本記事は GitHub Copilot および Microsoft Foundry を活用して作成されています。内容の正確性については各公式ドキュメントをご確認ください。
はじめに
オンプレミスや他クラウドのサーバー／Kubernetes／SQL を、Azure の管理面（Azure Resource Manager）に取り込んで一元管理できるのが Azure Arc です。
本記事では、
- Azure Arc を最短で体験できる検証環境 ArcBox の紹介
- 直近約1年の Azure Arc アップデート（2025年6月〜2026年6月）
- ネットワーク要件を大幅に簡素化する Azure Arc Gateway とは何か
をまとめます。「Arc を触ってみたいけど環境構築が大変そう」という方の最初の一歩になれば幸いです。
本記事の情報は Microsoft Learn および Azure Updates の公開情報（2026年6月時点）に基づきます。リンクは各セクション末尾に記載しています。
目次
-
1. Azure Arc をまるごと体験できる「ArcBox」
- ArcBox とは／主なフレーバー
- デモ環境あるある：久しぶりに起動したら Arc が切断していた
- ArcBox で試せる主な運用機能（実画面つき）
-
2. 直近約1年の Azure Arc アップデート（2025年6月〜2026年6月）
- サーバー／Kubernetes／SQL／その他／廃止予定
-
3. Azure Arc Gateway とは
- 解決する課題／仕組み／7 つの FQDN／使い方／制限・設計ポイント
- まとめ
1. Azure Arc をまるごと体験できる「ArcBox」
ArcBox とは
ArcBox は、Microsoft の OSS プロジェクト Azure Arc Jumpstart が提供する「Azure Arc のサンドボックス」です。1 つの ARM/Bicep/Terraform デプロイで、Arc を体験するために必要なリソース一式が自動構築されます。
ポイントは、疑似的なオンプレミス環境を Azure 上に丸ごと作ってくれることです。ArcBox-Client という 1 台の Azure VM の中に、入れ子（ネスト）の Hyper-V 仮想マシンが複数立ち上がり、それらが「オンプレのサーバー」に見立てて Azure Arc に接続されます。
ArcBox-Client（1 台の Azure VM）の中で、ArcBox-SQL / ArcBox-Ubuntu-01 / ArcBox-Ubuntu-02 / ArcBox-Win2K22 / ArcBox-Win2K25 のネスト VM が Hyper-V 上で稼働しています。これらが「オンプレ相当のサーバー」として Azure Arc に接続されます。
ArcBox の主なフレーバー（種類）
| フレーバー | 主な対象 | 想定読者 |
|---|---|---|
| ITPro | Arc 対応サーバー（Windows/Linux/SQL）中心 | インフラ／IT 運用 |
| DevOps | Arc 対応 Kubernetes、GitOps | アプリ／プラットフォーム |
| DataOps | Arc 対応 SQL Managed Instance | データ基盤 |
例えば ITPro フレーバーでは、ArcBox-Client 上に以下のようなネスト VM が作成され、Arc 対応サーバーとして登録されます。
-
ArcBox-Win2K22/ArcBox-Win2K25（Windows Server） -
ArcBox-SQL（SQL Server on Azure Arc） -
ArcBox-Ubuntu-01/ArcBox-Ubuntu-02（Linux）
これにより、Azure Policy / Microsoft Defender for Cloud / Azure Monitor / Update Manager / Machine Configuration などを「オンプレ相当のマシン」に対して試せます。
デモ環境あるある：久しぶりに起動したら Arc が切断していた
私自身、お客様デモ用に久々に ArcBox-Client を起動したところ、ネスト VM がすべて Disconnected になっていました。
調査すると、原因は ホスト（ArcBox-Client）の送信インターネット経路の喪失でした。ArcBox はホスト上の NAT を経由してネスト VM に外部接続を提供しているため、ホストが外に出られないと配下の Arc エージェントが一斉に切断されます。
- VM 自体は起動・ネスト VM も Running
- しかしホストから
management.azure.com:443へ到達不可（DNS は解決するが TCP 失敗） - サブネットに NAT Gateway もパブリック IP も無く、不安定な「既定の送信アクセス（default outbound access）」頼みになっていた
対処として サブネットに NAT Gateway を追加したところ、数分で全ネスト VM が自動再接続しました。
再接続後、ネスト VM（左: Arcbox-Ubuntu-01／右: ArcBox-SQL）で azcmagent show を実行すると Agent Status: Connected となり、Azure Arc へ正常に接続できていることを確認できます（サブスクリプション ID ・テナント ID などの機微情報はマスクしています）。
補足: Arc 対応サーバーは、ハートビートが 15～30 分届かないと
Disconnectedになりますが、再接続すれば自動でConnectedに戻りリソースも保持されます。ただし長期化すると、Azure Policy のゲスト割り当ては 14 日で削除、45 日で状態がExpiredになりうる、45～90 日で Microsoft Entra マネージド ID が失効し接続不可になる、といった期限があります（「30 日」は SQL/Windows のライセンス課金や Arc 対応 Kubernetes の証明書の話で、サーバーとは別です）。
出典: What is Azure Arc-enabled servers?（Agent status） / Troubleshoot disconnected scenarios
Azure の「既定の送信アクセス」は Microsoft 所有の予告なく変わる IP で、本番非推奨かつ廃止が進められています。2026年3月31日以降に作成される新しい仮想ネットワークは既定でプライベートサブネットとなり、NAT Gateway・Load Balancer の送信規則・インスタンスレベル パブリック IP などの「明示的な送信経路」を構成しないとインターネットへ出られません。長期停止後の再起動などで途切れることもあるため、いずれにせよ明示的な送信経路を用意しておくのが安全です。
参考: Default outbound access in Azure / 既定の送信アクセス廃止のアナウンス
ArcBox で試せる主な運用機能（実画面つき）
ArcBox を起動すると、Arc 対応サーバーに対して Azure の運用機能を一通り試せます。ここでは ITPro フレーバーで実際に表示される画面を紹介します。
Azure Arc センター / サーバー一覧
Azure Arc センターから、ハイブリッド／マルチクラウドのリソースを一元的に俯瞰できます。
ITPro フレーバーでは ArcBox-Win2K22 / ArcBox-Win2K25 / ArcBox-SQL / Arcbox-Ubuntu-01 / Arcbox-Ubuntu-02 が Arc 対応サーバーとして登録されます。ArcBox-Client の中で動くネスト VM が、そのまま「オンプレ相当のサーバー」として並びます。
拡張機能（エージェント／監視／セキュリティ）
各マシンには Azure Monitor Agent、Dependency Agent、Change Tracking、Defender などの VM 拡張機能が展開され、Azure ネイティブ VM と同じ管理面で運用できます。
Azure Update Manager（OS パッチ管理）
Windows / Linux を横断して更新コンプライアンスを一元表示。定期評価・ワンタイム評価・スケジュールパッチを、オンプレ相当のサーバーに対して実行できます。主な特長は以下のとおりです。
- Arc 対応サーバーと Azure VM を一元管理: オンプレ／他クラウドの Arc VM だけでなく、ネイティブな Azure VM も同じ画面・同じ仕組みでまとめてパッチ管理できます。
- 事前／事後スクリプト（Pre/Post タスク）: パッチ適用の前後に Azure Automation Runbook を実行可能。「適用前にアプリ／MW を停止 → パッチ → 起動 → ヘルスチェック」といった一連の運用を自動化できます。
- スケジューリング: メンテナンス構成で「毎週土曜 2:00」「毎月第2日曜」などの保守ウィンドウを定義し、グループ単位で定期パッチを自動実行できます。
- 特定 KB の除外（インクルード／エクスクルード）: 適用したくない更新プログラム（KB 番号やパッケージ）を除外リストで指定でき、問題のある特定パッチだけ当てない運用が可能です。
Change Tracking & Inventory（インベントリ）
Windows（ArcBox-Win2K22）では、ソフトウェア・ファイル・Windows サービス・レジストリを横断的にインベントリ化できます（例: ソフトウェア 143 件、Windows サービス 194 件）。
Linux（Arcbox-Ubuntu-01）でも同様に、パッケージや Linux デーモンを把握できます（例: ソフトウェア 806 件、Linux デーモン 213 件）。OS 内の構成を、サーバーへログインせずポータルから確認できるのが利点です。
セキュリティとガバナンス
Microsoft Defender for Cloud により、Arc 対応サーバーのセキュリティ態勢評価や推奨事項を確認できます。
Azure Policy による構成コンプライアンス評価も、オンプレ／他クラウドのサーバーへ同じ仕組みで適用できます。
補足: 上記スクリーンショットは ArcBox（ITPro）で各機能を有効化した状態のものです。Update Manager の「定期評価」や
WindowsPatchExtension/LinuxPatchExtensionは、初回の評価・パッチ操作時に自動で導入されます。
2. 直近約1年の Azure Arc アップデート（2025年6月〜2026年6月）
Azure Updates の Arc 関連を、領域別に整理しました。トレンドは 「監視（OpenTelemetry / Managed Prometheus）の GA 化」 と 「ネットワーク／運用の簡素化（Arc Gateway・自動アップグレード）」 です。
Arc 対応サーバー / Connected Machine エージェント
Connected Machine エージェントは毎月更新されています。直近の注目点:
| 時期 | バージョン | 主な内容 |
|---|---|---|
| 2025/11 | 1.58 |
Arc Gateway が GA（connection.type の Preview フラグ削除） |
| 2025/12 | 1.59 | azcmagent が Azure CLI 資格情報での connect/disconnect に対応 |
| 2026/02 | 1.61 | 自動アップグレードのローカル無効化、MSI 署名検証の強化 |
| 2026/03 | 1.62 |
azcmagent upgrade コマンド追加、オンボード時の自動アップグレード有効化、TPM バックド ID（Preview） |
| 2026/05 | 1.64 |
Arc Gateway バイパスリスト対応、azcmagent show に ESU 適格性表示 |
| 2026/06 | 1.65 | TLS 証明書検証の強化（CVE 対応）、拡張機能 DL サイズ上限を 2GB に拡大 |
サポート対象は「リリースから1年以内のエージェント」のみ。自動アップグレードの有効化が推奨です。
Arc 対応 Kubernetes / 監視
- 2025/03 GA: Arc 対応 K8s 向け Managed Prometheus
- 2025/05 Preview → 2026/03 GA: Prometheus コミュニティ推奨アラート
- 2025/11 Preview → 2026/04 GA: OpenShift / ARO 向け Azure Monitor コンテナ監視
- 2025/11 Preview → 2026/06 GA: Arc 対応クラスター向け Fleet Manager
- 2025/11 Preview → 2026/06 GA: VM/Arc サーバー向け OpenTelemetry メトリクス・可視化
Arc 対応 SQL Server / データ
- 2025/07 Preview → 2025/11 GA: Arc 内の 新 SQL Server マイグレーション
- 2026/04 Preview: マイグレーション先として SQL Server on Azure VM を追加
- 2025/02 GA: Arc 対応サーバー上の PostgreSQL 検出
その他
- 2025/05 GA: Arc 対応 Azure Container Apps
- 2025/07 GA: Azure File Sync Arc 拡張機能
- 2025/10 GA: Arc によるファームウェア分析
廃止（Retirement）予定 ― 要注意
- 2025/09: Arc 対応 K8s 上の App Service 廃止
- 2026/10: AKS on Arc の Windows Server 2022 サポート廃止
- 2028/03: WS2019/2022 向け AKS 現行アーキテクチャの3年廃止計画
出典: Azure Updates（Arc フィルタ） / Connected Machine agent リリースノート
3. Azure Arc Gateway とは
解決する課題
Azure Arc 対応サーバーを企業プロキシ経由で接続する場合、従来は多数の送信先 FQDN を許可リストに登録する必要がありました。エンタープライズのネットワークセキュリティチームにとっては運用負荷が高い部分です。
Azure Arc Gateway を使うと、わずか 7 個の FQDN を開放するだけで Arc へオンボードできます。
仕組み
Arc Gateway は 2 つの要素で構成されます。
-
Arc Gateway リソース: Azure 側のトラフィックの共通フロントエンド。作成すると専用ドメイン（
<prefix>.gw.arc.azure.com）が払い出される - Arc プロキシ: Arc エージェント側に追加されるフォワードプロキシ（設定不要）
トラフィックは以下の経路で流れます。
Arc エージェント → Arc プロキシ → 企業プロキシ → Arc Gateway → 目的のサービス
裏側では 200 以上のエンドポイントを Arc Gateway が集約してくれるため、利用者は 7 つの FQDN を許可するだけで済む、という仕組みです。
開放が必要な 7 つの FQDN（サーバーのオンボード時）
| URL | 用途 |
|---|---|
<prefix>.gw.arc.azure.com |
Gateway 自身の URL |
management.azure.com |
Azure Resource Manager 制御チャネル |
login.microsoftonline.com / <region>.login.microsoft.com
|
Microsoft Entra ID（トークン取得） |
gbl.his.arc.azure.com |
Arc エージェント通信用クラウドサービス |
<region>.his.arc.azure.com |
Arc コア制御チャネル |
packages.microsoft.com |
Linux サーバーの Arc 接続 |
download.microsoft.com |
Windows インストールパッケージのダウンロード |
使い方（概要）
# 1. CLI 拡張の追加
az extension add -n arcgateway
# 2. Arc Gateway リソースの作成（作成に約10分）
az arcgateway create \
--gateway-name <gateway-name> \
--resource-group <RG> \
--location <region>
# 3. 既存の Arc サーバーを Gateway に関連付け
az arcgateway settings update \
--resource-group <RG> \
--subscription <sub> \
--base-provider Microsoft.HybridCompute \
--base-resource-type machines \
--base-resource-name <server-name> \
--gateway-resource-id <gateway-resource-id>
設定後はサーバー側で確認します。
azcmagent show # Agent Status: Connected / Using HTTPS Proxy: http://localhost:40343
azcmagent check # connection.type が gateway、各 URL が Reachable=true
知っておきたい制限・設計ポイント
- グローバルサービス: ランタイム接続は Azure Front Door 経由で最寄りのエッジへ。作成時に選ぶリージョンは制御プレーンの場所のみを決める
- 規模の目安: サーバーのみなら 1 Gateway リソースで 1 リージョンあたり約 2,000 リソース。サブスクリプションあたり Gateway リソースは最大 5 個
-
TLS インスペクション: Gateway のエンドポイント（
*.gw.arc.azure.com）は TLS インスペクション対象から除外することを推奨 -
プロキシバイパス非対応: Gateway 利用時は
proxy.bypassが効かない（※エージェント 1.64 で特定 FQDN を Gateway から外す「バイパスリスト」は追加） - 追加エンドポイントが必要なシナリオ: Defender、Azure Monitor Agent、Key Vault 証明書同期などは別途許可が必要
出典: Simplify Network Configuration Requirements with Azure Arc gateway
まとめ
- ArcBox を使えば、オンプレ相当の環境を含めて Azure Arc をワンデプロイで体験できる。久しぶりに起動して切断する場合は **ホストの送信経路（NAT Gateway 等）**を疑うとよい
- 直近 1 年の Arc は 監視の GA 化と運用・ネットワークの簡素化が大きな潮流。エージェントは毎月更新されるので自動アップグレードを推奨
- Arc Gateway は、企業プロキシ環境で 7 つの FQDN だけで Arc に接続できるようにする仕組み。2025/11 に GA 済みで、大規模ハイブリッド環境のオンボードを大幅に簡素化する
ハイブリッド／マルチクラウドの管理に課題を感じている方は、まず ArcBox で手を動かしてみるのがおすすめです。