Azure を利用したマルチクラウド戦略

マルチクラウドとは、複数のクラウドプロバイダーにまたがってワークロードを運用することです。たとえば、ほとんどのサービスには Azure を使用し、特定の機械学習プラットフォームには AWS、BigQuery による分析には Google Cloud を使用します。組織がマルチクラウドを採用する理由には、ベンダーロックインの回避、各プロバイダーの最高水準のサービスの活用、単一プロバイダーへの依存を避けるための契約上または規制上の要件への対応、異なるクラウドを標準としていた企業同士の合併・買収などがあります。現在、大企業ではマルチクラウドが一般的です。

マルチクラウドでは、運用に関する重大な課題が生じます。スキルの分散 — チームには複数のクラウドプラットフォームに関する専門知識が必要です。ガバナンスの不整合 — クラウドごとに IAM、ポリシー、コンプライアンスのツールが異なります。セキュリティの複雑化 — 脅威モデル、セキュリティサービス、監査ログがそれぞれ異なります。コスト管理 — 請求ポータルや料金単位が別々で、プロバイダー間のコストを統合して把握できません。ネットワークの複雑化 — クラウド間のトラフィックにはエグレス料金と遅延が発生します。Microsoft は Azure Arc と Defender for Cloud のマルチクラウド対応によって、これらの課題の多くに対処しています。

オンプレミスサーバーのオンボードに使用するAzure Arc 接続マシンエージェントは、AWS EC2、Google Cloud Compute Engine、その他のクラウドで実行される VM でも動作します。Arc に登録すると、これらの VM は ARM ポータルで Azure ネイティブリソースと並べて表示されます。Azure Policy を適用したり、同じ KQL クエリで Azure Monitor を使用したり、AWS および GCP の VM に対する Defender for Cloud のセキュリティに関する推奨事項を確認したりできます。Azure ポータルを離れたり、AWS 固有のツールを学習したりする必要はありません。

Microsoft Defender for Cloud は、AWS および Google Cloud Platform 用のネイティブコネクタをサポートしています。AWS アカウントまたは GCP プロジェクトを接続すると、Defender for Cloud は、Azure で使用されるものと同じ Secure Score のフレームワークを使って、EC2 インスタンス、S3 バケット、RDS データベース、GCP リソースのセキュリティ態勢を評価できます。検出結果を CIS AWS Foundations Benchmark などの標準に対応付け、設定ミス（一般公開された S3 バケットや、過度に広い権限を持つ IAM ロールなど）を Azure の推奨事項とともに 1 つのダッシュボードで検出します。

Azure Cost Management + Billing では、AWS Cost and Usage Report (CUR) を Azure Connector に接続することで、AWS のコストを取り込めます。これにより、Azure の支出と AWS の支出を統合されたコスト分析ビューで確認でき、クラウド間のコスト比較や配賦が可能になります。両方のプロバイダーにまたがる予算とアラートを作成し、showback/chargeback に同じタグ付け戦略を適用することもできます。このマルチクラウドのコスト可視性は、複数のプロバイダーにまたがる支出を単一の画面で管理する FinOps チームにとって有用です。

多くのマルチクラウド戦略では、どのクラウドでも同じように実行できる抽象化レイヤーとして Kubernetes を使用します。Azure の AKS、AWS の EKS、GCP の GKE はすべて標準 Kubernetes を実行します。Azure Arc 対応 Kubernetes を使用すると、これらすべてを Azure から管理し、GitOps ベースのデプロイと Azure Policy (OPA Gatekeeper) を一貫して適用できます。Azure Container Registry に保存されたコンテナーイメージは、任意のクラウドの Kubernetes クラスターから pull できるため、Azure ACR は自然なマルチクラウドのイメージレジストリハブになります。

Azure Landing Zone は、ガバナンス、ID、セキュリティ、ネットワークに関するベストプラクティスを実装した、事前構成済みの環境です。マルチクラウドを導入する際、組織はランディングゾーンの概念を拡張し、すべてのプロバイダーに適用する標準を定義します。Microsoft の Cloud Adoption Framework (CAF) には、リソースが Azure、AWS、オンプレミスのいずれに存在する場合でも一貫して機能する、管理グループ階層、命名規則、タグ付け戦略の構成方法に関するマルチクラウドのガイダンスが含まれています。

Azure と AWS（または GCP）のワークロードを接続するには、クラウド間ネットワークが必要です。一般的なパターンは次のとおりです。VPN トンネル — Azure VPN Gateway と AWS Virtual Private Gateway または GCP VPN の間を接続します。簡単に構成できますが、帯域幅が限られ、遅延も変動します。サードパーティの SD-WAN（Megaport、Equinix Fabric など） — ExpressRoute に似たプライベートなクラウド間回線を構築します。アプリケーション層の統合 — パブリックエンドポイント経由で HTTPS を使用してサービス間通信を行います（最も簡単な方法ですが、インターネットを使用します）。AWS と GCP のエグレス帯域幅料金により、大量のクラウド間データ転送は高額になります。

Microsoft Entra ID は、マルチクラウドアクセスの ID プロバイダー (IdP) として利用できます。AWS では、Entra ID を AWS IAM Identity Center の SAML 2.0 IdP として構成できます。これにより、ユーザーは Entra ID の資格情報と MFA を使用して AWS コンソールにアクセスでき、AWS IAM ユーザーを別途作成する必要がありません。GCP でも同様のフェデレーションが可能です。これにより ID ガバナンスを一元化できます。入社、異動、退職するユーザーの管理は Entra ID で行い、アクセス権はすべてのクラウドプロバイダーに自動的に反映されます。

FinOps（Cloud Financial Operations）のプラクティスは、プロバイダーごとに料金モデル、割引の仕組み、課金の粒度が異なるため、マルチクラウドではより複雑になります。ベストプラクティスには、コスト配賦のためにすべてのプロバイダーでタグ付けを標準化すること、Azure Cost Management + Billing の AWS コネクタを使用して可視性を統合すること、Reserved Instances (Azure)、Savings Plans (AWS/Azure)、Committed Use Discounts (GCP) を理解する FinOps チームを設置すること、同等のワークロードのコストを比較するためにプロバイダー横断のコストレビューを定期的に実施することが含まれます。

マルチクラウドは、慎重に管理しなければ問題を引き起こす可能性があります。回避すべき一般的なアンチパターンは次のとおりです。意図しないマルチクラウド — 戦略なしに複数のクラウドを使用すると、無秩序なリソースの拡散とコストの増大につながります。スキルの過度な負担 — すべてのエンジニアに各クラウドの専門家になることを求めるのではなく、プラットフォームごとにクラウドオーナーを指名します。セキュリティの不整合 — クラウドごとに異なるセキュリティベースラインを適用するのではなく、Azure Arc と Defender for Cloud を使用して一貫性を確保します。エグレスコストの無視 — クラウド間のデータ転送にはプロバイダーのエグレス料金が適用されるため、FinOps チームが予想外のコストに直面する可能性があります。

このレッスンで学習した Microsoft Azure Fundamentals (AZ-900) の概念について、理解度を確認します。

このレッスンでは、Azure Arc により同じ接続マシンエージェントを使用して Azure の管理を AWS および GCP の VM に拡張できること、Microsoft Defender for Cloud のマルチクラウドコネクタによりプロバイダー間のセキュリティ検出結果を統合された Secure Score で確認できること、Microsoft Entra ID のフェデレーションにより 1 つの企業 ID から AWS および GCP コンソールへのシングルサインオンが可能になることを学びました。これで Azure Hybrid and Multi-Cloud コースは完了です。次は Well-Architected Framework を使用して、Azure アーキテクチャを評価・改善します。