はじめに

3回に分けてAzure Container Apps（以下、ACA）の内部ネットワーク構造に注目し、深堀りしていきます。
以下の流れで説明していきます。

第1回目：Azure Container Appsにおける基本的なネットワークの概念を解説
第2回目：Azure Container Appsにおいて選択できるネットワークオプションとパラメータを解説
第3回目：Azure Container Appsにおけるパターンごとのネットワーク構成図を解説

今回は第2回目で、ACAにおいて選択できるネットワークオプションとパラメータについて解説していきます。

前回の記事

ACAとは

2022年5月にGAした、コンテナベースのアプリケーションを簡単にデプロイ、管理、スケールできるサービス
フルマネージドk8sベースのアプリケーションプラットフォーム
k8sが提供する高い可用性、セキュリティ、スケーラビリティの恩恵を受けつつ、k8sの管理は不要
KEDA、Dapr、EnvoyといったCNCFプロジェクトの成果物をマネージドサービスとして提供する

用語

Azure Container Apps Environment

Azure Container Apps Environment（以降、ACAE）は、ACAのインスタンスをホストするための論理的な境界。
ACAEは、アプリケーションが実行されるネットワーク、セキュリティ、およびリソースの設定を提供する。
ACAE内のアプリケーションは、同じリージョン内で物理的に近い場所に配置され、低遅延の通信を実現する。
ちなみに、Azure portalから作成する場合、ACAEの画面からACAEのみを新規作成することはできない（2024年7月初時点）。なので、ACAの作成画面にてACAEの「新規作成」を選択することでACAEの設定が可能になる。

Revision

ACAの特定のバージョン（断面）のこと。
構成管理のための概念。

その他、ACAの基礎知識は以下の記事を参考にしてください。

ACAのネットワークオプション

ACAにおいて選択可能なネットワークオプションは以下の通り。
ACAEとACAどちらの設定値なのか、という点に注意が必要である。
以降では、各オプションにおいて選択可能なパラメータがどのような効果を持つのかを整理する。

「環境の種類」オプション

比較的新しいパラメータである「ワークロードプロファイル」を選択すると価格モデルとしてハードウェア単位の課金を選択可能なほか、ネットワーク観点でも機能拡張がされている。
従量課金のみ：ACA自体がGAされた時から存在し、当初はこれしか選べなかった。
ワークロード：UDR&Azure firewall、NAT Gateway経由のOutbound通信をサポート。

「仮想 IP 」オプション

インターネットに公開するかプライベート環境にするかを選択できるオプション。
「内部」パラメータは、例えばACAからプライベートエンドポイント経由でストレージアカウントにアクセスしたいケース等に使う。

「イングレス」「イングレストラフィック」オプション

イングレス

ACAの「イングレス」タブの「イングレス」オプションを「有効」にすると、ACA内にイングレスが作成される。
Azure portalから作成する場合、初期状態で「イングレス」タブはない。「コンテナー」タブで「クイックスタートイメージを使用する」を無効化すると「イングレス」タブが出現する。

イングレストラフィック

アプリに許可する通信を制御できるオプション。
「仮想IP」で「内部」を選択すると項番1と2のみが、「外部」を選択すると項番2と3のみが選択可能となる。

「自分の仮想ネットワークを使用する」オプション（VNet統合）

いいえ

ACAE既定のオプション
VNetを識別できないため、他のVNetやVPN、Express Routeを経由したプライベート接続は不可
つまり、マネージドVNet構成のACAにはACAE内部、もしくはインターネット経由でアクセスする

はい

VNet統合したACAは「仮想IP 」オプションにてインターネット経由かプライベート接続かどちらか選択可能となる

VNet統合しないと、管理が容易で迅速にデプロイ可能であるため、開発やテスト環境での使用となると思う。
外部からのアクセスのみ必要で凝った設定がいらないシナリオではVNet統合しないという選択肢もあるが、基本的にはVnet統合した方が設定の自由度は上がる。

おわりに

ACAにおいて選択できるネットワークオプションとパラメータの意味についてまとめてみました。ネットワークオプションについて、簡単にまとめると以下の通りです。

ACAEの「仮想IP」の設定でインターネットに公開するか否かを選択する
ACAの「イングレストラフィック」にてインバウンド通信に対するアクセス制御ができる
アウトバウンド通信に対するアクセス制御はAzure firewallによって可能だが「環境の種類」を「ワークロードプロファイル」にする必要がある

次回は上記でまとめたネットワークオプションのパターンごとのネットワーク構成図について解説していきます。