プライベートエンドポイントと似た機能で、サービスエンドポイントというものがあります。

サービスエンドポイントは、vNetに配置されたAzure VMからPaaSへの通信時に、インターネットに出ずにMicrosoftネットワーク内で閉じたアクセス（ルーティング）が可能です。あくまでもルーティングなので、対象のPaaSにはプライベートIPは付与されません。

プライベートエンドポイントでは、PaaSにvNet内のプライベートIPを割り当てることができるため、オンプレからExpress Route(Private Peering)経由で直接アクセスが可能です。

今回はStorage Accountにプライベートエンドポイント設定を入れて、オンプレからExpress Route(Private Peering)を介してアクセスすることが可能かをみていきます。

前提

Express Route(Private Peering)接続されたvNetが存在すること
Storage Accountが作成されていること

テスト用ファイルの仕込み

テスト用コンテナーと適当なファイルをアップロードしておきます。
コンテナーのアクセスレベルはプライベートにしておきます。

Private Link(プライベートエンドポイント)を作成する

Azure Portalの検索バーより「Private Link」を選択します。
[プライベートエンドポイント]を選択し、[作成]を選択します。
リソースグループやエンドポイント名を入力します。
以下のように設定します。
- リソースの種類：Microsoft.Storage/storageAccounts
- リソース：事前に作成したストレージアカウント
- 対象サブリソース：blob
- Table/DataLakeなどそれぞれサブリソース毎にエンドポイントが必要です。今回はBlobを選択しています。
プライベートエンドポイント接続させたい仮想ネットワークとサブネットを選択します。ここは空のサブネットでなくてよいです。今回はExpressRoute(Private Endpoint)の仮想ネットワークを選択します。
プライベートDNSは有効にしておきます。オンプレから接続する分には使わないのですが、同じ仮想ネットワークからアクセスする場合、プライベートDNSがBlobのプライベートIPを名前解決してくれます。
ここまで入力してプライベートエンドポイントを作成します。数分でプライベートエンドポイントが作られます。
プライベートエンドポイントが作成されたら[DNSの構成]を選択します。
プライベートIPが振られていることが確認できます。

プライベートエンドポイント以外からのアクセス拒否

ストレージアカウントの左バーから[ネットワーク]を選択します。
許可するアクセス元をプライベートエンドポイントからのみに制限するため、[選択されたネットワーク]を選択し保存します。

接続確認

ストレージアクセスキー取得

接続確認にはストレージアクセスキーを使います。ここはSASでもよいです。
ストレージアカウントの左バーから[アクセスキー]を選択し、キーをコピーしておきます。

Cloud Shellから接続確認

まずはパブリックアクセスが不可であることを確認するためにCloud Shellを開きます。
以下コマンドを実行し、BLOB一覧が表示されるか確認します。

az storage blob list -c [Your Storage Blob Container Name] --account-key [Your Storage Access Key] --account-name [Your Storage Account Name]

以下のようなエラーメッセージが出力し、アクセスがブロックされていることが分かります。想定通りです。

The request may be blocked by network rules of storage account. Please check network rule set using 'az storage account show -n accountname --query networkRuleSet'.
If you want to change the default action to apply when no rule matches, please use 'az storage account update'.

自PCから接続確認

まずは自PCからの名前解決を確認します。

ping kwhrblobendpointtest.blob.core.windows.net

blob.tyo20prdstr07a.store.core.windows.net [20.60.248.65]に ping を送信しています

パブリックIPを引いてきてますね。独自DNSに設定すればよいのですが、今回は環境がないため、hostsで上書きしてみます。

ping kwhrblobendpointtest.blob.core.windows.net

kwhrblobendpointtest.blob.core.windows.net [10.x.x.x]に ping を送信しています

プライベートIPを設定しました。
それではこの状態でアクセス可能かを確認してみます。Azure CLIで以下コマンドを実行します。

az storage blob list -c [Your Storage Blob Container Name] --account-key [Your Storage Access Key] --account-name [Your Storage Account Name]

今回は問題なくBlob一覧が表示されたはずです。Express Route(Private Peering)経由もしくはプライベートエンドポイント接続先仮想ネットワークからのみアクセスが可能な状態になっています。
もしオンプレがProxyを使っている場合は、PCの環境変数NO_PROXYに.blob.core.windows.netを設定してあげればProxyを介さずにExpressRoute経由になります。

以上