Azure Private Endpoint vs Service Endpoint 完全比較｜PaaS への安全な接続パターン

Azure の PaaS サービス (Storage Account・SQL Database・Cosmos DB・Key Vault など) を VNet 内のリソースから安全にアクセスするためのパターンには Private Endpoint と Service Endpoint の 2 つがあります。 本記事では、両者の動作原理・コスト・セキュリティ特性・適用シーンを比較し、近年のベストプラクティスとなった Private Endpoint の正しい使い方を整理します。

2 つのパターンの全体比較

Service Endpoint の仕組み

Service Endpoint は、VNet 内の Subnet から特定の Azure PaaS サービスへの送信トラフィックを、Azure バックボーン経由でルーティングする機能。PaaS サービス側では、ファイアウォールルールで『特定 VNet 経由のトラフィックのみ許可』と設定することで、PaaS の Public エンドポイントは残しつつ実質的なネットワーク分離を実現します。

動作フロー

1. Subnet で Service Endpoint を有効化 (例: Microsoft.Storage)
2. PaaS サービス (Storage Account) で『この VNet/Subnet からのアクセスのみ許可』ファイアウォールルール設定
3. VNet 内 VM → Storage Account へのアクセスが Azure バックボーン経由でルーティング
4. 送信元 IP は Subnet の Public IP として PaaS に到達 (Service Endpoint の特殊動作)

メリットとデメリット

• メリット: 無料、設定簡単、レガシー環境でも動作
• デメリット: PaaS の Public エンドポイントは残る (DDoS リスク)、オンプレから直接利用不可、コンプライアンスで『データが組織ネットワーク外に出ない』証明が困難

Private Endpoint の仕組み

Private Endpoint は、Azure PaaS サービスをVNet 内に Private IP として配置する機能。PaaS サービスが VNet のメンバーになる仕組みで、内部的には Microsoft が運用する Private Link Service を経由して PaaS リソースに接続されます。

動作フロー

1. VNet 内に Private Endpoint を作成 (例: Storage Account に Private IP 10.0.1.4 を割り当て)
2. Private DNS Zone (例: privatelink.blob.core.windows.net) を VNet にリンク
3. Storage Account の Public エンドポイントを Disable
4. VNet 内 VM → mystorageaccount.blob.core.windows.net への DNS クエリが Private IP (10.0.1.4) に解決
5. VM → Private IP 10.0.1.4 → Storage Account へ完全 Private 通信

メリットとデメリット

• メリット: PaaS の Public エンドポイント Disable 可能 (インターネット露出ゼロ)、オンプレから VPN/ExpressRoute 経由で直接利用、コンプライアンス強化、ゼロトラスト原則準拠
• デメリット: 有料 (月 700 円/サービス + データ転送)、Private DNS Zone の設計が必要、Subnet で Network Policy 有効化必要、IP アドレス消費

Private DNS Zone と名前解決

Private Endpoint の名前解決は、専用の Private DNS Zone を使って実現します。サービスごとに決まったゾーン名があります。

Private Endpoint 作成時に『Integrate with private DNS zone』オプションを Yes にすると、対応する Private DNS Zone が自動作成・VNet リンク・A レコード登録されます。複数 VNet で同じ Private DNS Zone を共有する場合は Hub VNet に集約配置する設計が標準です。

オンプレからの解決

オンプレ環境から Private Endpoint にアクセスする場合、DNS 解決の経路を構成する必要があります。

• パターン A (シンプル): オンプレ DNS サーバーで Private Endpoint の FQDN を Private IP に直接 A レコード登録。手動運用、リソース増減に弱い。
• パターン B (推奨): Azure DNS Private Resolver の Inbound Endpoint を VNet に配置、オンプレ DNS から Conditional Forwarder で Inbound Endpoint IP に転送、Private DNS Zone を解決。
• パターン C (DNS Forwarder VM): VNet 内に DNS Forwarder VM (BIND など) を構築、オンプレ DNS から転送。Azure DNS Private Resolver 登場前のレガシーパターン。

NSG / Firewall との統合

Private Endpoint への NSG 適用は、2021 年から段階的にサポート開始 (現在は全 GA リージョンで利用可能)。

• Subnet で『Private Endpoint Network Policies』を Enable (デフォルト Disabled、明示的に有効化必要)
• NSG を Subnet に適用、Private Endpoint への IP/Port ベースのルール制御
• UDR で Private Endpoint への Next Hop を Azure Firewall に向けることで、トラフィックを Firewall 経由に
• Application Gateway / Front Door から Private Endpoint への配信は Private Link Service との組み合わせ

対応サービス一覧

2026 年現在、Azure の主要 PaaS サービスのほぼすべてが Private Endpoint 対応です。

• Storage: Blob / File / Queue / Table / Data Lake Gen2
• Database: SQL DB / Managed Instance / Cosmos DB / PostgreSQL / MySQL
• Compute: App Service / Functions / Container Apps / AKS Private Cluster
• Container: Azure Container Registry
• Security: Key Vault / Managed HSM
• Messaging: Event Hub / Service Bus / Event Grid
• AI / Search: Azure AI Search / Azure AI Foundry / Azure OpenAI / Azure Machine Learning
• Data: Synapse Analytics / Data Factory / Microsoft Purview / Microsoft Fabric
• Operations: Azure Monitor (Private Link Scope) / Automation / Backup / Site Recovery
• Configuration: App Configuration

Private Endpoint の制約

1. Private Endpoint は VNet 内に Private IP を占有 (1 サービスあたり 1-3 IP)、IP アドレス計画に影響。
2. Subnet で Network Policy (Private Endpoint Network Policies) を明示的に有効化しないと NSG / UDR が Private Endpoint に適用されない。
3. Private Endpoint は一度作成すると別 Subnet への移動不可、削除→再作成が必要。
4. サービスによっては『接続要求の承認』ワークフローがあり、PaaS リソースオーナーの承認を待つ必要 (Manual Approval 設定の場合)。
5. コスト: 0.01 USD/h × 730h ≈ 月 700 円 + データ転送料。多数の Private Endpoint を作る場合は累積コストに注意。

どちらを選ぶか

2026 年の新規プロジェクトでの選定指針:

• セキュリティ・コンプライアンス重視: Private Endpoint 一択。GDPR・HIPAA・PCI DSS・APPI 要件で必須。
• オンプレからアクセス必要: Private Endpoint 一択。Service Endpoint は VNet 内からのみ。
• コスト最小化が最優先: Service Endpoint も検討 (月 700 円/サービス × 数十サービスは大きい)。
• 新規 PaaS サービスで Private Endpoint 未対応: Service Endpoint 一時利用、Private Endpoint 対応後に移行。

関連認定試験

• AZ-700 (Network Engineer Associate): Private Endpoint / Service Endpoint が深く問われる。
• AZ-104 (Administrator): ドメイン 4 で基礎概念。
• AZ-305 (Solutions Architect Expert): アーキテクト視点での選定。
• SC-100 (Cybersecurity Architect Expert): ゼロトラストネットワーク設計。

よくある質問

本記事の技術情報は Azure Private Link Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。