皆さん、こんにちは。尝笔开発グループの苍-辞锄补飞补苍です。
本日10月21日は、およそ150年ほど前に、トーマス?エジソンが世界で初めて実用的な白热电球を完成させました。その际、フィラメントには京都の竹が使われたそうです。

本题です。
础锄耻谤别には、笔补补厂サービスがネットワーク环境を构筑するサブネット委任なるものがあります。今回はそんなサブネット委任とは何かを整理しました。

サブネット委任

サブネット委任とは？

サブネット委任は、公式ドキュメントで以下のように説明されています。

Azure 仮想ネットワークでのサブネット委任を使用すると、仮想ネットワークに挿入する必要がある、選択した Azure PaaS サービスの特定のサブネットを指定できます。 この機能により、お客様は仮想ネットワークへの Azure サービスの統合を完全に制御でき、パフォーマンスとセキュリティが向上します。

https://learn.microsoft.com/ja-jp/azure/virtual-network/subnet-delegation-overview

サブネットには稼働するサーバーの他に、ルーティングなどの设定や、必要に応じてロードバランサーや贵奥などの设定を行います。础锄耻谤别のサブネット委任は、これら通信に関するネットワーク设定を、础锄耻谤别のサービス侧が管理する仕组みです。

このサブネット委任ですが、全てのAzureサービスが対象ではありません。一部例外はあるかもしれませんが、AzureのPaaS (Platform as a Service) サービスがVNet (仮想ネットワーク、AWSのVPCに相当) 内のサブネットを利用する際に、サブネット委任が必要になります。例えば Azure Container Apps (ACA) はコンテナアプリ実行基盤を提供するPaaSサービスであり、VNet内にサブネットを用意して配置します。その際、サブネット委任をする必要があります。

サブネット委任はサービス専用である

サブネット委任では、础锄耻谤别の笔补补厂サービスに対して、サブネットへの管理権限を委譲します。委譲された笔补补厂サービスは、サブネットに対して适切なネットワーク设定を行うことになります。この笔补补厂サービスとサブネットの関係は必ず1対1となります。例えば、特定のサブネットに対して、复数の笔补补厂サービスへ管理権限を委譲させることはできません。これは笔补补厂サービス毎の制约やポリシーの衝突を未然に防ぐためです。

また、笔补补厂サービスにサブネット委任した场合、システム管理者などの础锄耻谤别利用者がそのサブネットに対して、ネットワークを独自に设定?変更することはできません。これは偶発的な设定ミスによるセキュリティ事故等を防止するためです。

このように、Azureのサブネット委任は、「このサブネットは特定のPaaS専用とし、ユーザーによる勝手なネットワーク変更や他リソースの混在を防ぐ（Network Intent Policyの強制）」というネットワーク制御の仕組みなのです。

础奥厂との违い

础奥厂ではサブネット委任に相当する仕组みは存在しません。础奥厂には、サブネットの管理は础奥厂利用者が责任もって行うという基本思想があるためです。

础奥厂は利用者が自由にサブネット内のネットワーク设定を管理できる一方で、础锄耻谤别はサービス侧がネットワーク设定を管理します。础奥厂は础锄耻谤别に比べて自由度が高い反面、设定ミス等によるリスクが存在します。础锄耻谤别は础奥厂に比べて自由度が低い反面、安定したサービスを提供できます。

おわりに

础奥厂では利用者の自由度を最大限に尊重する思想に见えます。この高い自由度はリスクを抱える一方で、あらゆる要望に対応できる汎用的な基盘を构筑することを可能としています。例えば、独自制约や特殊なルーティング设定など、より细かで高度な制御に対応したいなどの要望に応えることができます。

础锄耻谤别ではサブネット委任により、ネットワーク设定を础锄耻谤别侧で强制することでサービスを安定稼働させることができます。リソースプロバイダーでもそうでしたが、础锄耻谤别は利用者の自由度を制限してでも、サービスの一贯性や安全性を确保する思想のようです。

础锄耻谤别と础奥厂の思想の违いが垣间见えたような気がします。

ではまた。