azure · diff

git:20260711.cee45d5 to git:20260711.22ac88d

23 added, 1 removed. Audit A to A.

---

name: azure

description: "Azure 上のリファレンスアーキテクチャを選定し、テナントのセキュリティガバナンスに準拠した構成で構築・デプロイ・検証する。組織ポリシー（公衆ネットワークアクセス禁止・共有キー禁止・MFA 必須等）の下でも動作する構成を、Private Link / Managed Identity / VNet 統合を用いて実装する。"

category: architecture

triggers:

- "Azure 構築"

- "Azure リファレンスアーキテクチャ"

- "Private Endpoint"

- "publicNetworkAccess"

- "共有キー禁止"

- "Managed Identity でストレージ"

- "VNet 統合 Functions"

- "テナント準拠 Azure"

- "ストレージを Web で使う"

- "セキュアな Web サイト"

- "linked backend"

- "Azure ガバナンス準拠"

---

# Azure リファレンスアーキテクチャスキル

Azure 開発を、**テナントのセキュリティガバナンスに準拠**したまま進めるためのスキル。

要件から適切なリファレンスアーキテクチャを選定し、構築・デプロイ・検証・クリーンアップまでを一貫して行う。

> **原則**: 組織ポリシー（Azure Policy / Conditional Access）と戦わず、**準拠する構成**を採る。

> `publicNetworkAccess=Disabled` でも Private Link は常に到達可能——これを土台にする。

## リファレンスアーキテクチャ一覧（メニュー）

| リファレンス | 用途 | ドキュメント |

|---|---|---|

| セキュアな Web × ストレージ | 公衆アクセス禁止ストレージのコンテンツを Web で安全配信 | [references/secure-website.md](references/secure-website.md) |

+ | Microsoft Foundry エージェント | Web 組み込みエージェント / 知識グラウンディング(Work IQ・Foundry IQ・Fabric IQ) / AI Gateway ガバナンス | [references/foundry-agent.md](references/foundry-agent.md) |

- > 新しいリファレンス（例: Microsoft Foundry エージェント）は `references/<topic>.md` として追加する。

+ > 新しいリファレンスは `references/<topic>.md` として追加し、この表と参考リンクに1行足す。

---

+ ## Web サイトの UI / デザインの参照方針

+ Azure 上で Web サイト/フロントを作る際、UI は**新規に定義せず、この開発標準の共通デザイン言語と既存実装を参照**する。

+ | 対象 | 参照先 |

+ |---|---|

+ | **デザイン言語（トークン/配色/UX選定）** = 単一ソース | [standard: デザイン言語](../standard/references/design-language.md) |

+ | **内部向け業務システム**の実装（React / shadcn/ui + Tailwind v4） | [code-apps デザインパターン](../code-apps/references/design-pattern.md) / [テンプレート](../code-apps/references/design-templates.md) |

+ | **外部向けポータル / 公開サイト**の実装 | [power-pages デザインパターン](../power-pages/references/design-pattern.md) / [テンプレート](../power-pages/references/design-templates.md) |

+ > 配色/トークンは **standard のデザイン言語**を単一ソースとする。用途（内部業務 or 外部公開）で参照する実装を切り替える。

+ > Web 配信のセキュア構成は [references/secure-website.md](references/secure-website.md) を併用する。

+ ### Azure 固有の UI 適応メモ（独自パレットは持たない）

+ - **フォント/CSP**: Azure(SWA/App Service) は Code Apps の「Google Fonts 禁止/フォント固定」制約が**無い**。カスタム Web フォント/可変フォントを使用可。

+ - **モーション/SEO/パフォーマンス**: 公開サイトではアニメーション・メタ/OGP・Core Web Vitals 最適化等、内部業務基準を超えた要素を採り入れてよい。

+ - **公開マーケ/LP 系**: デザインはホスティング非依存のため [power-pages](../power-pages/references/design-pattern.md) のパターンを流用する。

+ ---

## ワークフロー（正常系）

### Step 1: リファレンスアーキテクチャを選定する

1. ユーザー要件を確認し、上のメニューから該当リファレンスを選ぶ。

2. 該当が無ければ、要件に近い構成を `references/` から選び、差分を明示する。

### Step 2: 事前確認で「Sure」にする

1. [references/preflight-checklist.md](references/preflight-checklist.md) を上から確認する。

2. 特に **強制ポリシーの対象リソース型**（ストレージのみか、コンピュートも含むか）を確定し、公開バックエンド可否を判断する。

3. **公式仕様は Microsoft Learn MCP**（`microsoft_docs_search` / `microsoft_docs_fetch`）で裏取りし、推測を残さない。

### Step 3: MFA 認証済みセッションを確保する

1. 組織が ARM 書込に MFA を要求する場合、`scripts/ensure_az_mfa.ps1` で MFA 済みトークンを確保する。

2. トークンの `amr` に `mfa`/`rsa` が含まれることを確認（`amr=pwd` は未 MFA で書込不可）。

### Step 4: インフラを段階構築する

1. `scripts/setup_private_endpoint.ps1` を **段階（Stage）実行**する（ポリシーでの失敗を切り分けるため）。

2. VNet/サブネット → Private DNS → Private Endpoint → バックエンドストレージ → コンピュート（VNet 統合・**MI デプロイ認証を作成時に指定**）→ RBAC → アプリ設定 → フロント連携の順。

3. パラメータは引数か `.env`（[references/.env.example](references/.env.example)）から取得する。

### Step 5: アプリをデプロイする

1. **企業ネットワークからの大容量デプロイはリセットされる**ため、CI からデプロイする（`scripts/deploy_functionapp.yml`）。

2. コンテンツ配信はブラウザ直アクセスをやめ、**API プロキシ（HTTP Range 対応）**に変更する（詳細は各リファレンス）。

### Step 6: 検証する

1. 未認証で保護エンドポイントが `401` を返す（配信・認証保護の確認）。

2. 認証後にデータ取得が `200`（**Private Endpoint 経由の読取成功**）。

3. コンテンツは Range 要求に `206` + `Content-Range` を返す。

4. ブラウザ E2E は **VS Code 統合ブラウザ**で自動化する（Playwright 単体・MCP は使わない）。

### Step 7: クリーンアップとセキュリティ

1. 旧「公開切替」自動化（Automation runbook / スケジュール / CI）は不要かつ無効のため削除する。

2. シークレットは env / Key Vault 参照で管理し、コミットしない。一時ファイル・認証キャッシュは `.gitignore`。

3. 露出したシークレットはローテーションする。

---

## 参考リンク

- [セキュアな Web × ストレージ構成](references/secure-website.md)

+ - [Microsoft Foundry エージェント開発](references/foundry-agent.md)

- [事前確認チェックリスト](references/preflight-checklist.md)

- [異常系・トラブルシュート](references/troubleshooting.md)

- [パラメータ定義（.env.example）](references/.env.example)