オンプレミスや他クラウド（Azure 外）で動く SQL Server を Azure Arc に接続すると、ポータル上の1つのリソースとして棚卸し・保護・移行評価までまとめて扱えます。対象は SQL Server 2012 以降（2012～2025） と幅広く、本記事では実機（SQL Server 2022）を題材に主要機能を1つずつ確認します。
はじめに
以前、ハイブリッドクラウド／マルチクラウド管理の入口として Azure Arc をご紹介しました。その Arc には、SQL Server 向けに特化して提供されている便利な機能が数多くあります。本記事ではそれらを実機で紹介します。いますぐ、オンプレミスや Azure 外にある SQL Server に対する コスト最適化・セキュリティ対策・モダナイズを始めてみませんか？
前回記事: ハイブリッドクラウド／マルチクラウド管理の入口「Azure Arc」を触ってみる ― ArcBox で学ぶ最新アップデートと Arc Gateway
Azure Arc 対応 SQL Server（SQL Server enabled by Azure Arc） は、SQL Server が動くマシンを Azure Arc に接続し、そこへ Azure extension for SQL Server を入れるだけで、SQL Server インスタンスを Azure リソース（Microsoft.AzureArcData/sqlServerInstances） として投影します。これにより、移行せずとも Azure ポータルから一元管理できます。
本記事では、すでに構築済みの Arc 有効化 SQL Server 環境を使い、次の機能が「実際にどう見えるのか」を確認します。
- インベントリ（棚卸し）
- Best Practices Assessment（構成のベストプラクティス評価）
- Microsoft Defender for SQL / Defender for Cloud（脅威保護・脆弱性評価）
- Azure Migrate による SKU 推奨・コスト試算（PaaS / IaaS 判定の読み解き）
- ESU（拡張セキュリティ更新プログラム）によるサポート期限切れバージョンの延命
- ライセンス種別ごとに使える機能の一覧
本記事の情報は Microsoft Learn の公開情報（2026年7月時点）と、実機（SQL Server 2022 Developer / Arc 接続済み）の確認結果に基づきます。リンクは各セクション末尾および参考リンクに記載しています。
TL;DR（先に結論）
-
移行不要で始められる: SQL Server を Arc 接続するだけで
Microsoft.AzureArcData/sqlServerInstancesとして Azure リソース化され、棚卸し・セキュリティ・移行評価・監視を「今の場所のまま」一元管理できる。接続と棚卸し（インベントリ）は License only で追加の Azure 料金なし。 - 単一のコントロールプレーン: オンプレ/他クラウドのインスタンスも Resource Graph・タグ・RBAC・Policy の対象になり、Defender for SQL / Best Practices Assessment でセキュリティと構成健全性を Azure 側から適用できる（BPA・監視など一部は SA/PAYG が前提）。
- 段階的なクラウド移行: Azure Migrate 連携で Arc のインベントリからそのまま移行先 SKU とコストを試算でき、サポート期限切れ（特に 2026/7/14 EOS の SQL Server 2016）は ESU で最大 3 年延命してから移行できる。
1. アーキテクチャ（最終形）
Arc 対応サーバー（マシン）と Arc 対応 SQL Server（インスタンス）は別々の Azure リソースとして作られ、後者にセキュリティ・評価・監視の各機能が紐づきます。前者のマシン側も Azure Arc 対応サーバーとして、Azure Policy・拡張機能管理・Azure Monitor / Update Manager・Machine Configuration といった 通常の Arc 機能をそのまま利用できます。Arc 対応サーバー自体の機能やセットアップは別記事「ハイブリッドクラウド／マルチクラウド管理の入口「Azure Arc」を触ってみる ― ArcBox で学ぶ最新アップデートと Arc Gateway」にまとめています。
対応バージョン/OS: Arc 対応 SQL Server は SQL Server 2012 以降（～2025、64bit）・Windows/Linux（Ubuntu 20.04・RHEL 8・SLES 15）をサポートします。ただし Best Practices Assessment・移行アセスメント・Microsoft Defender for Cloud・監視（プレビュー）は Windows 限定で、監視/BPA は Standard/Enterprise・SQL 2016 SP1 以降・ライセンス種別 SA または PAYG が前提です。
また、Arc への接続には アウトバウンドのネットワーク疎通が必要です（受信ポートの開放は不要）。主な通信要件は次のとおりです。
通信要件（ネットワーク）:
- Azure Connected Machine エージェント（Arc 対応サーバー）: Azure Arc へ TCP 443（アウトバウンド） で接続。既定はインターネット直結だが、プロキシや Azure Arc Private Link スコープも利用可。許可が必要な主なエンドポイント例:
login.microsoftonline.com（Entra ID）・management.azure.com（ARM）・*.his.arc.azure.com・*.guestconfiguration.azure.com・download.microsoft.com。サービスタグではAzureActiveDirectory/AzureResourceManager/AzureArcInfrastructure/Storage/AzureFrontDoor.Frontend（2026 年 4 月以降）等を許可。- Azure extension for SQL Server: Azure Arc データ処理サービス
*.<region>.arcdataservices.comへ TCP 443・アウトバウンド（Microsoft Entra ID 認証、TLS 1.2/1.3 のみ）。<region>は Azure リージョン名から空白を除いた値（例: East US 2 →eastus2）。US Gov リージョンは*.<region>.arcdataservices.azure.us。- 監視・カスタムログ収集（任意）: Azure Monitor へ送る場合は
*.ingest.monitor.azure.com（データ収集エンドポイント）への疎通が追加で必要。- プロキシ利用時は
NO_PROXYにlocalhost/127.0.0.1を設定する。
2. Arc 対応 SQL Server の主要機能
2-1. デジタルインベントリ（棚卸し）
Azure ポータルで Azure Arc > SQL Server インスタンス を開くと、Arc 接続済みの SQL Server が一覧化されます。個々のインスタンスを開くと、バージョン・エディション・インスタンス名・接続状態・データベース一覧が「Azure リソースの概要」として表示されます。
インスタンス概要ページ。SQL Server 2022 / Developer / Connected が確認できる。
配下のデータベースも Azure リソースとして棚卸しできます。
AdventureWorksLT2022 や ArchiveDB など、ユーザー DB がインベントリ化されている。
ポイント: 移行や構成変更をしなくても、「どのサーバーにどのエディション・バージョンの SQL がいくつ動いていて、どんな DB を持つか」が Azure Resource Graph でクエリできるようになります。数百インスタンス規模の棚卸しで効果を発揮します。
なお、インベントリ（SQL Server インベントリ / 詳細インベントリ）は最も基本な License only ライセンスでも利用可能で、追加の Azure 料金はかかりません（BPA・監視・ローカルバックアップ・ESU は SA/PAYG が前提）。
さらに、SQL Server が載っているマシン（Arc 対応サーバー）側では、変更履歴とインベントリ（Change Tracking and Inventory）により、OS 上にインストールされたソフトウェア・Windows サービス・ファイル・レジストリまで棚卸しできます。マシンリソース ArcBox-SQL の [インベントリ] ブレードを開くと、Microsoft SQL Server 2022 (64-bit)・SQL Server 2022 Common Files・Microsoft ODBC Driver 17 for SQL Server・Microsoft OLE DB Driver for SQL Server・SSMS 関連コンポーネントなどが自動収集されているのが分かります（本環境ではソフトウェア 209 件・Windows サービス 191 件）。
ArcBox-SQL マシンのインベントリ。Software Type=Application で並べ替えると、SQL Server 2022 本体や各種ドライバー、SSMS などが確認できる。
補足: このソフトウェアインベントリは Azure Arc の「変更履歴とインベントリ」機能（
ChangeTracking-Windows拡張 + Azure Monitor Agent / データ収集ルール）によるもので、SQL Server インスタンスの棚卸しとは別に、Arc 対応サーバー（マシン）リソース側で提供されます。Defender for SQL の有効化とは独立して利用でき、収集データは接続先の Log Analytics ワークスペースのConfigurationDataテーブルに蓄積されます。出典: Azure Monitor エージェントを使用した Azure Change Tracking とインベントリの概要
2-2. Best Practices Assessment（構成評価）
Best Practices Assessment は、Arc 有効化 SQL Server の構成（トレースフラグ、tempdb 構成、統計、インデックス断片化など）をスキャンし、推奨事項をレポートします。インスタンスの [設定] > ベスト プラクティス アセスメント を開くと、評価の状態・Log Analytics ワークスペース・評価スケジュール・過去の評価結果を確認でき、ここから [評価の実行] や [構成] を行えます。
ベスト プラクティス アセスメントのページ。評価は毎週日曜に自動実行され、直近の評価は「完了」と表示されている。
アセスメントを実行すると、[結果] タブに問題総数と重大度別の内訳が表示されます。本環境では問題総数 406 件のうち 新しい問題が 52 件 検出されました。
アセスメント結果の概要。問題総数と新しい問題の件数が一目で分かる。
[新しい問題] タブでは、検出された各推奨事項が重大度（高 / 中 / 低 / 情報）・対象（Server / Database）・メッセージ・タグ・CheckId 付きで一覧表示されます。本環境の 52 件の内訳は 高 1・中 25・低 19・情報 7 でした。Instant File Initialization の有効化、tempdb ファイルの事前割り当て、MaxDOP 構成、sa ログインの強力なパスワード設定、フルバックアップの取得などが挙がっています。
[新しい問題]タブ。重大度別の内訳（高1・中25・低19・情報7）と各推奨事項の詳細を確認できる。
注意: Best Practices Assessment の評価結果を表示するには、Software Assurance（Paid）または PAYG（従量課金） ライセンスに加え、Log Analytics ワークスペースと Azure Monitor Agent（データ収集ルール）の構成が必要です。
2-3. Microsoft Defender for SQL（脅威保護・脆弱性評価）
Microsoft Defender for SQL を有効化すると、Arc 有効化 SQL Server に対して 脅威検出（異常アクセス、SQL インジェクション疑い等） と 脆弱性評価（構成のセキュリティチェック） が適用されます。Defender for SQL は Best Practices Assessment と異なり、全ライセンス種別（License only を含む）で利用可能です。
有効化は Microsoft Defender for Cloud のプラン設定、またはインスタンスの [セキュリティ] > Microsoft Defender for Cloud から行います。有効化後は、Arc マシンの [Security] ブレードで Defender の保護状態やセキュリティ推奨事項・アラートをまとめて確認できます。
![ArcBox-SQL マシンの [Security] ブレード。Microsoft Defender for サーバーが「オン」、推奨事項 104 件・セキュリティ警告 0 件と、保護が有効な状態が表示されている](https://qiita-user-contents.imgix.net/https%3A%2F%2Fqiitaimgmayama0623.z11.web.core.windows.net%2Farc-for-sql%2F04-defender.png?ixlib=rb-4.1.1&auto=format&gif-q=60&q=75&s=0fb70453236b673edef77ce67aed295a)
ArcBox-SQL マシンの [Security] ページ。Microsoft Defender for サーバーが「オン」になり、推奨事項（104 件）とセキュリティ警告（0 件）を Azure から一元的に確認できる。
2-4. Azure Migrate による SKU 推奨・コスト試算
Arc 有効化 SQL Server は Azure Migrate と連携し、収集したパフォーマンス/構成メタデータから Azure SQL Managed Instance / SQL Server on Azure VM への推奨 SKU と月額コストを自動で算出します。インスタンス概要の Migrate（移行） ブレードで結果を確認できます。
Azure SQL MI / SQL VM への推奨 SKU と月額コストが提示される。
本環境で算出された試算（移行戦略「PaaS に最新化」。評価は毎週日曜に自動実行）:
| 移行先 | 種別 | 推奨 SKU | 月間コスト見積もり | 準備状況 |
|---|---|---|---|---|
| SQL Server on Azure VM（推奨） | IaaS | Standard_D2as_v4（2 仮想コア） | 約 33.87 USD | 準備完了 |
| Azure SQL Managed Instance | PaaS | ―（要リメディエーション） | 約 220.00 USD | 準備未完了 |
| Azure SQL Database | PaaS | 1 件の候補が使用可能 | 約 220.36 USD | 準備未完了 |
なぜ本来推奨したい PaaS ではなく IaaS（Azure VM）が推奨されたのか
移行戦略は 「PaaS に最新化」 を選んでおり、画面の [推奨事項の理由] にも「準備ができている場合は、コストに関係なく、IaaS より PaaS（Azure SQL MI / DB）への移行が優先される」と明記されています。それでも本環境で SQL Server on Azure VM（IaaS） が推奨されたのは、次の理由です。
- PaaS 側が「準備未完了」だった: Azure SQL MI・Azure SQL DB はいずれも [SQL Server インスタンスの対応性] が準備未完了で、データベースの準備度も一部が赤（未対応）でした。
- IaaS 側は「準備完了」で問題ゼロ: SQL Server on Azure VM は対応性が準備完了、移行に関する警告・問題ともに 0 件。
- その結果、「PaaS を最優先するが、PaaS が準備完了でないため、問題なく移行できる IaaS を推奨」というロジックで VM が選ばれました。
PaaS が準備未完了になる主因は、ソース SQL が使う機能・構成の互換性です。特に Azure SQL Database は制約が多く（インスタンス横断機能や一部のインスタンスレベル機能が非対応）、リフト＆シフトでは準備未完了になりやすい傾向があります。
実際に本環境で Azure SQL MI の評価結果を開くと、その原因が具体的に分かります。インスタンスの互換性は問題なし（イシュー 0）ですが、データベースの互換性でイシューが 1 件あり、ArchiveDB が使う FileStream / FileTable が Azure SQL Managed Instance では非対応であることが「準備未完了」の直接原因でした。
Azure SQL MI の評価結果。ArchiveDB の FileStream/FileTable が非対応と検出され、対処として「非構造化データを Azure Blob Storage へ退避（アプリ改修）」または「SQL Server on Azure VM へ移行」が提案されている。
PaaS（Azure SQL MI / DB）へ寄せるには
FileStream / FileTable のような非対応機能の改修は、GitHub Copilot で加速できます。実務では次のように進めます。
-
非対応箇所の洗い出し: GitHub Copilot（チャット / エージェント）にアプリのコードと T-SQL を走査させ、
FILESTREAM列・FileTable・関連 API（SqlFileStream、OpenSqlFilestream、PathName()など）の使用箇所を特定します。sys.columns.is_filestream/sys.tables.is_filetableで影響オブジェクトを列挙するクエリも生成できます。 -
改修コードの生成: FileStream の読み書きを Azure Blob Storage SDK（
Azure.Storage.Blobs）＋マネージド ID 認証へ置き換えるデータアクセス層、スキーマ変更（FILESTREAM 列 → BLOB 参照）、既存ファイルを Blob へ移すデータ移行スクリプトの雛形を Copilot に作らせます。 - テストと検証: 置き換え後のアップロード / ダウンロード経路の単体・結合テストを Copilot に生成させ、動作を確認します。
- アプリのモダナイズ支援: .NET / Java なら GitHub Copilot app modernization が Azure 移行の非互換を「アセスメント → 修復提案 → コード変更」まで一連で支援します。改修後に Azure Migrate の [評価の実行] で再評価し、PaaS の準備状況が改善したか確認します。
補足: Copilot は調査・コード生成・スクリプト作成を加速しますが、データ移行の実行や整合性を保った切り替えは人がレビュー・検証する運用作業です。改修コストが見合わない場合は、評価が推奨した SQL Server on Azure VM（IaaS）（FileStream / FileTable をそのまま使える）も現実的な選択肢です。
IaaS と PaaS で価格差がある理由
同じインスタンスでも VM 約 34 USD/月に対し、MI・DB は約 220 USD/月と差が出ています。これは「PaaS が割高」なのではなく、下限（最小構成）の違いが主因です。
- SQL Server on Azure VM（IaaS）: 2 仮想コアの小型 VM（Standard_D2as_v4）まで小さくサイジングでき、課金は VM のコンピューティング + ディスクが中心です。軽負荷ならその分安く収まります。
- Azure SQL Managed Instance（PaaS）: 自動 HA・自動バックアップ・自動パッチなどのマネージド サービス込みで、General Purpose は 最小 4 vCore + 予約ストレージという下限があります。そのため軽負荷でも月額の下限が高くなります。
- Azure SQL Database（PaaS）: 同様に PaaS のベースライン費用がかかります。
ポイント: 本環境は Developer エディションの軽負荷インスタンスのため IaaS が安く見えますが、実運用では PaaS のマネージド化による運用負荷の削減（パッチ・バックアップ・HA の自動化）や、負荷に応じたスケール・予約割引・AHB を加味した TCO（総保有コスト） で PaaS が有利になるケースが多くあります。移行評価は全エディションで無償なので、まず両方の準備状況とコストを見比べるのがおすすめです。
出典: SQL Server の移行（Azure Arc）の概要 / Azure SQL Managed Instance のリソース制限（最小 vCore・課金）
2-5. ESU（拡張セキュリティ更新プログラム）によるサポート期限切れバージョンの延命
SQL Server はサポート終了（End of Support）を迎えると、以降はセキュリティ更新が提供されず、脆弱性・コンプライアンスのリスクが高まります。Extended Security Updates（ESU）enabled by Azure Arc を使うと、Arc 接続済みの SQL Server に対して サポート終了後も最大 3 年間、MSRC 「重要（Critical）」のセキュリティ更新を受け取り続けられます。
特に SQL Server 2016 のサポート終了は 2026 年 7 月 14 日と目前に迫っており、早急な対応が必要です。
| バージョン | サポート終了（EOS） | ESU 提供期限（EOS から 3 年） |
|---|---|---|
| SQL Server 2016 (13.x) | 2026 年 7 月 14 日 | 2029 年 7 月 17 日 |
| SQL Server 2014 (12.x) | 2024 年 7 月 9 日 | 2027 年 7 月 8 日 |
| SQL Server 2012 (11.x) | 2022 年 7 月（終了済み） | 提供終了（一部 Arc 機能の前提として ESU 登録が必要） |
Azure Arc 経由の ESU には、従来のボリュームライセンス（VL）一括購入とは異なる運用上の利点があります。
- 従量課金・月単位で、いつでもペナルティなしで解約可能。アップグレードや移行が済んだらすぐに止められる
- 課金は Azure 経由でコア単位（最小 4 コア）。HA のパッシブレプリカは無償。Arc との接続が失われると課金は停止（サブスクリプション中断）
- Azure SQL へ移行すると ESU 課金は自動停止し、以降もセキュリティ更新は継続して受けられる
- 非運用用（Dev/Test）のサーバーは追加費用なしで ESU プランに登録できる
- 対象エディションは Enterprise / Standard。内容は MSRC「重要（Critical）」の更新のみで、新機能や非セキュリティのバグ修正は含まない
有効化は Arc の Azure extension for SQL Server 経由で行います。ポータルのインスタンス概要には [ESU サブスクリプション] の項目があり、対象バージョンではここから登録状態を確認・切替できます。
3. ライセンス種別ごとに使える機能
Arc 対応 SQL Server の機能は、申告するライセンス種別によって使える範囲が変わります。接続・棚卸し・移行評価・Defender for Cloud・Entra 認証などは License only（既存ライセンスの申告のみ）でも利用可能ですが、Best Practices Assessment・監視・ローカル自動バックアップ・自動更新（自動パッチ）・ESU などは Software Assurance 付き（Paid）または PAYG（従量課金）が前提です。
| 機能 | License only（申告のみ） | SA 付き / サブスクリプション（Paid） | 従量課金（PAYG） |
|---|---|---|---|
| SQL Server を Azure Arc に接続 | ✓ | ✓ | ✓ |
| SQL Server インベントリ | ✓ | ✓ | ✓ |
| 詳細なインベントリ | ✓ | ✓ | ✓ |
| 移行の準備（移行評価） | ✓ | ✓ | ✓ |
| データベースの移行 | ✓ | ✓ | ✓ |
| Microsoft Defender for Cloud | ✓ | ✓ | ✓ |
| Microsoft Entra 認証 | ✓ | ✓ | ✓ |
| Microsoft Purview を通じた管理 | ✓ | ✓ | ✓ |
| フェイルオーバー クラスター インスタンス | ✓ | ✓ | ✓ |
| AlwaysOn 可用性グループ | ✓ | ✓ | ✓ |
| 最小限の特権で操作する | ✓ | ✓ | ✓ |
| Best Practices Assessment | ― | ✓ | ✓ |
| 監視（プレビュー） | ― | ✓ | ✓ |
| クライアント接続の概要 | ― | ✓ | ✓ |
| ローカル記憶域への自動バックアップ（プレビュー） | ― | ✓ | ✓ |
| ポイントインタイム リストア | ― | ✓ | ✓ |
| 自動更新（自動パッチ） | ― | ✓ | ✓ |
| ESU サブスクリプション | ― | ✓ | ✓ |
注意: 上表は 2026 年 7 月時点の公開情報に基づく抜粋です。Best Practices Assessment・監視・自動バックアップ等は、ライセンス種別に加えて Windows 限定・Log Analytics / Azure Monitor Agent の構成・対応バージョン/エディションなどの前提もあります（最新・完全な一覧は出典を参照）。
まとめ
- Azure Arc 対応 SQL Serverは、移行せずにオンプレ/他クラウドの SQL Server を Azure リソース化し、棚卸し・セキュリティ・移行評価・監視を一元化する。
- デジタルインベントリでバージョン・エディション・DB 一覧が可視化され、Resource Graph での大規模棚卸しが可能になる。
- Defender for SQL / Best Practices Assessment でセキュリティと構成健全性を Azure 側から適用できる（Paid / PAYG ライセンスが前提の機能あり）。
- Azure Migrate 連携で、Arc のインベントリからそのまま SKU 推奨とコスト試算（AHB・RI 込み）が得られ、段階的なクラウド移行の判断材料になる。
参考リンク
- SQL Server 対応 Azure Arc とは（概要）
- SQL Server を Azure Arc に接続する
- SQL Server 対応 Azure Arc のライセンスと課金の管理
- SQL Server 対応 Azure Arc の構成（ライセンス種別）
- Arc 対応 SQL Server の前提条件（通信要件を含む）
- Azure Arc のネットワーク要件
- 詳細インベントリを表示する
- ベストプラクティス評価を構成する
- Microsoft Defender for Cloud で SQL Server を保護する
- SQL Server の移行（Azure Arc）の概要
- SQL Server 対応 Azure Arc の移行評価
- SQL Server の ESU（拡張セキュリティ更新）enabled by Azure Arc
- SQL Server の拡張セキュリティ更新とは
- SQL Server 2016 のサポート終了
- Azure Arc 対応サーバーの拡張機能管理
- Azure Arc Jumpstart（ArcBox）
本記事は GitHub Copilot および Microsoft Foundry を活用して作成されています。内容の正確性については各公式ドキュメントをご確認ください。