Azure DNS / Private DNS Zones / Private Resolver 完全ガイド｜ハイブリッド DNS 設計

1) Azure DNS (Public): Public ドメイン (example.com など) の権威 DNS ホスティング、世界中の Anycast ネットワーク経由で名前解決、Microsoft 365 / Web サイト向け。2) Azure Private DNS Zones: VNet 内専用のプライベート DNS ゾーン、Private Endpoint や VM の内部名前解決に必須、Public からは見えない。3) Azure DNS Private Resolver: 2022 GA のハイブリッド DNS 解決サービス、オンプレと Azure 間の双方向 DNS フォワーディングを可能に。それぞれ独立したサービスで、組み合わせて使うのが一般的。Private Endpoint を使う場合は Private DNS Zones がほぼ必須で、ハイブリッド環境では Private Resolver を追加するのが現代的なベストプラクティスです。

Private DNS Zone は VNet 内専用の DNS ゾーン。代表的なユースケース: 1) Private Endpoint の名前解決 (例: privatelink.blob.core.windows.net Zone を作成、VNet にリンク、Private Endpoint 作成時に A レコード自動登録)、2) VM の内部名前解決 (Custom Zone 例: corp.contoso.local)、3) AKS Service Discovery 補助。設定手順: Private DNS Zone を作成 → 対象 VNet と Virtual Network Link で関連付け (Registration Enabled で VM の DNS 自動登録 or Resolution Only で読み取り専用)。Microsoft Entra Connect Sync で使う privatelink.* ゾーンは Microsoft 推奨の標準命名規則があり、Azure Portal で Private Endpoint 作成時に自動構成されます。

Azure DNS Private Resolver は 2022 GA のマネージド DNS 解決サービス。オンプレ DNS サーバーと Azure Private DNS Zones 間の双方向フォワーディングを実現。2 つのエンドポイント: Inbound Endpoint (オンプレ DNS から Azure へ DNS クエリ受信、Private DNS Zones を解決して返却) と Outbound Endpoint (Azure VM から特定オンプレドメインのクエリをオンプレ DNS へフォワード)。DNS Forwarding Ruleset で『どのドメインをどこへフォワード』を宣言的に管理。従来は VM ベースの DNS Forwarder (BIND・Windows DNS Server) を VNet 内に構築する必要があったが、Private Resolver で完全マネージド化。月額約 2-3 万円から、ハイブリッド環境の DNS インフラを劇的に簡素化します。

Conditional Forwarding は『特定ドメインのクエリのみ別 DNS サーバーへフォワード』する仕組み。代表的なパターン: 1) オンプレ DNS で『privatelink.blob.core.windows.net』を Azure DNS Private Resolver Inbound Endpoint (10.x.x.x) へフォワード → オンプレからの Private Endpoint 解決可能、2) Azure VM の DNS Forwarder で『corp.contoso.local』をオンプレ DNS (192.168.x.x) へフォワード → Azure からのオンプレリソース解決可能。Private Resolver の Outbound Endpoint + DNS Forwarding Ruleset でこれを宣言的に管理。オンプレ DNS 機器側 (Windows DNS Server・BIND・F5 BIG-IP) でも Conditional Forwarder の設定が必要で、両側の整合が取れていないと名前解決失敗します。

Azure DNS (Public) は Microsoft の Anycast ベース権威 DNS、世界中の Edge から名前解決、SLA 100% (シングル DNS Zone)、コスト最安レベル (Zone あたり月 50 円・100 万クエリあたり 50 円)。Cloudflare DNS・Google Cloud DNS・AWS Route 53 などと機能は同等。Azure 利用企業は Azure DNS を選ぶのが運用統一・コスト・連携の観点で自然な選択。差別化要因: 1) Azure リソース (App Service・Application Gateway) との Alias Record 連携 (リソース IP 変更時に自動追随)、2) Microsoft Entra ID 認証 + RBAC でゾーン管理、3) Azure Monitor 統合。サードパーティ DNS にこだわる理由がなければ Azure DNS が標準選択肢になります。

Azure DNS (Public) の DNSSEC は 2024 年に Preview から GA 移行中で、本記事執筆時点では一部リージョンで利用可能。完全 GA 後は全 Public Zone で DNSSEC 有効化可能になる予定。DNSSEC は DNS レスポンスの改ざん防止 (DNS スプーフィング対策) で、政府機関・金融機関では必須要件のケース多。Azure DNS の DNSSEC は Microsoft マネージドで鍵管理不要、Zone Sign / KSK / ZSK ロールオーバーすべて自動。コスト追加は小規模 (月数百円〜)、有効化すると Parent Zone (TLD レジストリ) に DS レコード登録必要 (.com なら GoDaddy や Cloudflare Registrar 経由)。Microsoft の DNSSEC GA 完了後は本番 Public Zone で有効化が推奨されます。

代表的な落とし穴: 1) Private Endpoint 作成時に Private DNS Zone との統合を忘れ、名前解決失敗、2) VNet Custom DNS 設定 (Custom DNS = オンプレ DC IP) で Azure 提供 DNS が無効化、Private DNS Zone が機能しない (Private Resolver Inbound Endpoint を VNet DNS に設定する必要)、3) 複数 VNet で同じ Private DNS Zone を別々に作成、不整合発生 (Hub VNet に集約推奨)、4) オンプレ Conditional Forwarder の設定忘れで Private Endpoint がオンプレから解決不可、5) Public DNS と Private DNS で同じ FQDN を持ち、Split-horizon DNS の挙動が想定外、6) DNS TTL を長くしすぎて変更反映遅延 (1 時間以下推奨)、7) Azure DNS の Resource Locking 設定忘れで誤削除。Private Endpoint 普及で DNS 設計の重要性が劇的に増している領域です。

AZ-700 (Network Engineer Associate) で Azure DNS・Private DNS Zone・Private Resolver が深く問われ、ハイブリッド DNS 設計が頻出。AZ-104 (Administrator) のドメイン 4 で基礎、AZ-305 (Solutions Architect Expert) でアーキテクト視点での DNS 戦略、AZ-800 / AZ-801 (Windows Server Hybrid) でハイブリッド AD DS DNS、SC-100 (Cybersecurity Architect Expert) でゼロトラストネットワーク・名前解決のセキュリティ。Private Endpoint を多用する現代の Azure 設計では DNS の理解が必須スキルです。