Azure Application Gateway vs Front Door 完全比較｜L7 ロードバランサーの選定

スコープが異なります。Application Gateway は『リージョン内 L7 ロードバランサー』で、特定リージョン内の VNet にデプロイ、そのリージョンのバックエンドにトラフィックを分散。Front Door は『グローバル L7 ロードバランサー + CDN』で、Microsoft の世界中の Edge Location (300+) からアクセスを受け、最寄りのバックエンドリージョンにルーティング。Application Gateway は単一リージョン Web アプリ向け、Front Door は多リージョン展開・グローバルユーザー向け。両者は競合関係ではなく、補完関係 (Front Door がグローバル → Application Gateway がリージョン内 L7 → AKS / VM) で組み合わせて使うパターンも多い。

両方にあります。Application Gateway WAF v2 と Front Door WAF Premium で、ほぼ同等の機能 (OWASP Core Rule Set CRS 3.2・カスタムルール・ボット保護・Geo Filter・レート制限) を提供。違いは適用範囲: Application Gateway WAF はリージョン内、Front Door WAF はグローバル Edge で適用。Microsoft Defender for Cloud Apps との統合は両方対応。Front Door Premium は Azure DDoS Protection と統合され、エッジで DDoS 攻撃を吸収可能。グローバル DDoS 防御重視なら Front Door + WAF Premium、リージョン内集約 WAF なら Application Gateway WAF v2 が定石です。

Front Door は 3 つの SKU が並行販売されています。Front Door Classic (旧 SKU、2024 年以降は新規不可、既存のみサポート)・Front Door Standard・Front Door Premium。Standard と Premium は 2022 年に再設計された新世代で、Classic より高機能。Standard: 基本的なグローバル L7 ロードバランサー + CDN、月額固定 35 USD + 従量。Premium: Standard + WAF Premium + Private Link 統合 + Bot Manager + Managed Identity 対応、月額固定 330 USD + 従量。新規プロジェクトは Standard / Premium 一択で、Classic は使わない方針が現在の Microsoft 推奨。WAF が必要なら Premium 一択、シンプル CDN なら Standard で十分です。

Application Gateway (WAF v2 SKU 中心) の主要機能: 1) URL Path-based Routing (例: /api → API Server / /images → CDN)、2) Host-based Routing (例: api.example.com → AKS Service A / shop.example.com → AKS Service B)、3) SSL Termination (Azure 側で SSL 解読し、バックエンドは HTTP で受信、CPU 負荷削減)、4) SSL Re-encryption (バックエンドも HTTPS、フル暗号化)、5) Session Affinity (Cookie ベースのセッション維持)、6) Auto-scaling (Min 0 - Max 125 インスタンス)、7) Custom Probes (バックエンドヘルスチェックのカスタマイズ)、8) Web Application Firewall v2 (OWASP CRS 3.2)、9) Connection Draining (デプロイ時の安全なバックエンド切り離し)、10) Mutual Authentication (mTLS 対応)。SLA は 99.95%。

Front Door Premium の主要機能: 1) Anycast IP + 全世界 300+ Edge Locations から最寄りエッジに自動ルーティング、2) Geo-filtering (国別アクセス制御)、3) URL Rewrite / Redirect、4) Rules Engine (リクエスト/レスポンスのカスタム操作)、5) Caching (CDN 機能、静的コンテンツのエッジキャッシュ)、6) WAF Premium (OWASP CRS 3.2・Bot Manager・JS Challenge)、7) DDoS Protection 統合 (Network / IP Protection)、8) Private Link 統合 (バックエンドの Private Endpoint への直接配信)、9) Origin Health Probe (バックエンドの自動切り替え)、10) Session Affinity、11) HTTP/2 / HTTP/3 (QUIC) 対応。SLA は 99.99%。

グローバル多リージョン展開で使われる定番パターン: 1) Front Door がグローバルなエッジ層 + WAF Premium で受信、2) Front Door のバックエンドとして各リージョンの Application Gateway を登録、3) Application Gateway が各リージョン内で AKS / VM / App Service にルーティング。これにより『グローバル WAF + リージョン内 L7 ルーティング + バックエンド分散』の三層構成が実現。コストは Front Door Premium + Application Gateway WAF v2 × リージョン数 で月数十万円規模ですが、エンタープライズグレードの信頼性とセキュリティを実現可能。よりシンプルな構成として Front Door 単独 + AKS / App Service へ直接配信もありで、Application Gateway は省略可能です。

Azure には 4 つの『トラフィック制御』サービスがあります: 1) Front Door (グローバル L7 + CDN + WAF、HTTP/HTTPS のみ)、2) Application Gateway (リージョン L7 + WAF、HTTP/HTTPS のみ)、3) Traffic Manager (グローバル DNS ベースルーティング、L4 / L7 不問・あらゆるプロトコル対応)、4) Azure CDN (純粋なコンテンツ配信 CDN、Front Door の機能サブセット)。Front Door 登場以降、Azure CDN と Traffic Manager の独自利用シーンは縮小傾向。Traffic Manager は DNS レベルのフェイルオーバーが必要な場合 (例: Azure と AWS のマルチクラウドフェイルオーバー) で活用、Azure CDN はレガシーシナリオでのみ。新規プロジェクトは Front Door 一択というのが業界トレンドです。

AZ-700 (Network Engineer Associate) で Application Gateway と Front Door が深く問われ、Routing Rule・WAF・SSL 設定・選定判断が頻出。AZ-104 (Administrator) のドメイン 4 で基礎、AZ-305 (Solutions Architect Expert) でアーキテクト視点での選定 (どちらをいつ使うか)、SC-100 / SC-500 (Cybersecurity Architect / Security Engineer) で WAF 設計・DDoS 対策。実務でも Web 公開系の Azure 案件では Application Gateway / Front Door のどちらか (または両方) が必ず登場する基幹サービスで、Azure ネットワークエンジニアにとって深い理解が必須です。