Azure から外部へ通信を行うための許可 URL、IP アドレスまとめ

# 1.はじめに
Azure 内から Microsoft / Azure 基盤サービスへの通信許可を行う条件が調べにくい、とのことで、本記事でまとめることにしました。サービスエンドポイントやプライベートエンドポイントが提供されておらず、Internet 許可ルールを書かなければいけないもの、オンプレミス側のサービスとして許可を検討する必要があるものをまとめています。
気づいたものを随時アップデートしています。足らないものがある点はご容赦下さい。

# 2.サマリー

| Azure サービス | ツール | サービスタグ可否 | FQDN タグ利用 |
| :--- | :--- | :--- | :--- |
| [Azure ポータル](#41-azure-ポータル) | Azure 管理用 | あり | - |
| [Azure Active Directory](#42-azure-active-directory) | Azure AD 接続 | あり | - |
| [Windows ライセンス認証](#43-windows-ライセンス認証) | Windows OS 認証 | なし | - |
| [Windows Update](#44-windows-update) | Windows Update 更新用 | なし | あり |
| [Log Analytics エージェント](#45-log-analytics-エージェント-oms-agent) | Log Analytics エージェント利用 | なし | - |
| [Azure Monitor エージェント](#46-azure-monitor-エージェント-azure-monitor-agent) | Azure Monitor エージェント利用 | あり | - |
| [Microsoft Defender for Endpoint](#47-microsoft-defender-for-endpoint-mde) | MDE / Defender for Servers | あり | あり |
| [Microsoft Defender for Identity](#48-microsoft-defender-for-identity-mdi) | Active Directory 保護 | あり | - |
| [Office 365](#49-office-365) | Office 365 接続 | あり | - |
| [Red Hat Update Infrastructure](#410-azure-red-hat-update-infrastructure-rhui) | Red Hat Enterprise Linux (RHEL) | なし | - |
| [Azure Kubernetes Service](#411-azure-kubernetes-service-aks) | AKS からの AzureFirewall 外部接続 | 利用 | 利用 |
| Microsoft Defender for Containers | AKS に対して適用された Microsoft Defender for Containers の外部接続 | - | - |
| [Azure Policy ゲスト構成](#412-azure-automanage-マシン構成-旧-azure-policy-ゲスト構成) | Azure VM 内のセキュリティベースラインや DSC 構成管理 | あり | - |
| [Qualys 拡張機能](#413-defender-for-servers-qualys-拡張機能) | Defender for Servers P2 で Qualys 拡張機能を用いて脆弱性監視 | - | - |
| [Ubuntu on Azure レポジトリ](#414-ubuntu-on-azure-レポジトリ) | Ubuntu OS レポジトリ | - | - |


# 3.使えそうな技
## 3.1 Internet アクセス時の手法
Azure Vnet 内からのアクセス許可については、NSG / UDR / AzureFirewall などで使えるタグ機能がある。こちらを使うと設定が楽になる。

### 3.1.1 [サービスタグ](https://learn.microsoft.com/ja-jp/azure/virtual-network/service-tags-overview)
-　NSG (Network Security Group) や Azure Firewall のネットワークルールで適用可能なタグ。
- 主に Microsoft 関連で使えるものは大体サービスタグがまとまっているので、使った方が楽。
- サービスタグによっては、NSG / Azure Firewall で使えるものと使えないものがあるので要注意。
    - [利用可能なサービス タグ](https://learn.microsoft.com/ja-jp/azure/virtual-network/service-tags-overview)を参照
- サービスタグがどこを許可してくれているのかは、以下のサイトで公開されている。

https://azservicetags.azurewebsites.net/servicetag

### 3.1.2 [FQDN タグ](https://learn.microsoft.com/ja-jp/azure/firewall/fqdn-tags)
Azure Firewall 専用のタグ。アプリケーションルール (HTTP/HTTPS/SQL) の URL ベースで使われそうな Azure 通信をタグでまとめている。2023.3 現在、以下が対応している。

- WindowsUpdate
- WindowsDiagnostics
- MicrosoftActiveProtectionService (MAPS)
- AppServiceEnvironment (ASE)
- AzureBackup
- AzureHDInsight
- WindowsVirtualDesktop
- AzureKubernetesService (AKS)
- Office 365
- Windows 365

## 3.2 Internet アクセスを回避するための機能
クラウドサービスでは、[サービスエンドポイント](https://learn.microsoft.com/ja-jp/azure/virtual-network/virtual-network-service-endpoints-overview) / [プライベートエンドポイント(Private Link)](https://learn.microsoft.com/ja-jp/azure/private-link/private-endpoint-overview)を用いて、Vnet/Subnetから直接サービスへ接続が出来るようになっている。本記事の主旨とは外れるが、Vnetリソースからの接続についてはプライベートエンドポイント、サービスエンドポイント経由の接続が出来るものは率先的に利用を推奨とする。

### 3.2.1 サービスエンドポイント

https://learn.microsoft.com/ja-jp/azure/virtual-network/virtual-network-service-endpoints-overview

### 3.2.2 プライベートエンドポイント

https://learn.microsoft.com/ja-jp/azure/private-link/private-endpoint-overview

# 4.詳細
## 4.1 Azure ポータル
- 概要
    - Azure VM で作業する際に、何かの際に Azure ポータルに接続して対処するため絶対必須。
    - Azure Firewall でルール設定をする際に Azure ポータルだけは許可しておくとよい。
    - **AzurePortal** だけではアクセスできないケースあり。以下サービスタグも許可すると良い。
        - ```AzureActiveDirectory```
        - ```AzureResourceManager```
        - ```AzureFrontDoor.Frontend```

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| NSG<BR>AzureFirewall | サービスタグ | **AzurePortal**<BR>**AzureActiveDirectory**<BR>**AzureResourceManager**<BR>**AzureFrontDoor.Frontend** |
| Proxy など| 直指定 | [以下参照](https://learn.microsoft.com/ja-jp/azure/azure-portal/azure-portal-safelist-urls?tabs=public-cloud) |

https://learn.microsoft.com/ja-jp/azure/azure-portal/azure-portal-safelist-urls?tabs=public-cloud

## 4.2 Azure Active Directory
- 目的
    - Vnet リソースやオンプレ環境から AAD 宛の認証飛ぶ前提で設計していることを考えると、こちらも絶対必須。

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| NSG<BR>AzureFirewall | サービスタグ | **AzureActiveDirectory** |
| Proxy など| 直指定 | [Office 365 URL および IP アドレス範囲](https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide#microsoft-365-common-and-office-online)の ID 56、59、125 を許可すること。|

## 4.3 Windows ライセンス認証
- 目的
    - Windows OSを Azure にデプロイした後、OS のライセンス認証が走るので許可が必要
- 通し方
    - サービスタグ/FQDNタグが無いので、以下 URL を通す必要あり

| URL | port | 概要 |
| :---- | :--- | ---- |
| ``azkms.core.windows.net`` | tcp:1688 | Windows のライセンス認証 |
| ``20.118.99.224`` | tcp:1688 | Windows のライセンス認証 |
| ``40.83.235.53`` | tcp:1688 | Windows のライセンス認証 |

:::note info
インフォメーション
2022/7 に新しい Azure KMS のIPアドレスが追加されました
:::

https://jpaztech.github.io/blog/vm/azure-kms-update/

https://techcommunity.microsoft.com/t5/azure-compute-blog/azure-windows-virtual-machine-activation-two-new-kms-ip/ba-p/3621189

## 4.4 Windows Update
- 目的
    - Windows OS のパッチ更新 & アップデート。
    - Azure Firewall であれば FQDN タグが用意されているが、``https://*.prod.do.dsp.mp.microsoft.com`` を書いてあげても良い。
- 通し方

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| Azure Firewall | FQDN タグ | **WindowsUpdate** |
| Proxy など| 直指定 | ``https://*.prod.do.dsp.mp.microsoft.com`` |

## 4.5 Log Analytics エージェント (OMS Agent)
- 目的
    - オンプレミスや Azure VM に導入した Log Analytics エージェントの監視のため。
    - 旧 OMS Agent とも呼ばれる。[2024.8.31 にはサポート終了予定](https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/azure-monitor-agent-migration)なので注意。
- 通し方
    - サービスタグ / FQDN タグが無い
    - ドキュメントに許可リストが載っているので、こちらを直設定で通す。
        - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/653790/46dcde03-4ead-1ccb-acb0-511532a70d33.png)

https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/log-analytics-agent#firewall-requirements

## 4.6 Azure Monitor エージェント (Azure Monitor Agent)
- 目的
    - Log Analytics エージェントの後継として現在推奨される IaaS (VM) 監視エージェント。
- 通し方
    - サービスタグが提供されている
        - ただし、サービスタグの場合は全ての LAW (Log Analytics Workspace) 宛の許可になるため、最小権限として自ワークスペースに対する許可設定を行う場合は注意が必要
    - Internet 経由ではなく、プライベートリンクで Vnet 直接続が可能 (DCR 設定が必要)
    - Firewall 等で公開する要件が [Docs](https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/azure-monitor-agent-data-collection-endpoint?tabs=PowerShellWindows#virtual-network-service-tags) に掲載されている。

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| Vnet 直接続 | Private Link | Private Link 経由で DCR を通じて接続する。 |
| NSG<BR>Azure Firewall | サービスタグ | **AzureMonitor**<BR>**AzureResourceManager**|
| Proxy など| 直指定 | [Docs 参照](https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/azure-monitor-agent-data-collection-endpoint?tabs=PowerShellWindows#virtual-network-service-tags) |

### [補足] 最小権限での Azure Monitor Agent 設計例
- 閉域網構成として、Azure Monitor Agent の通信先を限定する場合は以下を参照。
    - [カスタムメトリック用には "management.azure.com" "${LOCATION}.monitoring.azure.com" への経路開放が必要](https://learn.microsoft.com/ja-jp/azure/azure-monitor/essentials/metrics-custom-overview
)
    - [カスタムログ用に DCE (Data Collection Endpoint) への経路開放が必要](https://learn.microsoft.com/ja-jp/azure/azure-monitor/essentials/data-collection-endpoint-overview?tabs=portal#components-of-a-data-collection-endpoint)


| 許可内容 | 方法 | URLなど |
| :--- | :---- | :--- |
| AccessControlService | URL | ``global.handler.control.monitor.azure.com`` |
| Fetch data collection rules for specific machine | URL | ``${LOCATION}.handler.control.monitor.azure.com`` |
| Ingest logs data | URL | ``${LAW_ID}.ods.opinsights.azure.com`` |
| カスタムメトリック | URL | ``management.azure.com``<BR>``${LOCATION}.monitoring.azure.com`` |


## 4.7 Microsoft Defender for Endpoint (MDE)
- 目的
    - IaaS / VM に対する EDR / EPP エンドポイント保護の適用
- 通し方
    - Firewall 等で公開する要件が [Docs](https://learn.microsoft.com/ja-jp/microsoft-365/security/defender-endpoint/configure-proxy-internet?view=o365-worldwide#enable-access-to-microsoft-defender-for-endpoint-service-urls-in-the-proxy-server) に掲載されている
    - サービスタグ ``MicrosoftDefenderForEndpoint`` + ``OneDsColelctor`` を用いる
    - 簡略化されたドメイン ``*.endpoint.security.microsoft.com`` を用いる
        - 詳細はDocs[「Microsoft Defender for Endpoint の合理化された接続を使用したデバイスのオンボード」](https://learn.microsoft.com/ja-jp/defender-endpoint/configure-device-connectivity#prerequisites)を参照のこと
        - 対応する MDE のバージョンがあるため注意が必要

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| オンプレミス | ドメイン指定 | ``*.endpoint.security.microsoft.com``<BR> (簡略化されたドメイン)|
| NSG / Azure Firewall | サービスタグ | ``MicrosoftDefenderForEndpoint``<BR>``OneDsCollector`` を許可する|
| 全て| 直指定 | [Docs 参照](https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fdownload.microsoft.com%2Fdownload%2F6%2Fb%2Ff%2F6bfff670-47c3-4e45-b01b-64a2610eaefa%2Fmde-urls-commercial.xlsx&wdOrigin=BROWSELINK) |


## 4.8 Microsoft Defender for Identity (MDI)
- 目的
    - Azure にリフトアップした ADDS に対して、[Microsoft Defender for Identity](https://learn.microsoft.com/ja-jp/defender-for-identity/what-is) を適用して、保護を検討する。
- 通し方
    - 通信要件が [Docs](https://learn.microsoft.com/ja-jp/defender-for-identity/configure-proxy#enable-access-to-defender-for-identity-service-urls-in-the-proxy-server) に掲載されている。
    - サービスタグ **AzureAdvancedThreatProtection** が使える。

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| NSG<BR>AzureFirewall | 直指定 | **AzureAdvancedThreatProtection** |
| 全て| 直指定 | [Docs 参照](https://view.officeapps.live.com/op/view.aspx?src=https%3A%2F%2Fdownload.microsoft.com%2Fdownload%2F6%2Fb%2Ff%2F6bfff670-47c3-4e45-b01b-64a2610eaefa%2Fmde-urls-commercial.xlsx&wdOrigin=BROWSELINK) |


## 4.9 Office 365
- 目的
    - IaaS / VM 環境からの Office 365 利用。
- 通し方
    - [2023/2/28] 待望の Office 365 通信用タグが Azure Firewall ネットワークルールにて使えるようになった。
        - https://learn.microsoft.com/en-us/azure/firewall/fqdn-tags?WT.mc_id=AZ-MVP-5003408
        - アプリケーションルール側ではなく、ネットワークルール側なので注意
        - これで、これまで悩んでいた Office 365 許可用通信開放に悩まなくて済む。。
    - ~~通信要件が [Docs](https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/urls-and-ip-address-ranges?redirectSourcePath=%2Fja-jp%2Farticle%2Foffice-365-url-%25E3%2581%258A%25E3%2582%2588%25E3%2581%25B3-ip-%25E3%2582%25A2%25E3%2583%2589%25E3%2583%25AC%25E3%2582%25B9%25E7%25AF%2584%25E5%259B%25B2-8548a211-3fe7-47cb-abb1-355ea5aa88a2&view=o365-worldwide)に記載されている。ただし、公開されている Excel からどの URL を許可するのか、設定が面倒。。~~
    - ~~Azure Firewall に Office 365 通信用の ACL を設定する方法が Azure サポートチームのブログで公開されている。一見の価値あり。~~
    - ~~FQDN タグは 2022.3 現在、[開発待ちの状況](https://jpaztech.github.io/blog/network/FW-O365/#Office365-%E3%81%AE-FQDN-%E3%82%BF%E3%82%B0%E3%82%92%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E3%81%99%E3%82%8B%E4%BA%88%E5%AE%9A%E3%81%AF%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%81%8B%EF%BC%9F)となっている。~~
    - ~~Global のパッケージで、Azure Firewall に Office 365 の許可リストを自動適用する [ARM テンプレート](https://github.com/Azure/Azure-Network-Security/tree/master/Azure%20Firewall/Template%20-%20Logic%20App%20and%20Automation%20Account%20for%20Adding%20O365%20Rules%20to%20Azure%20Firewall)がある。使ってみるの手。~~


| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| AzureFirewall| FQDN タグ | ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/653790/7e6ea272-324d-b663-2165-e692031c904d.png) | 
| Proxy などで許可する場合 | 直指定 | [Docs 参照](https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/urls-and-ip-address-ranges?redirectSourcePath=%2Fja-jp%2Farticle%2Foffice-365-url-%25E3%2581%258A%25E3%2582%2588%25E3%2581%25B3-ip-%25E3%2582%25A2%25E3%2583%2589%25E3%2583%25AC%25E3%2582%25B9%25E7%25AF%2584%25E5%259B%25B2-8548a211-3fe7-47cb-abb1-355ea5aa88a2&view=o365-worldwide) | 

## 4.10 Azure Red Hat Update Infrastructure (RHUI)
- 目的
    - Azure Marketplace にある Red Hat Enterprise Linux (RHEL) の従量課金 (PAYG) イメージから作成した VM の更新用。
    - リポジトリサーバーは Azure バックボーン側で専用で提供されている。
```
https://rhui-1.microsoft.com
https://rhui-2.microsoft.com
https://rhui-3.microsoft.com
```

- 通し方
    - サービスタグが用意されていないため、手動での設定が必要。
    - Azure 用レポジトリの接続先 IP アドレスが公開されているので、以下を NSG や Azure Firewall のネットワークルールで許可して上げるのが良い。
        - [参考:RHUI コンテンツ配信サーバーの IP アドレス](https://learn.microsoft.com/ja-jp/azure/virtual-machines/workloads/redhat/redhat-rhui#the-ips-for-the-rhui-content-delivery-servers)
    - Hub & Spoke 環境で Vnet を分割している場合、Hub 側の Azure Firewall を経由した通信設計も可能だが、UDR でレポジトリ接続だけは直接許可する技もある。Proxy を構築しており、回避して Update は直通信を持たせたいといった要望であれば、この方法がお勧めである。
        - [参考:エラーの原因その 2 : Azure RHUI への接続ができない (Proxy 等)](https://jpaztech.github.io/blog/vm/rhui-yum-update/#%E3%82%A8%E3%83%A9%E3%83%BC%E3%81%AE%E5%8E%9F%E5%9B%A0%E3%81%9D%E3%81%AE-2-Azure-RHUI-%E3%81%B8%E3%81%AE%E6%8E%A5%E7%B6%9A%E3%81%8C%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%84-Proxy-%E7%AD%89)

| 方法 | ツール | 方法 |
| :--- | :---- | :--- |
| AzureFirewall<BR>NSG| IP 指定で許可 | [こちら](https://learn.microsoft.com/ja-jp/azure/virtual-machines/workloads/redhat/redhat-rhui#the-ips-for-the-rhui-content-delivery-servers)| 
| UDR で許可 | 直指定 | [Azure Support Docs 参照](https://jpaztech.github.io/blog/vm/rhui-yum-update/#%E3%82%A8%E3%83%A9%E3%83%BC%E3%81%AE%E5%8E%9F%E5%9B%A0%E3%81%9D%E3%81%AE-2-Azure-RHUI-%E3%81%B8%E3%81%AE%E6%8E%A5%E7%B6%9A%E3%81%8C%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%84-Proxy-%E7%AD%89) | 

## 4.11 Azure Kubernetes Service (AKS)
- 目的
    - Vnet 環境に構築した AKS を Azure Firewall で保護する際に、outbound で許可する設計
    - ![AKSimage](https://learn.microsoft.com/ja-jp/azure/firewall/media/protect-azure-kubernetes-service/aks-firewall.png)

- 通し方
    - 公式 Docs に手順が記載されている（が！分かり難い）
        - [ファイアウォール規則の追加](https://learn.microsoft.com/ja-jp/azure/firewall/protect-azure-kubernetes-service#adding-firewall-rules)
    - Azure Firewall での通信要件は以下の通り。

| 方法 | タグ | 命名 | Protocol | Port |
| :--- | :---- | :--- | :--- | :--- |
| Network Rule | ServiceTag | AzureCloud.$LOC | TCP | 9000 |
| Network Rule | ServiceTag |  AzureCloud.$LOC | UDP | 1194 |
| Network Rule | ServiceTag |  AzureCloud.$LOC | UDP | 123 |
| Application Rule | FQDN Tag | AzureKubernetesService | TCP | HTTPS:443 |
| Network Rule | IP 指定 | **API IPアドレス**<BR>API サーバー（外部接続用） | TCP | HTTPS:443 |

- 追加で推奨する許可 FQDN
    - [Windows サーバーベースのノードプールのアップデート用](https://learn.microsoft.com/ja-jp/azure/aks/limit-egress-traffic#windows-server-based-node-pools)
    - [AKS クラスターに対して推奨される省略可能な FQDN とアプリケーションの規則](https://learn.microsoft.com/ja-jp/azure/aks/limit-egress-traffic#optional-recommended-fqdn--application-rules-for-aks-clusters)

## 4.11 Microsoft Defender for Containers
- 目的
    - AKS に対して適用された Microsoft Defender for Containers の外部接続通信ルートの確保
        - 特定 Pod ``microsoft-defender-publisher-ds-*`` が外部に通信するためのルート確保が必要
            - [公式 Docs を参照](https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/defender-for-containers-architecture?tabs=defender-for-container-arch-aks#architecture-for-each-kubernetes-environment)
    - ![Containersimage](https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/media/defender-for-containers/architecture-aks-cluster.png#lightbox)

- 通し方
    - 公式 Docs に手順が記載されている
        - [ファイアウォール規則の追加](https://learn.microsoft.com/ja-jp/azure/aks/limit-egress-traffic#microsoft-defender-for-containers)

| 方法 | タグ | 命名 | Protocol | Port |
| :--- | :---- | :--- | :--- | :--- |
| Application Rule | FQDN | ``login.microsoftonline.com`` | https | 443 |
| Application Rule | FQDN | ``*.ods.opinsights.azure.com`` | https | 443 |
| Application Rule | FQDN | ``*.oms.opinsights.azure.com`` | https | 443 |

## 4.12 Azure Automanage マシン構成 (旧 Azure Policy ゲスト構成)
- 目的
    - オペレーティングシステムの設定をコードとして監査または構成する
    - 構成設定に以下のようなものを含めることができる
        - オペレーティング システムの設定
        - アプリケーションの構成または存在
        - 環境設定
    - セキュリティベースラインを用いて、コンプライアンスチェックが出来るようになる
- 通し方
    - Azure VM リソースからは[プライベートエンドポイント](https://learn.microsoft.com/ja-jp/azure/governance/machine-configuration/overview#communicate-over-private-link-in-azure)が提供されている。
    - NSG / Azure Firewall であれば、[サービスタグ](https://learn.microsoft.com/ja-jp/azure/governance/machine-configuration/overview#communicate-over-private-link-in-azure)使える
    - Azure Arc を用いた外部からの接続であれば、[専用URLを通す](https://learn.microsoft.com/ja-jp/azure/governance/machine-configuration/overview#communicate-over-public-endpoints-outside-of-azure)

| 方法 | タグ | 命名 | Protocol | Port |
| :--- | :---- | :--- | :--- | :--- |
| Network Rule | ServiceTag | **AzureArcInfrastructure**<BR>**Storage** | https | 443 |
| 直指定 | URL | ```*.guestconfiguration.azure.com```<BR>```agentserviceapi.guestconfiguration.azure.com```<BR>[Azure Storage エンドポイントのURL](https://learn.microsoft.com/ja-jp/azure/governance/machine-configuration/overview#network-requirements) | https | 443 |

## 4.13 Defender for Servers Qualys 拡張機能
- 目的
    - Microsoft Defender for Servers P2 で、Azure VM や Azure Arc マシンに Qualys 脆弱性エージェントを導入するケース
    - Microsoft Defender for Cloud で Qualys での脆弱性監視を行う場合に用いる
    - Defender for Servers P2 では、MDE 側の脆弱性機能 (Microsoft 脅威と脆弱性の管理) も利用可能。MDE 側脆弱性の場合は[こちら](#47-microsoft-defender-for-endpoint-mde)の URL / port 開放を行うこと。
        - ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/653790/1b194a09-42f8-c4a8-c47a-05b1ceff57b2.png)


- 通し方
    - 直 Internet 通信が必要
    - 通す URL は以下の通り。詳細は[公式 Docs を参照のこと](https://learn.microsoft.com/ja-jp/azure/defender-for-cloud/plan-defender-for-servers-agents#qualys-extension)

| 方法 | タグ | 命名 | Protocol | Port |
| :--- | :---- | :--- | :--- | :--- |
| 直指定 | URL | ``qagpublic.qg3.apps.qualys.com``<BR>``qagpublic.qg2.apps.qualys.eu`` | https | 443 |

## 4.14 Ubuntu on Azure レポジトリ
- 目的
    - Azure VM で Ubuntu を構築し、公式レポジトリに接続するケース
    - 個々のレポジトリサービスに接続する場合は、許可 URL を通すこと。

- 通し方
    - 直 Internet 通信が必要
    - 通す URL は以下の通り

| 方法 | タグ | 命名 | Protocol | Port |
| :--- | :---- | :--- | :--- | :--- |
| 直指定 | URL | ``security.ubuntu.com``<BR>``archive.ubuntu.com``<BR>``azure.archive.ubuntu.com``<BR>``motd.ubuntu.com``<BR>``*.archive.ubuntu.com``<BR>``entropy.ubuntu.com``<BR>``api.snapcraft.io``<BR>``changelogs.ubuntu.com`` | https | 443 |


# 5. 参考となる情報
Azure のドキュメントは各サービス毎に通すべき URL が紹介されている。
バラバラなのが問題なのだが、参考情報として記載しておく。

https://learn.microsoft.com/ja-jp/azure/virtual-desktop/safe-url-list?tabs=azure