Azure Container Registry パブリックアクセス無効化とプライベートエンドポイントの設定

2026.01.14 　最終更新日: 2026.01.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Azure Container Registryでパブリックアクセスを無効化する手順について、リスクと対策を解説します。

ポリシーの説明

Azure Container Registryのパブリックアクセスは、インターネット経由でコンテナーレジストリにアクセスできる機能です。デフォルトでは有効になっており、適切な認証情報があれば世界中のどこからでもインターネット経由でコンテナーイメージをプルまたはプッシュできます。

技術的な要件と制限事項：

セキュリティのベストプラクティスでは、本番環境ではパブリックアクセスを無効化し、プライベートエンドポイント経由でのアクセスのみを許可することで、レジストリへのアクセスを仮想ネットワーク内に限定することが強く推奨されています。これにより、ゼロトラストネットワークアーキテクチャの実現が可能になります。

Azure コンソールを使用して、Container Registryのパブリックアクセスを無効化します。

前提条件

ステップ1: Container Registryの設定に移動

ステップ2: パブリックアクセスを無効化

ステップ3: プライベートエンドポイントの作成（推奨）

「プライベートアクセス」タブを選択
「+ プライベートエンドポイント」をクリック
基本設定：
- 名前: pe-acr-<レジストリ名>
- リージョン: レジストリと同じリージョン
- リソースグループ: 適切なグループを選択
リソース設定：
- 接続方法: 「ディレクトリ内の Azure リソースに接続します」
- リソースの種類: Microsoft.ContainerRegistry/registries
- リソース: 対象のコンテナーレジストリを選択
- 対象サブリソース: registry
仮想ネットワーク設定：
- 仮想ネットワーク: 使用するVNetを選択
- サブネット: プライベートエンドポイント用サブネットを選択
DNS設定：
- プライベート DNS ゾーンと統合する: 「はい」
- プライベート DNS ゾーン: privatelink.azurecr.io
- 注意: 既存のプライベートDNSゾーンがある場合はそれを選択
- DNSゾーングループを使用して自動DNSレコード管理を有効化
「確認および作成」をクリックして作成