Azure Cloud ShellのIPアドレスをストレージアカウントのネットワークのIP許可に追加する技

Microsoftは自社製チャットボットとして「Copilot」を提供していますが、OpenAIと緊密に連携するにつれ、OpenAI製チャットボットの「ChatGPT」に対抗するのが難しくなっているとウォール・ストリート・ジャーナルが伝えています。

MicrosoftのAIチャットボット「Copilot」はブランド戦略の混乱と相互運用性の問題によりユーザーからの不満が高まっており支持するユーザーの割合が減少中 - GIGAZINE

MicrosoftのAI製品に携わった現職・元社員によれば、混乱を招くブランドのポジショニングと相互運用性の問題がユーザーをいら立たせているとのこと。Microsoftの調査では「文書からブラウザまであらゆる場面でCopilotが突然表示されること」や「異なる製品群でCopilotが一貫した動作を行わないこと」に不満を抱くユーザーがいることがわかっているそうです。

一方、競合のAnthropicが提供しているAI製品「Claude Cowork」は、Copilotユーザーが困難と感じていた方法で365アプリケーション内およびアプリケーション間で動作する能力が高く評価されています。Claude Coworkのリリースは、同日のMicrosoft株下落の要因の1つとなりました。

⇧ 使い勝手が悪いのは致命的な気がしますな...

やはり、「競合」が多ければ、「ユーザーエクスペリエンス（UX：User eXperience）」の良い「サービス」に「ユーザー」は流れていくでしょうしな...

チャットボット競争で後れを取っているとはいえ、MicrosoftはAI駆動型クラウドコンピューティング需要から数千億円規模の利益を出しており、アナリストらは「同社のソフトウェアが数億人の企業ユーザーに利用されていることから、新たなAI製品を容易にプロモーションできる状態にある」という点を強みと分析し、容易に他社との差を縮められる位置にあるとみています。

⇧ いや、「ユーザーエクスペリエンス（UX：User eXperience）」が改善されないのであれば、「企業」が使い続けてくれる保証はないと思いますが...

分析が適当過ぎるのよね...

Azure Cloud ShellのIPアドレスをストレージアカウントのネットワークのIP許可に追加する技

職場の方に連携してもらったので備忘録として。

まず、「Microsoft Azure」の「Azure Portal」のバグなのか、

ts0818.hatenablog.com

⇧ 上記の記事の時に触れた問題について、他に言及している情報がネット上に見当たらないので、自分の記事を持ち出すことになるという...

つまり、「Azure Portal」においては、「ファイル」の「拡張子」が勝手に変更されてしまう「バグ」が放置され続けているという問題...

で、「Azure Cloud Shell」から「az storage file download」などで「ダウンロード」すれば、「拡張子」が変わる「バグ」を回避できるよ、と「Microsoft Copilot」に助言されましたと。

まぁ、「Microsoft Copilot」に限らず、「AI」には何度も裏切られて来ているので、信用できないのだが、「Microsoft」の公式の「ドキュメント」も「ファインダビリティ（Findability）」が壊滅的なので、不毛な時間を費やすしか無いわけなのだが...

「Microsoft」に対する呪詛は数え上げたら止まることを知らないので、話を元に戻しますと、「Azure ストレージアカウント」の「ネットワーク」の「設定」にて「IPアドレス」の許可ができるのだが、

ブラウザからAzure ストレージアカウントへのアクセスの場合
- 自身の端末のグローバルIPアドレス
Azure Cloud ShellからAzure ストレージアカウントへのアクセスの場合
- Azure Cloud ShellのIPアドレス

を追加するといった感じで、追加すべき「IPアドレス」が異なる模様。

で、残念ながら、と言うか、いつも通りと言うか、「Microsoft」の公式の「ドキュメント」では、このことに触れられていない...

learn.microsoft.com

とりあえず、

techcommunity.microsoft.com

⇧ 上記のブログ記事には、それっぽいことについて触れられていた。

「ChatGPT」氏に質問してみたところ、以下のような回答が返ってきた。

✅ 根拠となる公式／準公式の情報

📌 1. Cloud Shell のセッションごとにランダムな送信元 IP が割り当てられる

Microsoft の Tech Community（公式コミュニティ）の記事では次のように説明されています：

Each Cloud Shell instance has a randomly selected outbound IP coming from the Azure address space whenever a new session is deployed.
This means we cannot allow access to these IPs in advance, but we apply them once our session is running and this will work for the duration of our session. TECHCOMMUNITY.MICROSOFT.COM

👉 要点は次です：

Cloud Shell が使う送信元 IP は Azure がランダムに割り当てる
事前に固定した IP として許可はできない
しかし、そのセッションで使われている送信元 IP を取得してファイアウォールに追加すれば、そのセッションの間はアクセスが許可される

この記述は、Cloud Shell からのアウトバウンド接続に固定 IP がないこと、そして「IP を取得してから許可リストに追加すればアクセスできる」という理由を公式（Tech Community 由来ですが Microsoft が公開している説明）の一次情報で示しています。

📌 2. Cloud Shell は既定ではユーザー管理ネットワーク外で動作する

Microsoft Learn のドキュメント（Cloud Shell の概要）では次の点が明らかにされています：

Cloud Shell セッションは、リソースとは別の Microsoft 管理ネットワーク内のコンテナーで実行されます。
このため、プライベート仮想ネットワーク内のリソースにアクセスできません（詳細なアクセス制御のためには VNet Integration が必要）。 Microsoft Learn

👉 この記述から読み取れること：

Cloud Shell の実行環境は Azure 管理ネットワーク上で動作している
そのため送信元 IP が Azure が管理する IP 範囲に属することが確実
これは「Cloud Shell のアウトバウンド IP をファイアウォールに追加すれば許可できる」前提条件となる（＝IP ベースアクセス制御が有効になる）

✅ つまり何が起きているか？

🔹 Cloud Shell の動作の性質

Cloud Shell はユーザーが管理する仮想ネットワーク内ではなく、Microsoft が用意した環境で動くため、 → 送信元 IP はランダム（動的）だが、セッション中は一つの IPとして割り当てられる
これは Azure が内部的に SNAT (Source Network Address Translation) を使って → Cloud Shell のアウトバウンド接続をインターネットに出しているためです（これは SNAT の一般的な仕組みであり、Azure の「デフォルトアウトバウンドアクセス」でも同様です）

📌 それがファイアウォール許可リストで何を意味するか

Azure Storage のファイアウォールでは送信元 IP が許可された場合のみアクセスを許可します。

Cloud Shell の CLI からストレージにアクセスする際：

Cloud Shell セッションが起動すると、あるパブリック IP アドレスが一時的に割り当てされる
それを確認（例: curl https://api.ipify.org など）してファイアウォール許可 IP リストに追加
追加した IP からの接続はファイアウォールで許可される → CLI が成功する

これは Cloud Shell に固定 IP がないために一般には推奨されないが、セッション単位であれば動作することを Microsoft の説明が示しています。

📌 重要な補足：

この動作はセッション限定であり固定ではない Tech Community 記事でも触れられているとおり：

We cannot allow access to these IPs in advance, but we apply them once the session is running and this will work for the duration of our session. TECHCOMMUNITY.MICROSOFT.COM

つまり：

✔ Cloud Shell のセッションが実行中の IP を許可リストに追加すれば CLI が繋がる

✘ 事前に固定 IP として登録して永続的に使うことはできない

📌 参考まとめ

事象	根拠
Cloud Shell は特定の送信元 IP を持つ	Cloud Shell outbound IP is randomly selected for each session（Microsoft Tech Community） TECHCOMMUNITY.MICROSOFT.COM
Cloud Shell は Microsoft 内部ネットワークで実行	Cloud Shell is hosted in Microsoft-managed network environment（Microsoft Learn） Microsoft Learn
ストレージファイアウォールは送信元 IP で制御	Azure Storage firewall rules use IP network rules（Microsoft Learn） Azure 文档
Cloud Shell の IP を許可すればアクセス可能	Once session IP is known and added, access works for session duration（Microsoft Tech Community） TECHCOMMUNITY.MICROSOFT.COM