仮想ネットワークに対する Azure IoT Hub Device Provisioning Service (DPS) のサポート

この記事では、DPS を使用して IoT ハブを使用してプロビジョニングする IoT デバイスの仮想ネットワーク接続パターンについて説明します。このパターンにより、顧客所有の Azure 仮想ネットワーク内のデバイス、DPS、IoT ハブ間のプライベート接続が提供されます。

DPS が仮想ネットワークで構成されているほとんどのシナリオでは、IoT ハブも同じ仮想ネットワークで構成されます。 IoT ハブの仮想ネットワークのサポートと構成の詳細については、 Azure Private Link を使用した仮想ネットワークに対する IoT Hub のサポートに関するページを参照してください。

イントロダクション

既定では、DPS ホスト名は、インターネット経由でパブリックにルーティング可能な IP アドレスを持つパブリックエンドポイントにマップされます。このパブリックエンドポイントは、すべての顧客に表示されます。ワイドエリアネットワークとオンプレミスネットワーク経由の IoT デバイスは、パブリックエンドポイントへのアクセスを試みることができます。

いくつかの理由から、お客様は DPS などの Azure リソースへの接続を制限したい場合があります。その理由は次のとおりです。

パブリックインターネット経由での接続の露出を防ぎます。 IoT ハブと DPS リソースのネットワークレベルの分離により、セキュリティの層を増やすことによって、露出を減らすことができます
オンプレミスのネットワーク資産からプライベート接続エクスペリエンスを有効にすると、データとトラフィックが Azure バックボーンネットワークに直接送信されます。
機密性の高いオンプレミスネットワークからの流出攻撃を防ぎます。
プライベートエンドポイントを使用して確立された Azure 全体の接続パターンに従います。

接続を制限する一般的な方法としては、 DPS IP フィルター規則やプライベートエンドポイントを使用した仮想ネットワークがあります。この記事の目的は、プライベートエンドポイントを使用する DPS の仮想ネットワークアプローチについて説明することです。

オンプレミスネットワークで動作するデバイスは、仮想プライベートネットワーク (VPN) または ExpressRoute プライベートピアリングを使用して Azure の仮想ネットワークに接続し、プライベートエンドポイントを介して DPS リソースにアクセスできます。

プライベートエンドポイントは、Azure リソースにアクセスできる顧客所有の仮想ネットワーク内に割り当てられたプライベート IP アドレスです。 DPS リソースのプライベートエンドポイントを用意することで、仮想ネットワーク内で動作するデバイスが、パブリックエンドポイントへのトラフィックを許可せずに DPS リソースによるプロビジョニングを要求できるようにします。各 DPS リソースは複数のプライベートエンドポイントをサポートできます。各プライベートエンドポイントは、異なるリージョン内の仮想ネットワークに配置されている可能性があります。

[前提条件]

続行する前に、次の前提条件が満たされていることを確認してください。

DPS リソースは既に作成されており、IoT ハブにリンクされています。新しい DPS リソースの設定に関するガイダンスについては、「クイックスタート: Azure portal で IoT Hub Device Provisioning Service を設定する」を参照してください
プライベートエンドポイントが作成されるサブネットを使用して Azure 仮想ネットワークをプロビジョニングしました。詳細については、「クイックスタート: Azure Virtual Network を作成する」を参照してください。
オンプレミスネットワーク内で動作するデバイスの場合は、仮想プライベートネットワーク (VPN) または ExpressRoute プライベートピアリングを Azure 仮想ネットワークに設定します。

プライベートエンドポイントの制限事項

プライベートエンドポイントを使用する場合の DPS の現在の制限事項に注意してください。

DPS リソースとリンクされた IoT ハブが異なるクラウドにある場合、プライベートエンドポイントは機能しません。たとえば、 Azure Government やグローバル Azure などです。
DPS のプライベートエンドポイントでは、パブリックリージョンでのみサポートされている Azure Private Link が使用されます。詳細については、 Azure Private Link の可用性に関するページを参照してください。
現時点では、Azure Functions for DPS を使用したカスタム割り当てポリシーは、Azure 関数が仮想ネットワークとプライベートエンドポイントにロックダウンされている場合は機能しません。
現在の DPS 仮想ネットワークのサポートは、DPS へのデータイングレス専用です。 DPS から IoT Hub へのトラフィックであるデータエグレスでは、専用の仮想ネットワークではなく、サービス間の内部メカニズムが使用されます。 DPS と IoT Hub 間の完全な仮想ネットワークベースのエグレスロックダウンのサポートは、現在利用できません。
待機時間が最も短い割り当てポリシーは、待機時間が最も短い IoT ハブにデバイスを割り当てるために使用されます。この割り当てポリシーは、仮想ネットワーク環境では信頼できません。
通常、1 つ以上のプライベートエンドポイントを有効にするには、DPS インスタンスへのパブリックアクセスを無効にする必要があります。パブリックアクセスが無効になると、Azure portal を使用して登録を管理できなくなります。代わりに、DPS インスタンスで構成された 1 つ以上の仮想ネットワーク/プライベートエンドポイント内のマシンから、Azure CLI、PowerShell、またはサービス API を使用して登録を管理できます。
プライベートエンドポイントを使用する場合は、可用性ゾーンをサポートするリージョンのいずれかに DPS をデプロイすることをお勧めします。そうしないと、プライベートエンドポイントが有効になっている DPS インスタンスでは、停止中に可用性が低下する可能性があります。

注

データ所在地に関する考慮事項:

DPS は、 グローバルデバイスエンドポイント (global.azure-devices-provisioning.net) を提供します。ただし、グローバルエンドポイントを使用すると、DPS インスタンスが最初に作成されたリージョンの外部にデータがリダイレクトされる可能性があります。初期 DPS リージョン内のデータ所在地を確保するには、プライベートエンドポイントを使用します。

プライベートエンドポイントを設定する

プライベートエンドポイントを設定するには、次の手順に従います。

Azure portal で、DPS リソースに移動します。
サービスメニューの [設定] で、[ネットワーク] タブを選択します。
作業ウィンドウで、[ プライベートアクセス ] タブを選択し、[ + プライベートエンドポイントの作成] を選択します。

[プライベートエンドポイントの作成] ページの [基本] タブで、次の表に示す情報を入力します。

[プライベートエンドポイントの作成] ページの [基本] タブを示すスクリーンショット。

フィールド	価値
Subscription	プライベートエンドポイントを含める目的の Azure サブスクリプションを選択します。
リソースグループ	プライベートエンドポイントを含むリソースグループを選択または作成します。
名前	プライベートエンドポイントの名前を入力します。
ネットワークインターフェイス名	必要に応じて、プライベートエンドポイントのネットワークインターフェイスの名前を入力します。
リージョン	プライベートエンドポイントのリージョンを選択します。選択するリージョンは、仮想ネットワークを含むリージョンと同じである必要がありますが、DPS リソースと同じである必要はありません。

[次へ: リソース] を選択して、プライベートエンドポイントが指すリソースを構成します。

[プライベートエンドポイントの作成] ページの [リソース] タブで、次の表に示す情報を入力します。

[プライベートエンドポイントの作成] ページの [リソース] タブを示すスクリーンショット。

フィールド	価値
Subscription	まだ選択されていない場合は、プライベートエンドポイントが指す DPS リソースを含む Azure サブスクリプションを選択します。
リソースの種類	まだ選択されていない場合は、 Microsoft.Devices/ProvisioningServices を選択します。
資源	まだ選択されていない場合は、プライベートエンドポイントがマップされる DPS リソースを選択します。
ターゲットサブリソース	[iotDps] を選択します。

ヒント

リソース ID またはエイリアス設定による Azure リソースへの接続に関する情報については、この記事の「プライベートエンドポイントの要求」セクションを参照してください。

[次へ: 仮想ネットワーク] を選択して、プライベートエンドポイントの仮想ネットワークを構成します。

[プライベートエンドポイントの作成] ページの [仮想ネットワーク] タブで、プライベートエンドポイントを作成する仮想ネットワークとサブネットを選択します。

[次へ: DNS] を選択して、プライベートエンドポイントに必要なプライベート DNS 統合オプションを選択します。
[プライベートエンドポイントの作成] ページの [DNS] タブで、プライベートエンドポイントに必要なプライベート DNS 統合オプションを選択します。

[次へ: タグ] を選択し、必要に応じてリソースのタグを指定します。
[ 次へ: 確認と作成] を選択し、[ 作成 ] を選択してプライベートエンドポイントリソースを作成します。

デバイスでプライベートエンドポイントを使用する

デバイスプロビジョニングコードでプライベートエンドポイントを使用するには、プロビジョニングコードで、Azure portal の DPS インスタンスの概要ページに示すように、DPS インスタンスの特定のサービスエンドポイントを使用する必要があります。サービスエンドポイントの形式は次のとおりです。

<Your DPS Tenant Name>.azure-devices-provisioning.net

ドキュメントと SDK で示されているほとんどのサンプルコードでは、 グローバルデバイスエンドポイント (global.azure-devices-provisioning.net) と ID スコープ を使用して、特定の DPS インスタンスを解決します。プライベートエンドポイントを使用してデバイスをプロビジョニングする DPS インスタンスに接続するときは、グローバルデバイスエンドポイントの代わりにサービスエンドポイントを使用します。

たとえば、Azure IoT C SDK のプロビジョニングデバイスクライアントサンプル (pro_dev_client_sample) は、prov_dev_client_sample.c のグローバルプロビジョニング URI (global_prov_uri) としてグローバルデバイスエンドポイントを使用するように設計されています。

MU_DEFINE_ENUM_STRINGS_WITHOUT_INVALID(PROV_DEVICE_RESULT, PROV_DEVICE_RESULT_VALUE);
MU_DEFINE_ENUM_STRINGS_WITHOUT_INVALID(PROV_DEVICE_REG_STATUS, PROV_DEVICE_REG_STATUS_VALUES);

static const char* global_prov_uri = "global.azure-devices-provisioning.net";
static const char* id_scope = "[ID Scope]";

}

PROV_DEVICE_RESULT prov_device_result = PROV_DEVICE_RESULT_ERROR;
PROV_DEVICE_HANDLE prov_device_handle;
if ((prov_device_handle = Prov_Device_Create(global_prov_uri, id_scope, prov_transport)) == NULL)
{
    (void)printf("failed calling Prov_Device_Create\r\n");

プライベートエンドポイントでサンプルを使用するために、前の例で強調表示されているコードは、DPS リソースのサービスエンドポイントを使用するように変更されます。たとえば、サービスエンドポイントが mydps.azure-devices-provisioning.netされた場合、コードは次のようになります。

static const char* global_prov_uri = "global.azure-devices-provisioning.net";
static const char* service_uri = "mydps.azure-devices-provisioning.net";
static const char* id_scope = "[ID Scope]";

    PROV_DEVICE_RESULT prov_device_result = PROV_DEVICE_RESULT_ERROR;
    PROV_DEVICE_HANDLE prov_device_handle;
    if ((prov_device_handle = Prov_Device_Create(service_uri, id_scope, prov_transport)) == NULL)
    {
        (void)printf("failed calling Prov_Device_Create\r\n");
    }

プライベートエンドポイントを要求する

リソース ID を使用して、DPS インスタンスにプライベートエンドポイントを要求できます。この要求を行うには、リソース所有者がリソース ID を指定する必要があります。

リソース ID は、次のスクリーンショットに示すように、Azure portal の DPS リソースの [プロパティ] ページに表示されます。

注意事項

リソース ID にはサブスクリプション ID が含まれています。

リソース ID を取得したら、[ プライベートエンドポイントの作成] ページの [ リソース ] タブの手順 3 に従って プライベートエンドポイントを 設定します。 [リソース ID またはエイリアスで Azure リソースに接続する] を選択し、次の表に情報を入力します。

フィールド	価値
リソース ID またはエイリアス	DPS リソースのリソース ID を入力します。
ターゲットサブリソース	iotDps を入力する
要求メッセージ	DPS リソース所有者の要求メッセージを入力します。たとえば、次のように入力します。 `Please approve this new private endpoint` `for IoT devices in site 23 to access this DPS instance`

[次へ: 仮想ネットワーク] を選択して、プライベートエンドポイントの仮想ネットワークを構成します。

[プライベートエンドポイントの作成] ページの [仮想ネットワーク] タブで、プライベートエンドポイントを作成する仮想ネットワークとサブネットを選択します。

[次へ: DNS] を選択して、プライベートエンドポイント要求に必要なプライベート DNS 統合オプションを選択します。
[プライベートエンドポイントの作成] ページの [DNS] タブで、プライベートエンドポイント要求に必要なプライベート DNS 統合オプションを選択します。

[次へ: タグ] を選択し、必要に応じてリソースのタグを指定します。
[ 次へ: 確認と作成] を選択し、[ 作成 ] を選択してプライベートエンドポイント要求を作成します。
DPS 所有者は、Azure portal の DPS インスタンスの [ネットワーク] ページの [プライベートエンドポイント接続] リストにプライベートエンドポイント要求を表示します。そのページで、所有者はプライベートエンドポイント要求を承認または拒否できます。

プライベートエンドポイントの価格

料金の詳細については、「Azure Private Link の料金」をご覧ください。

次のステップ

DPS セキュリティ機能の詳細については、以下をご覧ください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2025-11-22

次の方法で共有

仮想ネットワークに対する Azure IoT Hub Device Provisioning Service (DPS) のサポート

イントロダクション

[前提条件]

プライベート エンドポイントの制限事項

プライベート エンドポイントを設定する

デバイスでプライベート エンドポイントを使用する

プライベート エンドポイントを要求する

プライベート エンドポイントの価格