・kube-apiserver・kube-controller-manager・kube-scheduler、2) Node Pool: 複数 VM をグループ化した Node 集合 (System Node Pool で kube-system Pod、User Node Pool でアプリ Pod)、3) Networking: Azure CNI (Pod が VNet IP を持つ) または Kubenet (NAT)、Azure CNI Overlay (Pod が Overlay IP、効率的)、4) Storage: Azure Disk CSI Driver (Premium SSD / Ultra Disk)・Azure File CSI Driver (SMB / NFS)・Azure Blob CSI Driver、5) Add-ons: HTTP Application Routing・Application Gateway Ingress Controller (AGIC)・Azure Policy・Azure Monitor for Containers・Microsoft Defender for Containers。

Azure CNI 推奨 (新規プロジェクトのほぼすべて)。Kubenet: 古い方式で、Pod は内部 IP 範囲 (10.244.0.0/16) を使い NAT で外部通信、IP 消費少ない・シンプルだが Pod 間通信に制約・Network Policy 機能限定。Azure CNI (Classic): Pod が VNet 内 Subnet から直接 IP を取得、VNet 内リソース・他 VNet・オンプレと直接通信可能、Network Policy フル機能、ただし IP 消費激しい (1 Node あたり最大 250 Pod × IP)。Azure CNI Overlay (2023 GA、現在の推奨): Pod は Overlay IP 範囲を使い VNet IP を消費しない、Azure CNI の柔軟性 + IP 効率の両立。新規 AKS は Azure CNI Overlay 一択で、AKS の Networking 設計の標準パターンになっています。

AKS Ingress の主要選択肢: 1) Application Gateway Ingress Controller (AGIC): Azure Application Gateway WAF v2 を Ingress として使用、WAF 統合・Azure マネージド・コスト中。2) NGINX Ingress Controller: OSS の定番、コミュニティサポート豊富・コスト最小 (Internal LB のみ)、3) Istio (Service Mesh): マイクロサービス間通信制御も含む、複雑だが mTLS・Observability で強力、4) Application Gateway for Containers (AGC、2024 GA): Application Gateway の次世代版、Kubernetes Gateway API 準拠・高機能・パフォーマンス改善。シンプル要件は NGINX、WAF が必要なら AGIC または AGC、マイクロサービス間通信が複雑なら Istio という選定軸。AGC は 2024 GA で AGIC の後継として今後の主流になる見込みです。

AKS Pod から Azure リソース (Storage Account・Key Vault 等) への認証方式が進化してきました。AAD Pod Identity (旧): aad-pod-identity Add-on をクラスタにインストール、Pod の IP に基づいて Azure Identity 割り当て。2024-09 で廃止予定、レガシー方式。AKS Workload Identity (新、推奨): Kubernetes 標準 Service Account + Azure AD + OIDC 連携。Pod は Service Account の OIDC トークンを Azure AD に提示してアクセストークン取得。シンプル・スケーラブル・パフォーマンス改善。2026 年現在の AKS では Workload Identity 一択で、既存 AKS Pod Identity ユーザーは Workload Identity への移行が必須です。

重要なセキュリティ施策: 1) Private Cluster (API Server を Private IP のみで公開、Public 経路遮断)、2) Microsoft Defender for Containers 有効化 (脆弱性スキャン・Runtime 検知)、3) Azure Policy for AKS で組織ポリシー強制 (例: Privileged Container 禁止)、4) Microsoft Entra Workload Identity で Pod 認証管理、5) Azure Container Registry (ACR) + Trivy / Microsoft Defender でイメージ脆弱性スキャン、6) Network Policy (Calico) でクラスタ内通信制限、7) RBAC for Kubernetes + Microsoft Entra ID 統合 で API Server アクセス制御、8) AKS Update / Node Image 自動更新有効化、9) Microsoft Sentinel への監査ログ送信、10) Kubernetes Secret の暗号化 (envelope encryption with Key Vault)。本番 AKS では SOC2 / ISO 27001 監査対応として必須の項目です。

AZ-104 (Administrator) のドメイン 3 で AKS 基礎、AZ-204 (Developer Associate、2026-07 リタイア注意) で開発者視点での AKS デプロイ、AZ-400 (DevOps Engineer Expert) で AKS への CI/CD・GitOps (Argo CD / FluxCD)、AZ-305 (Solutions Architect Expert) でアーキテクチャ判断 (AKS vs Container Apps vs Functions)、SC-100 (Cybersecurity Architect Expert) で AKS セキュリティ。Microsoft 外の認定として CKA (Certified Kubernetes Administrator)・CKAD (Application Developer)・CKS (Security) との二刀流が DevOps エンジニアにとって強い武器。詳細は Azure DevOps エンジニア キャリアロードマップ を参照してください。