AzureでPaaS（StorageやSQLなど）に安全に接続する方法として、よく出てくるのが：

Service Endpoint
Private Link（Private Endpoint）

この2つは似ているようで、設計思想がまったく違うため、最初はかなり混乱します。

この記事では、初心者でも理解できるように整理します。

結論（まずここだけ）

Service Endpoint = アクセス制御（誰が入れるか）
Private Link = 接続経路を変える（どこから入るか）

Service Endpointとは

概要

Service Endpointは：

VNetからAzure PaaSへのアクセスを制限する仕組み

通信のイメージ

VM（VNet内）
↓
Azureバックボーン（※インターネット扱い）
↓
Azure Storage（パブリックエンドポイント）

ポイント

接続先はパブリックIPのまま
通信はAzure内部ネットワークを通る
「このVNetから来た通信」として識別される

制御単位

👉 サブネット単位

例：

Subnet-A → 許可
Subnet-B → 拒否

オンプレミスからの接続

Service Endpointは使えないため：

オンプレ → NAT（グローバルIP） → Azure Storage

👉 IPアドレスベースで許可する

Private Link（Private Endpoint）とは

概要

Private Linkは：

Azure PaaSをVNet内のプライベートIPで使う仕組み

通信のイメージ

VM
↓
Private Endpoint（10.x.x.x）
↓
Azure Storage

ポイント

VNet内にプライベートIPが作られる
インターネットを通らない
完全に内部通信

DNSの役割（重要）

通常：

storage.blob.core.windows.net → パブリックIP

Private Endpoint使用時：

storage.blob.core.windows.net → プライベートIP

👉 この変換をDNSで行う

Service Endpoint vs Private Link

項目	Service Endpoint	Private Link
接続先	パブリックIP	プライベートIP
通信経路	Azureバックボーン	完全プライベート
本質	アクセス制御	接続経路変更
対象	Azure PaaSのみ	PaaS / SaaS / 自社サービス
DNS	不要	必須
セキュリティ	中	高

接続単位（重要）

Service Endpoint

サブネット単位で有効化

Private Endpoint

サブネットに配置されるリソース

👉 どちらも実質「サブネット単位」で考える

なぜPrivate Linkは高コスト・複雑？

コスト理由

Private Endpoint（リソース課金）
データ転送課金

複雑な理由

① DNSが必要

FQDNをプライベートIPに変換する必要がある

② ネットワーク設計が必要

サブネット設計
NSG / ルーティング

③ オンプレ連携が難しい

VPN / ExpressRoute
DNS統合

利用シナリオ

Service Endpointが向いている

社内ツール
開発環境
シンプル構成
オンプレから簡単に接続したい

Private Linkが向いている

機密データ（金融・医療）
インターネット遮断したい
ゼロトラスト
SaaS連携

設計判断のコツ

Q1. インターネットを通ってよいか？

YES → Service Endpoint
NO → Private Link

Q2. 完全に閉じたいか？

YES → Private Link

Q3. 構成の複雑さを許容できるか？

NO → Service Endpoint

本質まとめ

Service Endpoint = 外にあるサービスへのアクセス制限
Private Link = サービスの入口を内側に持ってくる

たとえで理解

Service Endpoint = 店にガードマンを置く
Private Link = 店の入口を建物の中に作る

最後に

最近の設計では：

簡易構成 → Service Endpoint
本番・高セキュリティ → Private Link

👉 迷ったらPrivate Linkが主流です