CP-TECH MAGAZINE

2021年8月
TED CSP TECH UPDATE
August,2021

東京エレクトロンデバイス株式会社

TEDよりお役立ち情報をお届け
TED CSP テクニカルアップデート情報誌
2021年8月

東京エレクトロンデバイス株式会社

目次
Azureアップデート情報
Infrastructure as a Service

Identity and Security

1. Azure Disk Storage 上の共有ディスクが、全ての Premium SSD および
Standard SSD サイズで一般公開
2. Azure Firewall premium の一般公開
3. Log Analytics ワークスペースとリンクされたAutomation アカウントの新しい
Azure Monitor 組み込みポリシー
4. Azure ポータルを使用して、Azure Data Lake Storage をGen1からGen2に移行する（限定プレビュー）
5. Azure Virtual Desktop で接続時に仮想マシンを起動 が一般提供

1.
2.
3.
4.
5.
6.
7.
8.

Platform as a Service
1. App Service の Java & Node.js アプリで Application Insights の 統合が一般提供開始
2. Python Functions が Application Insights でカスタム テレメトリを サポート
3. Azure Cosmos DB のセッションおよびキャッシュ プロバイダーとしての 利用が一般提供開始
4. Azure Service Bus Premium レベルで最大メッセージ サイズの引き上げ

診断設定の出力対象に RiskyUsers / UserRiskEvents 追加
Microsoft Authenticator をセットアップをナッジする方法
資格情報による Microsoft Authenticator へのアカウント追加
クラウド グループによる Azure AD ロールの管理
Azure AD Connect - version 2.0 の一般提供
Microsoft Azure Active Directory Connect の認証バイパスの脆弱性
継続的アクセス評価 (CAE) の既定有効化について
埋め込め Web ビューでの Google Sign-in 統合について

Data Platform
1. Azure Monitor / Azure Cosmos DB : Azure Cosmos DB の監視とワーク
ブック機能が GA
2. Azure SQL Database : セキュア エンクレーブを使用する Always
Encrypted が GA
3. Azure Database for MySQL : フレキシブルサーバー のストレージ自動拡張が有効に
4. Azure Database for PostgreSQL : Flexible Server プライベート DNS
ゾーン統合が利用可能に

Azure Disk Storage 上の共有ディスクが、全ての Premium
SSD およびStandard SSD サイズで一般公開
一般公開

Infrastructure as a Service

4 GiB から 128 GiB までのより小さな Premium SSD と、4 GiB から 32 TiB までのすべての Standard SSD で共有ディスクを使用できるようになりました。オンプレミスの Windows または Linux ベースのクラスターの Azure へのシンプルな移行Ultra Disk、
Premium SSD、Standard SSD の各種ブロックストレージオプションから、ワークロードのニーズに応じたコス トとパフォーマンス
の最適化Premium SSD および Standard SSD 上の共有ディスクに対してゾーン冗長 (ZRS) オプションの構成

ポイント• 共有ディスクを有効にすることは、ディスクの種類のサブセットでのみ使用できます• 共有ディスクを有効にできるのは、ウルトラ ディスク、Premium SSD、および標準
SSD のみ• 共有ディスクが有効になっている各管理対象ディスクには、ディスクの種類別に分類された次の 制限が適用されます• https://docs.microsoft.com/en-us/azure/virtual-machines/disks-sharedenable?tabs=azure-portal#limitations▪

Shared disks on Azure Disk Storage are now generally available on all Premium SSD and Standard SSD sizes
https://azure.microsoft.com/ja-jp/updates/shared-disks-on-azure-disk-storage-is-now-generally-available-on-all-premium-ssds-and-standard-ssds/

Azure Firewall premium の一般公開
一般公開

Infrastructure as a Service• Azure Firewall Premium は、機密性が高く規制された環境で必要とされる次世代ファイアウォール（NGFW）機能を提供します• 新しいAzure Firewall Premiumでは、以下の新機能が追加されています• TLS 検査
• IDPS• Web カテゴリ
• URL フィルタリング
ポイント• Azure ファイアウォール マネージャーを使用してファイアウ
ォールを 一元管理するために使用できるグローバル リソー
スであるファイ アウォール ポリシーを使用• すべての新機能はファイアウォール ポリシーを使用してのみ構成 可能になります• 既知の問題があるため、確認の必要がある▪

Announcing the Azure Firewall Premium general availability
https://azure.microsoft.com/ja-jp/updates/announcing-the-azure-firewall-premium-general-availability/

Log Analytics ワークスペースとリンクされたAutomation
アカウントの新しい Azure Monitor 組み込みポリシー
一般公開

Infrastructure as a Service• 環境内での Log Analytics ワークスペースの一元展開を自動化するための新しい組み込みポリシーをリリースします• ポリシーを使用すると、Log Analytics ワークスペースと Automation アカウントを一貫してプロビジョニングして、一 元的なロ
グ監視を行いますポイント• ポリシーは中央ワークスペース名の有無をチェックし、スコープ内に見つからない場合、これらのリソースはポリシーの割り当て時に変更可能なデフォ
ルト名でデプロイされます• 更新 プログラムや 変更の追跡などのソリューションには、Automation アカ
ウントが必要です▪

General availability: New Azure Monitor built-in policy for Log Analytics workspace and linked automation accounthttps://azure.microsoft.com/ja-jp/updates/general-availability-new-azure-monitor-builtin-policy-for-log-analytics-workspace-and-linked-automationaccount/Azure ポータルを使用して、Azure Data Lake Storage をGen1からGen2に移行する（限定プレビュー）
プレビュー

Infrastructure as a Service• Azure Data Lake Storage Gen1 は 2024 年 2 月 29 日に廃止されます• Azure ポータルを使用すると、移行を完了するために必要な手順の数を減らすことができます。データとメタデータ (タイムスタンプや ACL など) は、Gen2 対応アカウントに自動的に移動します。完全な移行を実行する場合、要求は 自動的にリダイレクトされるため、ワークロードを Gen2 に指定する必要はありません• Gen2 の機能強化を利用するには、Data Lake を Azure Data Lake Storage Gen2に移行することをお勧めします。この移行の障壁を軽減するために、Azure ポータルでシンプルで直感的なユーザー エクスペリエンスを提供していポイント

主な移行手順
1. プレビューに登録する
2. Gen2 機能を備えたストレージアカウントを作成する
3. RBAC ロールの割り当てを確認する
4. 移行を実行する
5. 完全な移行ではなく、データのみのコピーを
6. Microsoft では推奨いたします
7. アプリケーションをテストする
8. 移行を完了する
▪

•
•
•

•

この機能は、Azure Data Lake ストレージ Gen1 が提供されているすべ てのリージョンで、限定プレビューで使用できるようになりました。プレビューに登録するには、フォームに入力します
Gen2 機能を備えたストレージ アカウントが必要となります
Gen2 の場合、ストレージ アカウント、親リソース グループ、またはサブス クリプションのスコープで、ストレージ BLOB データ所有者ロール、
Gen1 では、所有者ロールが Gen1 アカウント、親リソース グループ、またはサ ブスクリプションのスコープで Azure AD ID に割り当てられていることを 確認移行が完了した後、Gen1アカウントのデータにアクセスできなくなります

Limited preview: Migrate your Azure Data Lake Storage from Gen1 to Gen2 using the Azure Portal
https://azure.microsoft.com/ja-jp/updates/limited-preview-migrate-your-azure-data-lake-storage-from-gen1-to-gen2-using-the-azure-portal/Azure Virtual Desktop で接続時に仮想マシンを起動 が一般提供
一般公開

Infrastructure as a Service• [接続時に 仮想マシン を起動] を使用すると、デプロイのコストを最適化できます• この新機能は、ユーザーが Azure 仮想デスクトップ ホスト プールに接続しようとしたときに、シャットダウンまたは割り当て解除された VM をオンにします• アイドル状態の VM をシャットダウンしてコストを節約するポリシーを常に設定できますが、[接続時に VM を開始する] 機能を使用すると、必要に応じてこれらの VM をユーザーが使用できるようにもできますポイント• VM にカスタム RBAC (ロールベースのアクセス制御) ロールを割り当てる必要があります• Microsoft.Compute/virtualMachines/start/action• Microsoft.Compute/virtualMachines/read• この機能は、既存のホスト プールでのみ構成できます。この機能は、新しいホスト プール を作成するときには使用できません• 選択したユーザーグループにこの機能を使用させる場合は、必要なロールのみを追加す るユーザーに割り当てるようにしてください▪

Start VM on connect capability in Azure Virtual Desktop enters general availability
https://azure.microsoft.com/ja-jp/updates/start-vm-on-connect-capability-in-azure-virtual-desktop-enters-ga/

App Service の Java & Node.js アプリで Application Insightsの 統合が一般提供開始
一般公開

Platform as a Service• App Service の Java & Node.js アプリにおいて、コードに手を加えることなく Application Insights を有効 化できるようになりました

有効化▪

Application Insights integration with App Services for Java & Node.js apps
https://azure. microsoft.com/ja-jp/updates/general-availability-application-insights-integration-with-app-services-for-java-nodejs-apps/

Python Functions が Application Insights でカスタム テレメトリを サポート
一般公開

Platform as a Service• OpenCensus Python Azure Functions Extension により、django、mysql、pymysql、 postgresql、お よび pymongo 等のライブラリを使用した場合でも、Python 関数アプリのカスタム依存関係をログに含めるこ とができるようになりました• Python の関数アプリからアプリケーション マップやトランザクションの診断などの Application Insights の機能を使い、パフォーマンスのボトルネックをより迅速に見つけることが可能です▪

Python Functions now support custom telemetry in Application Insights
https://azure.microsoft.com/ja-jp/updates/general-availability-python-functions-now-support-custom-telemetry-in-application-insights/

Azure Cosmos DB のセッションおよびキャッシュ プロバイダーとしての利用が一般提供開始
一般公開

Platform as a Service• ASP.NET Core アプリケーションは、Azure Cosmos DB を低遅延かつグローバルに分散したセッション ステート プロバイダーとして利用することが可能になりました。
• App Service にデプロイした Web アプリ等に関わらずどのような .NET アプリでも、IDistributedCache イン ターフェイスを使用した分散キャッシュのプロバイダーとして Azure Cosmos DB を使用することが可能です。

ポイント•
Microsoft.Extensions.Caching.Cosmos パッケージの v1.0.0 がリリースされました。
https://github.com/Azure/Microsoft.Extensions.Caching.Cosmos

Azure Service Bus Premium レベルで最大メッセージ サイズの引き上げ
プレビュー

Platform as a Service• Azure Service Bus Premium レベルは、予約済みのコンピューティング、メモリ、ストレージ リソースを提供すること で、エラスティックで優れたパフォーマンスを必要とする、ハイエンド ストリーミング シナリオ向けに設計されています。 現在パブリック

プレビューとして SLA なしで提供されています。
• Azure Service Bus の Premium レベルで、最大 メッセージ サイズが 1 MB から 100 MB に引き上げられました。
• 大きなメッセージ ペイロードを使用する他のエンタープライズ メッセージ ブローカーから、よりシームレスに移行することが可能になります。

▪

Azure Service Bus support for large messages
https://azure.microsoft.com/ja-jp/updates/public-preview-azure-service-bus-support-for-large-messages/

診断設定の出力対象に RiskyUsers / UserRiskEvents 追加
プレビュー

Identity and Security• Azure AD では、診断設定の出力対象として、Identity Protection ログである RiskyUsers / UserRiskEvents の項目をプレビューで追加しました。管理者は、追加された設定により RiskyUsers / UserRiskEvents のログを Log Analytics ワークスペースやス
トレージ、イベント ハブへ送信することが可能になります。
Log Analytics ワークスペース上で、分析やアラート
Log Analytics ルールを構成するこワークスペース上で、分析やアラート ルールを構成することが可能とが可能

Identity Protection ログ の危険なユーザーおよび危 険なサイ
ンインを出力項目 に追加▪

Public preview - Identity Protection logs in Log Analytics, Storage Accounts, and Event Hubs
https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/whats-new#public-preview----identity-protection-logs-in-log-analytics-storage-accounts-andevent-hubs

Microsoft Authenticator をセットアップをナッジする方法
プレビュー

Identity and Security• Azure AD では、多要素認証に Microsoft Authenticator を利用していないエンド ユーザーに対して、セットアップ を促す通知をするナッジ機能をプレビューで追加しました。管理者は、本機能を利用してエンド ユーザーに対して、 Microsoft Authenticator の利用を誘導することができます。

ポイント・ポリシーの有効化は、Graph API での構成が必要
・再通知間隔（0 – 14 日）と対象／除外範囲を指定可能
・Android または iOS のモバイル デバイスでは通知は非表示▪

Microsoft Authenticator をセットアップをするようにユーザーにナッジする方法 (プレビュー) - Microsoft Authenticator アプリ
https://docs.microsoft.com/ja-jp/azure/active-directory/authentication/how-to-nudge-authenticator-app

資格情報による Microsoft Authenticator へのアカウント追加
一般公開•

Identity and Security

Microsoft Authenticator では、資格情報による Azure AD アカウントの追加を一般提供開始しました。
エンド ユーザーは、従来からの QR コード以外に「ID/PW + 多要素認証」または「ID + TAP (一時アクセスパス)」で Microsoft Authenticator にアカ
ウントを追加することができます。

ポイント
・ TAP (一時アクセスパス) は、「PW + 多要素認証」と同レベルに取り扱われる▪

General availability - Improved Authenticator setup experience for add Azure AD account in Microsoft Authenticator app by directly signing into the app.
https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/whats-new#general-availability---improved-authenticator-setup-experience-for-add-azuread- account-in-microsoft-authenticator-app-by-directly-signing-into-the-app

クラウド グループによる Azure AD ロールの管理
一般公開

Identity and Security

Azure AD では、クラウド グループへの Azure AD 管理ロールの割り当てを一般提供開始しました。管理者は、 任意のグループにユーザー管理者や•Exchange 管理者など設定して、グループ メンバーの追加または削除で特権 ユーザーを管理することができます。また、PIM を併用して Just-in-time 特権管理も可能となります。

利用制限
・特権ロールを管理できるグループ設定は初回作成時のみ構成可能（グローバル管理者と特権ロール管理者のみ構成可能）・静的グループのみ利用可能（動的グループへの構成は不可）・既 定 ではグローバル管理者と特権ロール管理者のみ、所有者とメンバーを管理可能（他ユーザーでの管理は委任が必要）
・入れ子グループは不可（メンバーとしてのグループ追加は不可）▪

Use Azure AD groups to manage role assignments
https://docs.microsoft.com/azure/active-directory/roles/groups-concept

ポイント・ライセ ンスとして、単体利用として Azure AD P1 が必要、
PIM 連携する場合 Azure AD P2 が必要
・クラウド グループのみ利用可能（同期グループは不可）・ テナントで最大 300 個のロール割り当て可能なグループを作成することが可能

Azure AD Connect - version 2.0 の一般提供
一般公開•

Identity as a Service

Azure AD では、最新の同期ツールとして Azure AD Connect – version 2.0.8.0 の一般提供を開始しました。 Ver 2.0 では、2022 年にサポート終了となる内部コンポーネントの置き換えなどがされています。管理者は、アップ デート内容を確認の上でバージョンアップをご検討ください。
◆ 主な更新• Local DB およびコンポーネントを SQL Server 2019 に更新• 認証ライブラリを MSAL ライブラリに更新• C++ ライブラリを Visual C++ Redist 14 に更新• TLS 1.2 のみをサポート• OS サポートを Windows Server 2016 以上に変更• PowerShell 5.0 を前提条件に追加• その他、PowerShell の追加や不具合修正を実施▪

Introduction to Azure AD Connect V2.0

ポイント
・以 前 ま での内部コンポーネントである SQL Server 2012 は、
2022/7 に延長サポート終了
・同 様 に ADAL 認証ライブラリも 2022/6 に非推奨を予定
・ 上 記 コンポーネントのサポート期限までのバージョンアップを強く推奨
・ ア ップグレード／インストール時には、TLS 1.2 強制設定が必要
・ Azure AD での 2022/1 の TLS 1.0/1.1 廃止も別途考慮
・ ア ッ プグレードは、インプレースとスウィングの両方に対応
・ 12ヶ月～18ヶ月以前のバージョンからのアップグレードはスウィング
移行を推奨

https://docs.microsoft.com/en-us/azure/active-directory/hybrid/whatis-azure-ad-connect-v2

Microsoft Azure Active Directory Connect の認証バイパスの脆弱性
アナウンス

Identity and Security• Microsoft は、Microsoft Azure Active Directory Connect の認証バイパスの脆弱性の情報 (CVE-2021- 36949) を公開しました。合わせて、本脆弱性に関するセキュリティ アップデートとして、Azure AD Connect Version 2.0.8.0 と Version 1.6.11.3 を公開しました。
◆ ２つの Azure AD Connect のバージョンについて
Azure AD Connect v2.x は、Windows Server 2016 以降の OS をサポート そのため、Windows Server
2016 より前の OS を利用の環境では v1.x を利用 以下を基に適用するバージョンを検討· Windows Server 2016, Windows Server 2019 環境* Version 2.0.8.0· Windows Server 2012 R2 以前の環境* Version 1.6.11.3

ポイント
・脆弱性の保護をするために該当バージョンの Azure AD Connect へのバージョン アップと以下のガイダンスに従った NTLM の無効化を実施

https://docs.microsoft.com/ja-jp/azure/active-directory/hybrid/how-toconnect-install-prerequisites#harden-your-azure-ad-connect-server▪

Microsoft Azure Active Directory Connect の認証バイパスの脆弱性
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36949▪

Azure AD Connect: Version release history
https://docs.microsoft.com/en-us/azure/active-directory/hybrid/referenceconnect-version-history継続的アクセス評価 (CAE) の既定有効化について
アナウンス

Identity and Security

Azure AD は、 延期しておりました継続的アクセス評価(CAE) の既定を有効にする更新を 9 月より開始します。 CAE の設定が明示的に無効化されていない場合、既定値が変更されて有効化されます。管理者は、CAE の有 効化を望まない場合、2021/9/30 までに無効化のオプションへ切り替える必要があります。
CAE を有効化することで、クライアント端末の IP アドレス変更により、準リアル
タイム でアクセス可否が評価されるように動作。クライアント端末がブロック対
象の IP 範囲 に移動した場合、条件付きアクセスのみよりも短時間でブロックされる。

9/30までに有効化または無効化を管理者側で 判断して適用を検討▪

Enable or disable CAE (Preview)https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/concept-continuous-access-evaluation#enable-or-disable-cae-preview

埋め込め Web ビューでの Google Sign-in 統合について
アナウンス

Identity and Security

Google は、埋め込み Web ビュー サインイン サポートを廃止します。Azure AD または Azure AD B2C で、埋め込み Web ビューでの Google Sign-in 統合を利用されている場合、認証できなくなる可能性があります。 継続して、Google Sign-in 統合を利用する場合には、
Web ブラウザまたはシステム Web ビューを利用ください。

ポイント・2021 年 7 月 12 日より Google より幾つかの制限を開始
・2021 年 9 月 30 日、Google は埋め込み Web ビュー サインイン サポートを廃止予定
・マイクロソフト製品での影響については以下を参照
Add Google as an identity provider for B2B - Azure AD | Microsoft Docs▪

New Google sign-in integration for Azure AD B2C and B2B self-service sign-up and invited external users will stop working starting July 12, 2021
https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/whats-new#new-google-sign-in-integration-for-azure-ad-b2c-andb2b-self- service-sign-up-and-invited-external-users-will-stop-working-starting-july-12-2021

Azure Monitor / Azure Cosmos DB
Azure Cosmos DB の監視とワークブック機能が GA
一般公開

Data Platform

Azure Monitor for Azure Cosmos DB を使用した新しい監視エクスペリエンスが GA になりました。
今回の更新のポイント• 大規模な分析観点:
すべてのサブスクリプションの Azure Cosmos DB
リソースを 1 か所で分析できます。
• カスタマイズ可能:
表示されるメトリックを変更したり、実際の制限に 合わせてしきい値を変更または設定したりしてから カスタム ブックに保存することができます。
作成したブックは、Azure ダッシュボードにピン留めできます。
▪

Insights and workbooks for Azure Cosmos DB now in general availability
https://azure.microsoft.com/ja-jp/updates/insights-and-workbooks-for-azure-cosmos-db-now-in-general-availability

Azure SQL Database

セキュア エンクレーブを使用する Always Encrypted が GA
一般公開

Data Platform

セキュア エンクレーブを使用する Always Encrypted 機能が GA となりました。
今回の更新のポイント• セキュア エンクレーブを使用する Always Encrypted を利用することで、暗号化されたデータ列に対して等価比較以外の比較演算や LIKE 条
件のクエリ操作が可能になります。

注意事項• LIKE 条件など等価比較以外のデータ操作がサポートされているのは、ランダム化された暗号化を使用するエンクレーブ対応列のみです。
• BIN2照合順序 または UTF-8 照合順序が使用 されている必要があります。
• DC シリーズのみが対応しており、日本リージョンは未対応です。

▪

Confidential computing using Always Encrypted with secure enclaves for Azure SQL Database in general availability
https://azure.microsoft.com/ja-jp/updates/confidential-computing-using-always-encrypted-with-secure-enclaves-for-azure-sql-database-in-generalavailability/

Azure Database for MySQL
フレキシブルサーバー のストレージ自動拡張が有効に
プレビュー

Data Platform

Azure Database for MySQL のフレキシブルサーバーでストレージの自動拡張が有効になります。
今回の更新のポイント• 100 GB 以下のストレージ容量がプロビジョニングされている場合、空きストレージが容量の 10％ を下回ると自動的にプロビジョニングされたストレージが 5 GB 増加します。
•

100 GB より大きいのストレージ容量がプロビジョニングされている場合、空きストレージが容量 5％ を下回ると自動的にプロビジョニングされたストレージが 10 GB 増加します。

• ストレージはダウンタイムなしで拡張されます。
• 新規のサーバーは既定でストレージ自動拡張が有効になります。

▪

Azure Database for MySQL – Flexible Server Auto-grow storage in public preview
https://azure.microsoft.com/ja-jp/updates/azure-database-for-mysql-flexible-server-autogrow-storage-in-public-preview/

Azure Database for PostgreSQL – Flexible Server
プライベート DNS ゾーン統合が利用可能に
プレビュー

Data

Platform

Azure Database for PostgreSQL の フレキシブル サーバー で プライベート DNS ゾーン統合が利用可能になります。
今回の更新のポイント• プライベート DNS ゾーン統合を利用して、別 VNET から Azure
Database for PostgreSQL フレキシブルサーバー への接続が可能にな
ります。
注意事項
• 末尾が private.postgres.database.azure.com の プライベート
DNS ゾーン名のみリンク可能です。
• 仮想ネットワークにデプロイされたフレキシブル サーバーに、
パブリック エンドポイントを設けることはできません。
▪

Private DNS zone integration for Azure Database for PostgreSQL – Flexible Server in public preview
https://azure.microsoft.com/ja-jp/updates/private-dns-zone-integration-for-azure-database-for-postgresql-flexible-server-in-public-preview/

Contact Us
お問い合わせ先：
東京エレクトロンデバイス株式会社
クラウドIoTカンパニー
エッジクラウドソリューション部
URL: https://cptechweb.teldevice.co.jp/