変更要約: AZ-700 第5章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
5.2サービスエンドポイントとの使い分け
PaaS へのアクセスを VNet 経由に最適化する サービスエンドポイント と、プライベート IP を付与する プライベートエンドポイント の違いと使い分けを理解します。また自作サービスを Private Link で提供する Private Link Service にも触れます。
PaaS へのアクセス制御には2つの方式があります。プライベート IP を付けるプライベートエンドポイントと、経路を最適化し PaaS 側で VNet を許可するサービスエンドポイントです。
5.2.12 つの方式の違い
- サービスエンドポイント：経路を Azure バックボーンに最適化し、PaaS 側のファイアウォールで対象サブネットを許可する。プライベート IP は付与しない。
- プライベートエンドポイント：VNet 内にプライベート IPを付与。オンプレからも到達でき、より厳密にプライベート化できる。
- 使い分け：プライベート IP/オンプレ到達/厳密な分離が必要ならプライベートエンドポイント、簡易に VNet を許可するだけならサービスエンドポイント。
- Private Link Service：自作の（背後に Standard Load Balancer を置く）サービスをPrivate Link で他テナント/VNet に提供できる。
「プライベート IP を付与・オンプレからも到達＝プライベートエンドポイント」「プライベート IP を付けず PaaS 側で VNet を許可・経路最適化＝サービスエンドポイント」「自作サービスを Private Link で提供＝Private Link Service」 は AZ-700 で頻出です。オンプレからのプライベート到達が要件なら必ずプライベートエンドポイントを選びます。
サービスエンドポイントは Azure 内の VNet からのアクセス最適化に向き、オンプレ→PaaS のプライベート到達には対応しません。要件にオンプレが含まれるならプライベートエンドポイントです。
両者は仕組みが根本的に異なります。サービスエンドポイント はサブネットに対して有効化し、その VNet/サブネットの 識別情報 を PaaS に渡して、PaaS 側ファイアウォールの 仮想ネットワーク規則 で「この VNet だけ許可」とします。トラフィックは PaaS の公開エンドポイントへ向かいますが、経路は Azure バックボーンに最適化され、DNS 変更は不要・追加課金もありません。一方 プライベートエンドポイント は VNet 内に実際の プライベート IP を割り当て、PaaS の公開エンドポイントを使わずに到達します。そのためオンプレや別 VNet（ピアリング）からもプライベートに届き、公開アクセスを完全に無効化できます。データ流出（exfiltration）対策では、サービスエンドポイントは「自社の別テナントのストレージ」への送信を防ぎきれない弱点があり、より厳密にはプライベートエンドポイント＋公開無効化が推奨されます。自作アプリを Private Link で外部に提供する Private Link Service は、背後に Standard Load Balancer を必要とし、消費側はプライベートエンドポイントで接続します。要件に「オンプレからのプライベート到達」「公開経路の完全遮断」があれば迷わずプライベートエンドポイントを選びます。
| 観点 | サービスエンドポイント | プライベートエンドポイント |
|---|---|---|
| プライベート IP | 付与しない | VNet 内に付与 |
| 接続先 | PaaS の公開エンドポイント（経路最適化） | プライベート IP（公開経路を回避） |
| オンプレから | 不可 | 可（VPN/ER 経由） |
| 課金 | 追加課金なし | エンドポイント＋データ量 |
シナリオ： Azure 内の VNet からのみ Storage を使い、コストもかけたくない（オンプレ不要）。→ サービスエンドポイントを有効化し、Storage のファイアウォールで対象サブネットを許可します。逆にオンプレからもプライベートに使う・公開経路を完全に断つ要件なら、プライベートエンドポイント＋公開アクセス無効化を選びます。
FAQ： Q. サービスエンドポイントでも公開経路は使われますか？ → A. はい。接続先は PaaS の公開エンドポイントのままで、経路が最適化され VNet が許可されるだけです。完全な遮断にはプライベートエンドポイント＋公開無効化が要ります。Q. データ流出対策にはどちらが強い？ → A. プライベートエンドポイント＋公開無効化のほうが厳密です。
ひっかけ： 「サービスエンドポイントは PaaS にプライベート IP を割り当てる」は誤りです（割り当てるのはプライベートエンドポイント）。また「サービスエンドポイントでオンプレからプライベートに PaaS へ到達できる」も誤り（オンプレ到達はプライベートエンドポイントの役割）。
5.2.2この節のまとめ
- プライベートエンドポイント＝プライベート IP・オンプレ到達可、サービスエンドポイント＝IP なし・VNet 許可
- 自作サービスの Private Link 提供＝Private Link Service
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. プライベート IP を付与せず、経路を最適化して PaaS 側ファイアウォールで対象サブネットを許可する方式はどれですか？
Q2. オンプレミスからもプライベートに PaaS へ到達する必要がある。どちらの方式を選びますか？
Q3. 自社で作ったサービス（背後に Standard Load Balancer）を、他の VNet やテナントに Private Link で提供したい。何を使いますか？