Azure Private Endpoint 設定手順: VM から Blob Storage への閉域接続

• Azure Portal の検索バーで「ストレージ アカウント」を検索し、[作成] をクリックします。
• [基本] タブで以下のように設定します。
  • リソースグループ: 作成済みのグループ (例: rg-private-link-test)
  • ストレージアカウント名:全世界で一意の名前 を入力してください (例: stprivatelinktest2026)
    • ※すでに誰かが使っている名前は使用できません。
  • 地域: VNet と同じリージョン (例: Japan East)
  • 冗長性: テスト用なので 「ローカル冗長ストレージ (LRS)」 で十分です（コスト節約）
• [ネットワーク] タブを確認します。
  • パブリック ネットワーク アクセス: 「無効」 を選択します。
  • ※これにより、インターネットからのアクセスを最初から完全に遮断します。この時点ではまだどこからも接続できない「孤立したストレージ」となります。
• [確認] > [作成] をクリックしてデプロイします。

ストレージアカウントができたら、その中にファイルを保存するための箱（コンテナ）を作成します。

1. 作成したストレージアカウントのリソース画面へ移動します。
2. 左メニューの [データ ストレージ] > [コンテナ] をクリックします。
3. 上部の [+ コンテナ] をクリックします。
4. 以下のように設定して [作成] をクリックします。
   • 名前: 任意の名前 (例: test-container)
   • パブリック アクセス レベル:「プライベート (匿名アクセスなし)」
     • ※ここを「プライベート」にしても、認証を通せばアクセス可能です。今回はセキュアな構成を目指すため、匿名アクセスは許可しません。

これで、接続先となるストレージと、ファイルの格納場所が準備できました。

Private Endpoint は「Private Link センター」からも作成できますが、接続したいリソース（今回の場合は Storage）の画面から作成する方が設定が自動入力されるため簡単です。

1. 作成したストレージアカウント (stprivatelinktest...) の画面を開きます。
2. 左メニューの [セキュリティ + ネットワーク] > [ネットワーク] をクリックします。
3. [プライベート エンドポイント接続] タブを開き、[+ プライベート エンドポイント] をクリックします。

ウィザードが開いたら、以下の手順で設定を進めます。

1. [基本] タブ:
   • リソースグループ: rg-private-link-test
   • 名前: 任意の名前 (例: pe-storage-blob)
   • 地域: VNet と同じリージョン (例: Japan East)
2. [リソース] タブ (※重要):
   • 対象サブリソース:「blob」 を選択します。
     • ※ここを間違えると（file や table を選ぶと）、Blob コンテナに接続できません。

Private Endpoint を「どこに置くか」を指定します。

1. [仮想ネットワーク] タブ:
   • 仮想ネットワーク: 作成済みの vnet-test を選択。
   • サブネット:default を選択。
     • ※Bastion 用のサブネット (AzureBastionSubnet) は選ばないでください。

ここが接続の成否を分けるポイントです。 VNet 内からドメイン名 (mystorage...) でアクセスした際に、プライベート IP が返るように設定します。

1. [DNS] タブへ進みます。
2. プライベート DNS ゾーンと統合する: 「はい (Yes)」 が選択されていることを確認します。
3. プライベート DNS ゾーン: (新規) privatelink.blob.core.windows.net となっていることを確認します。

なぜこの設定が必要か？ ここを「はい」にすることで、Azure が自動的に以下の処理を行ってくれます。

1. Private DNS Zone の作成: privatelink.blob.core.windows.net という名前解決用のゾーンを作成。
2. Aレコードの登録: ストレージ名とプライベート IP (例: 10.0.0.5) の紐づけを登録。
3. VNet リンク: 作成した DNS ゾーンを VNet に紐づけ。

1. [確認と作成] をクリックして設定を完了します。
2. デプロイが完了したら、作成された「Private Endpoint」のリソースへ移動し、[DNS 構成] メニューを確認してください。
   • 割り当てられた IP アドレス (例: 10.0.0.4 や 10.0.0.5) が表示されていれば設定完了です。

これで、「閉域網接続」の準備が整いました。 次章で、本当にプライベート IP で繋がるのか、動作確認を行いましょう。

作成ウィザードで自動設定されますが、稀に VNet との紐づけ（リンク）がうまくいかないことがあります。念のため確認しましょう。

• 作成された Private DNS ゾーン (privatelink.blob.core.windows.net) を開きます。
• 左メニューの [仮想ネットワーク リンク] をクリックします。
• 今回の VNet (vnet-test) が一覧にあるか確認します。
• もしなければ、[+ 追加] から手動で VNet を追加してください。
• これがないと、VM から名前解決ができず接続に失敗します。

どうして自動で紐付かないことがある？

再作成のタイミング: 以前に同じ名前で DNS ゾーンを作って削除した直後だと、裏側に「亡霊（メタデータ）」が残っていて、新規作成処理がスキップされることがあります。

処理の競合: Private Endpoint 本体と DNS 設定は別々に処理されるため、通信のタイミングによっては「リンク作成」だけがタイムアウトしてしまうことも…。

1. Azure Portal から Bastion 経由で VM にログインします。
2. VM 内でブラウザ（Microsoft Edge）を起動します。
3. 「Azure Storage Explorer」で検索し、公式サイトからインストーラー（StorageExplorer-windows-x64）をダウンロードしてインストールします。

VM からはインターネットへの閲覧（アウトバウンド通信）が可能なため、直接ダウンロードできます

次に、Blob Storage にアップロードするためのテストファイルを作成します。 せっかくなので、PowerShell を使って「作成日時」が入ったファイルをサクッと作ってみましょう。

1. VM 内で PowerShell を起動します。
2. 以下のコマンドをコピー＆ペーストして実行します。

# デスクトップに "testfile.txt" という名前で、現在時刻が入ったファイルを作成
$date = Get-Date
Set-Content -Path "$HOME\Desktop\testfile.txt" -Value "これは閉域網接続のテストです。作成日時: $date"

デスクトップに testfile.txt が作成されていれば OK です。

ツールを使う前に、ネットワーク的に「正しい経路（Private Endpoint）」を通っているかを確認します。 これが トラブルシューティングにおいて最も重要な手順 です。

1. VM 内で コマンドプロンプト (cmd) を起動します。
2. 以下のコマンドを実行します。

nslookup <作成したストレージアカウント名>.blob.core.windows.net

経路が正しいことが確認できたので、実際にファイルをアップロードしてみましょう。 まずは、接続に必要な「鍵」を Azure Portal から取得します。

STEP

アクセスキーの取得（Azure Portal）

1. VM 内のブラウザで Azure Portal を開きます。
2. 作成した ストレージアカウント (stprivatelinktest...) の画面を開きます。
3. 左メニューの [セキュリティ + ネットワーク] > [アクセス キー] をクリックします。
4. key1 の [表示] ボタンを押し、[キー] の値をコピーしてメモ帳などに控えます。
   • ※これがこのストレージの「合鍵」になります。

STEP

Storage Explorer での接続

1. インストールした Azure Storage Explorer を起動します。
2. 左側の [接続ダイアログを開く] アイコン（プラグのマーク）をクリックします。
3. [リソースの選択] 画面で以下を選択して進みます。
   • ストレージ アカウントまたはサービス を選択。
   • アカウント名とキー を選択。
4. [アカウント名とキーを使用して接続] 画面で情報を入力します。
   • 表示名: 任意の名前 (例: Test-Connection)
   • アカウント名: 作成したストレージアカウント名 (stprivatelinktest...)
   • アカウント キー: 手順1でコピーした「key1」の値を貼り付け。
5. [次へ] > [接続] をクリックします。

STEP

ファイルのアップロード

1. 左ツリーに接続したストレージが表示されるので、[Blob Containers] > [test-container] を開きます。
2. 先ほどデスクトップに作成した testfile.txt を、画面右側のエリアに ドラッグ＆ドロップ します。
3. 転送状況エリアに「完了」と表示され、ファイル一覧に表示されれば成功です！
   • インターネットを経由せず、閉域網だけでファイルが転送されました。