1. はじめに
Azureで仮想マシン（VM）を構築・運用する際、RDPやSSHによるリモート接続をどのように実装するかは、重要な設計ポイントのひとつです。
従来は、パブリックIPを付与したVMに対して特定の接続元IPアドレスのみRDP/SSHを許可する方法や、パブリックサブネットに踏み台サーバーを構築する方法が一般的でした。
しかし、パブリックIPの付与によるセキュリティリスクや、踏み台サーバー自体のパッチ管理・OS運用のコストは、環境規模が大きくなるほど無視できない負担となります。
こうした課題への対応策として利用できるサービスがAzure Bastionです。
本記事では、Azure Bastionの導入メリットと、設計・運用上の考慮ポイントを整理します。
2. なぜ踏み台サーバーではなくAzure Bastionなのか？
Azure Bastionは、Azureが提供するフルマネージドな踏み台サービスです。
仮想ネットワーク（VNet）内に展開することで、Webブラウザ（HTTPS）経由で安全にVMへRDP / SSH接続することができます。
主なメリットは以下の5点です。
-
VMのパブリックIPの排除：
対象のVMにパブリックIPを付与する必要がなくなり、インバウンドの攻撃サーフェス（攻撃対象領域）を最小限に抑えることができます。 -
踏み台サーバーの運用保守からの解放：
自前で踏み台サーバーを構築した場合に必要となるOSパッチ適用やログ管理など、踏み台サーバー自体の運用負荷を軽減できます。 -
ブラウザベースの接続：
Azure Portalからブラウザベースで接続できるため、専用端末やRDP / SSHクライアントを用意する必要がありません。 -
二重のアクセス制御：
VM自体のOS認証に加え、Azure上のアクセス制御（RBAC）により
Bastionへ接続する権限を持っている必要があるため、不正アクセスを強固に防ぎます。 -
確実な監査ログ：
「誰が・いつ・どのVMに接続したか」という接続ログを容易に取得でき、ログ収集の仕組みを個別に構築する手間の軽減につながります。
3. Azure Bastion導入時に押さえておくべき注意点
非常に便利なAzure Bastionですが、実際に導入する際には、コストや設計上の制約など事前に考慮すべきポイントが出てきます。
① コスト（SKU）の選定
Azure Bastionは、配置しているだけで時間単位の課金が発生します。
特に開発環境や小規模な環境では、常時起動しているAzure Bastionの利用コストが管理対象VMのコストを上回るケースもあります。
対策：
利用頻度が低い環境では、Azure Bastionを必要な期間だけ作成する運用が有効です。
また、SKUによって利用できる機能が異なるため、用途に応じた適切なSKUを選ぶことも重要です。
例えば、最低限の機能でよい場合はDeveloper / Basicを、ネイティブクライアント接続やファイル転送が必要な場合はStandardを選択することで、無駄なコストを避けられます。
② ブラウザ以外の接続方法（ネイティブクライアント接続）
運用要件によっては、ブラウザではなく、普段利用しているRDP / SSHクライアントから接続したいケースもあります。
対策：
Standard SKUであれば、Azure CLIを利用することで
ローカルPCのネイティブクライアントからAzure Bastionを経由してVMに接続することが可能です。
そのため、設計時にあらかじめブラウザベースの運用のみで問題ないか、事前に確認しておくことが重要です。
③ サブネット設計
Azure Bastionをデプロイするには、AzureBastionSubnetという専用サブネットが必要です。
また、AzureBastionSubnetには/26以上のサブネットサイズが推奨されています。
対策：
Bastion導入を想定している場合は、/26以上のAzureBastionSubnetを確保できるように、VNetのアドレス空間に十分なバッファを持たせて設計することが重要です。
既存環境に後付けする可能性がある場合も、将来の拡張を見据えてアドレス空間を広めに確保しておくと安全です。
④ NSG / 通信要件の考慮
Azure Bastionでは、専用サブネット（AzureBastionSubnet）に対して必要な通信が許可されている必要があります。
特に、NSGを厳密に制御している環境では、必要な通信を許可できておらず、接続できないケースがあります。
対策：
Azure Bastion導入時はMicrosoft社が公開している必要通信要件を事前に確認し、NSGやルート設計に反映しておく必要があります。
（参考）Azure Bastion の NSG 規則を構成する
4. まとめ
Azure Bastionを利用することで、VMにパブリックIPを付与せず、セキュアなRDP / SSH接続を実現できます。
また、踏み台サーバーの運用負荷を軽減できる点も、大きなメリットです。
一方で、
- SKUによる機能差
- ネイティブクライアント接続の要件
- 専用サブネット（AzureBastionSubnet）の設計、通信要件
- コスト
など、事前に確認しておきたいポイントも存在します。
特に既存環境への後付け導入では、アドレス空間や運用要件の制約から構成変更が難しくなるケースもあるため、早い段階でAzure Bastionの利用を前提にした設計を検討しておくことが重要です。
これらを踏まえ、環境要件や運用方針に応じてAzure Bastionの採用を検討していくことが望まれます。
