HOME/ビジネス/Azure PaaS開発/Azure Front Door
Azure Front Door
WAF・DDoS対策で守る、Web・AIサービスの安全な入口の設計・構築
Azure Front Doorは、
01/Azure Front Doorとは
Azure Front Doorとは：Web・API・AIサービスの手前に置く、Microsoftのクラウドの入口
Azure Front Door（アジュール フロントドア）は、
Webアプリケーションを
Azure Front Doorを通したアクセスの流れ
Azure Front Door（入口） 世界中の拠点で通信を受け、近い場所から速く届ける 大量の通信による攻撃を受け止める WAFで不正な通信を止め、接続元を制限する 正常に動いている接続先へ振り分け、記録を残す
Microsoft Learn「Azure Front Door とは」の記載をもとに作図
利用者・外部取引先・会員・一般の利用者 社外のシステムからの呼び出し AIサービスの利用者 攻撃や不正なアクセス
→
Azure Front Door→
裏側のサービス（配信元） 
Webアプリ（App Service） 
コンテナで動くアプリ（Container Apps） 
API（API Management）AIサービス・AIエージェントオンプレミスや他のクラウド
WebアプリコンテナでAPI（API Management）AIサービス・AIエージェントオンプレミスやAzure Front Doorを使うメリット
攻撃を入口で止められる WAFが、よく知られたWebへの攻撃や不正な通信を、裏側のサーバーに届く前に止めます。
大量の通信に耐えられる 大量の通信でサービスを止める攻撃（DDoS攻撃）への基本的な備えが、最初から組み込まれています。
裏側のサーバーを隠せる 裏側のサーバーへの直接のアクセスを断り、Front Door経由の通信だけを受け付ける構成にできます。
画面や画像を速く届けられる 利用者に近い拠点から届け、よく使う画像などを一時的に保存して再利用します（CDN）。
止まりにくい接続先の状態を常に確かめ、正常に動いている接続先だけに通信を振り分けます。
証明書の更新を任せられる 通信を暗号化する証明書を、Front Doorが発行し、自動で更新します。
料金プランはStandardとPremiumの2つです。
02/注目される背景
Webサービスを狙う攻撃と国の注意喚起： システムの脆弱性の悪用とDDoS攻撃
Webサイトや
3位AIの利用をめぐるサイバーリスク 2026年版で初めて選ばれました。AIサービスを公開する企業にとっても、入口の守りが論点になります。
4位システムの脆弱性を悪用した攻撃 公開しているシステムの弱点を突く攻撃です。修正が終わるまでの間、入口で止める対策が役立ちます。
9位DDoS攻撃（分散型サービス妨害攻撃） 多数の機器から一斉に大量の通信を送り、サービスを止める攻撃です。
内閣サイバーセキュリティセンター（NISC）のDDoS攻撃への注意喚起
NISC（現・
注意喚起が挙げる主な対策
NISC「DDoS攻撃への対策について（注意喚起）」（2025年2月4日）の記載をもとに作図
被害を抑えるための対策 海外などに割り当てられたIPアドレスからの通信の遮断 DDoS攻撃の影響をなくす・減らすための専用の装置やサービスの導入 CDN（コンテンツ配信ネットワーク）サービスの利用 サーバーや通信回線の冗長化 サーバーなどの設定の見直し
被害を想定した対策システムの重要度に基づく選別と分離 平常時からの通信の監視と記録の保存 異常な通信のときの通知の設定 つながりにくいときに案内するページの設定 連絡先一覧など発生時の対応手順の策定
CDNやWAFの
03/仕組み
入口で守る5つの層： 大量の通信・Webへの攻撃・ボット・裏側の保護・記録
Azure Front Doorの
Azure Front Doorで入口を守る層（外側から）
Microsoft Learn「Azure Front Door とは」「配信元への通信を保護する」の記載をもとに作図
守られた裏側のサービス（Webアプリ・API・AIサービス）
注意喚起の対策と、Azure Front Doorでできること
注意喚起の対策
Azure Front Doorでできること
海外などからの通信の遮断
WAFの自社ルールで、国やIPアドレスの範囲を指定して通信を止める
専用の対策サービス・WAFの導入
Front Doorに組み込まれたDDoS攻撃への備えと、WAFを入口で使う
CDNサービスの利用
Front Door自体がCDNとして、世界中の拠点で通信を受けて分散する
サーバーや回線の冗長化
複数の接続先の状態を確かめ、正常な接続先へ自動で振り分ける
平常時の監視と異常時の通知
アクセスとWAFの記録を残し、Azure Monitorで通知を設定する
つながりにくいときの案内ページ
ルールの設定で、メンテナンス中や混雑時の案内ページへ切り替える
入口の対策で04/使いどころ
Azure Front Doorが向く場面と、API Management・Application Gateway・Entra IDとの役割分担
Azure Front Doorが
取引先・会員向け取引先ポータル・会員サイト 取引先や会員がログインして使うサービスの入口を守り、業務の時間帯に合わせて公開を切り替えます。
公開Webサイト企業サイト・EC・キャンペーンアクセスが集中する時期も速く表示し、攻撃による停止を防ぎます。
外部公開API取引先やアプリに公開するAPI API管理の手前に置き、不正な呼び出しや大量の呼び出しを入口で止めます。
AIサービスAIサービス・AIエージェントの外部からの入口 AIを使うサービスを社外に公開するとき、入口の守りと接続元の制限をそろえます。
移行・刷新既存のWeb基盤のクラウド移行 サーバーやWAF機器をクラウドの入口に置き換え、公開の方式を整理します。
複数の拠点・接続先複数のリージョンや接続先をまとめる 複数の接続先を1つの入口にまとめ、障害時は正常な接続先へ切り替えます。
入口から裏側までの役割分担（構成例）
Azure Front Door社外からの入口。攻撃を止め、通信を振り分ける
API ManagementAPIの公開・利用量・呼び出しの管理（API Management）
Entra ID誰がアクセスしているかの確認と権限（Entra ID）
アプリ・AIサービス鍵や証明書は安全な保管庫で管理（Key Vault）
顧客環境に合わせて構成します。社内だけで使うシステムでは、Application Gatewayや閉じたネットワークでの構成を選ぶ場合があります。
Azure Front Door社外からの→
API ManagementAPIの公開・利用量・呼び出しの→
Entra ID誰がアクセスしているかの→
アプリ・AIサービス鍵や証明書は
サービス
役割
向いている場面
Azure Front Door
世界中の拠点で通信を受ける、インターネットからの入口。WAFとCDNを含む
社外の利用者がいるWeb・API・AIサービス
Application Gateway
1つの地域（リージョン）の中で通信を振り分ける入口。WAFを含む
社内向けや、閉じたネットワークの中のシステム
API Management
APIの公開・認証・利用量の管理
取引先や社内に公開するAPIを管理したい場合（API Management）
Entra ID
利用者とアプリの本人確認と権限の管理
ログインや権限の管理をまとめたい場合（Entra ID）
Azure Front Door
世界中の拠点でApplication Gateway
1つの地域API Management
APIの公開・認証・利用量の管理
取引先や社内にEntra ID
利用者とアプリの05/当社の支援内容
入口の設計・WAFの設定と検証・裏側の保護・業務と連動した運用までの支援
Azure Front Doorは、
支援の流れ
支援 1入口の設計守る対象、利用者、プランを決める
→
支援 2・3WAFの設定と検証標準ルールと自社ルール、すり抜けの確認
→
支援 4裏側の保護とコード化 直接のアクセスを断ち、構成をコードで管理
→
支援 5・6運用と監視業務と連動した切り替え、記録と通知
支援 1
公開入口の設計
守るサービス、利用者のいる場所、裏側の構成を整理し、StandardとPremiumのどちらを選ぶか、入口をいくつに分けるかを決めます。
組み合わせるサービス：Azure PaaS開発
公開入口の設計
守るサービス、
支援 2
WAFのルール設計
Microsoftが用意する標準のルールと、接続元の制限や回数の制限などの自社ルールを組み合わせます。サービスごとに分けた設定にも対応します。
組み合わせるサービス：Agentic Security
WAFのルール設計
Microsoftが
支援 3
設定の検証とすり抜けの確認
IPv4とIPv6の両方の接続元、ルールの評価の順番などを、実際の通信と記録で確かめます。まず「検出だけ行う」設定で動かし、誤って止める通信がないかを見ます。
組み合わせるサービス：DevSecOps
設定の検証と
支援 4
裏側の保護と構成のコード化
裏側のサーバーへの直接のアクセスを断ち、PremiumではPrivate Linkでつなぎます。入口の構成をコード（Terraform）で管理し、環境ごとに同じ構成を再現できるようにします。
組み合わせるサービス：Key Vault GitHub
裏側の保護と
支援 5
業務と連動した運用の自動化
営業時間やメンテナンス、夜間のデータ更新に合わせて、公開と案内ページを自動で切り替えます（Logic Apps）。
組み合わせるサービス：Power Platform
業務と連動した
支援 6
記録・監視と見直し
アクセスとWAFの記録を保存し、異常な通信を通知します。セキュリティの監視基盤とつなぎ、ルールを定期的に見直します。
組み合わせるサービス：Microsoft Sentinel Microsoft Defender
記録・監視と06/特長
安全な公開入口の設計・WAFの落とし穴まで確かめる検証・業務と連動した運用の自動化
特長 1/3Web・API・AIの入口と裏側を一体で設計する Front Doorだけでなく、API Management、Entra ID、Key Vault、Private Linkと役割を分け、入口から裏側までをまとめて設計します。
特長 2/3WAFの落とし穴まで確かめる 接続元の制限やルールの評価の順番など、設定したつもりで効いていない状態を、記録をもとに検証します。検証の結果は技術記事として公開しています。
特長 3/3業務の時間帯に合わせて公開を切り替える 営業時間、メンテナンス、夜間のデータ更新に合わせて公開の状態を自動で切り替える仕組みを、お客様の本番の運用に組み込んでいます。
当社が検証で確かめた、WAF設定の2つの落とし穴
「設定したつもり」の
IPv4だけを止めて、IPv6から入れてしまう
カスタムルールでIP制限をする際の注意点
起きたことIPv4のすべての接続元を拒否するルールを置いたのに、Front Door経由でアクセスできた。記録を見ると、IPv6のアドレスからのアクセスだった。
直し方IPv6のすべての接続元を拒否するルールを加え、両方を止める。設定後は記録で確かめる。
技術解説：WAFの
許可したIPからの通信が、標準ルールの検査を通らない
制限をしながらマネージドルールを適用する方法
起きたこと特定の接続元を「許可する」ルールにすると、その通信には標準ルール（マネージドルール）の検査が行われなかった。
直し方「許可する接続元以外を拒否する」形のルールに変え、許可した接続元からの通信も標準ルールで検査する。
技術解説：IP07/取り組み事例
取引先ポータルの公開制御・金融向けAI基盤の入口・AIエージェント基盤の外部接続口
当社は、公開している
金融（構成づくり）コンタクトセンター向けAI基盤の入口
金融機関のAIエージェント基盤（設計） AIエージェントの統制基盤の外部接続口
AIエージェントの08/顧客価値
攻撃によるサービス停止・裏側の露出・手作業の切り替え・設定漏れの解消と、役割別の効果
いまの課題
Azure Front Doorでの対応
得られる効果
攻撃でサービスが止まる不安がある
DDoS攻撃への備えとWAFを入口に置き、裏側に届く前に止める
サービスの停止と復旧対応のリスクが下がる
裏側のサーバーがインターネットから直接見えている
Front Doorからの通信だけを受け付け、PremiumではPrivate Linkでつなぐ
攻撃を受ける場所が入口の1か所にまとまる
メンテナンスのたびに公開を手作業で切り替えている
業務の時間帯に合わせ、公開と案内ページを自動で切り替える
夜間・休日の作業と切り替え漏れが減る
接続元の制限が効いているか確かめられていない
IPv4とIPv6の両方、ルールの順番を記録で検証する
設定したつもりの制限によるすり抜けを防げる
サービスごとに守り方がばらばら
入口とルールを1か所にまとめ、構成をコードで管理する
新しいサービスも同じ水準で守れる
役割別の効果
経営層・事業責任者公開サービスの停止のリスクを下げ、取引先や会員へのサービスを安定して提供できます。
事業部門・サービス責任者 アクセスが集中する時期も表示が速く、メンテナンスの案内も自動で出せます。
情報システム部門入口のルールと記録を1か所で管理し、変更の履歴を残せます。
セキュリティ担当国の注意喚起が挙げる入口の対策を、記録と通知を含めて整えられます。
09/業界ユースケース
製造・小売・金融・EC・公共・AIサービスでの活用例と、向いている企業
業界
よくある状況
Azure Front Doorの使い方
製造・小売
取引先や販売店が使うポータルを、業務の時間帯に合わせて運用している
入口で守り、営業時間とメンテナンスに合わせて公開を自動で切り替える
金融
問い合わせ窓口やAIを使ったサービスを社外に公開し、裏側を厳しく守る必要がある
Premiumで裏側をインターネットから切り離し、用途ごとにWAFを分ける
EC・会員サービス
キャンペーンの時期にアクセスが集中し、不正なログインの試行もある
近い拠点から速く届け、回数の制限とボット対策で不正なアクセスを止める
公共・自治体
住民向けのサイトを安定して公開し続ける必要がある
海外からの通信の制限、案内ページへの切り替え、記録の保存をそろえる
サービス提供・API
取引先やアプリにAPIを公開している
API管理の手前に置き、不正な呼び出しや大量の呼び出しを入口で止める
AIサービス
AIを使うサービスやAIエージェントを社外から使えるようにしたい
外部からの接続口を1つにまとめ、本人確認や権限の管理と役割を分ける
向いている企業・取引先・会員・一般の利用者がインターネットから使うサービスがある ・Azureでサービスを動かしている、または移行を考えている ・サービスごとにばらばらな守り方を、入口でそろえたい ・Front Door（Classic）を使っていて、移行が必要
別の方法が合う場合 ・社内だけで使い、インターネットに公開しないシステム（Application Gatewayや閉じたネットワークでの構成を検討します） ・Web以外の通信（ファイル転送や独自の通信方式）が中心 ・24時間の監視と対応の代行だけを求めている（監視基盤の構築はMicrosoft Sentinelで支援します）
10/想定ROI
公開の切り替え・アクセス制限の変更・証明書の更新・攻撃時の初動の削減試算
取引先向けポータルと
作業
導入前
導入後
削減
公開とメンテナンス表示の切り替え
毎日2回 × 15分 × 年365日 = 年約180時間
業務の時間帯に合わせて自動で切り替え、例外だけ対応。年約20時間
▲89%
接続元の制限の変更
サービス5つ × 月2回 × 2時間 = 年240時間
入口のルールを1か所で変更し、コードで反映。年約60時間
▲75%
証明書の更新
サービス5つ × 年1回 × 4時間 = 年20時間
Front Doorが発行し、自動で更新。年約2時間
▲90%
攻撃が疑われるときの初動の調査
年6回 × 8時間 = 年48時間
入口の記録と通知から原因を絞り込む。年約18時間
▲63%
Azure Front Doorと11/他の手段との違い
自社のWAF機器・アプリごとの接続元の制限・Application Gatewayとの比較
公開サービスの
方法
特徴
選ぶ目安
自社のWAF機器・サーバー
細かく制御できるが、機器の更新と、大量の通信に耐える回線の用意が必要
既存の設備を使い続ける場合に
アプリごとに接続元を制限
すぐに始められるが、サービスが増えるほど設定がばらばらになり、確認が難しい
公開するサービスが1つの場合に
Application Gateway＋WAF
1つの地域の中で通信を振り分け、WAFで守る
社内向けや、閉じたネットワークのシステムに
他社のCDN・WAFサービス
入口で守れるが、Azureの裏側との閉じた接続や、Azureでの記録の一元化は別の作業が必要
Azure以外が中心の場合に
Azure Front Doorを当社が設計・運用
入口・WAF・裏側の保護・記録をまとめ、業務と連動した運用まで組み込む
Azureで社外向けのサービスを公開する場合に
12/ガバナンス
WAFの段階的な切り替え・ルール変更の承認と記録・構成のコード管理・ログの監視
入口のルールは、
WAFの段階的な切り替え 最初は「検出だけ行う」設定で動かし、誤って止める通信がないかを確かめてから「止める」設定に切り替えます。
ルール変更の承認と記録 接続元の追加や例外の設定は、誰が承認し、どこに記録するかを決めます。
構成のコード管理入口の構成をコード（Terraform）で管理し、変更の履歴と見直しを残します（DevSecOps）。
裏側への直接のアクセスの禁止 Front Doorを通らないアクセスを断つ設定を、すべての裏側のサービスでそろえます。
記録の保存と監視アクセスとWAFの記録の保存期間、通知の条件、監視基盤への連携を決めます（Microsoft Sentinel）。
定期的な見直し新しいサービスの公開や攻撃の変化に合わせ、ルールと例外を定期的に見直します。
13/当社について
Microsoftの認定パートナーとしてのAzure PaaS開発・セキュリティ設計の支援
Microsoft AI Innovation Partner of the Year 2024
マイクロソフト製品の活用でAI分野に革新を起こしたパートナーに贈られる賞の初代受賞パートナーです（受賞のお知らせ）。
Microsoftの上位パートナー認定
Microsoft Solutions Partnerに加え、上位資格の「AI Platform on Microsoft Azure」「Agentic DevOps with Microsoft Azure and GitHub」を取得しています（認定のお知らせ）。
Azure PaaSの設計・構築
Azure PaaS開発として、Webアプリ、API、AIサービスの基盤を、設計から運用まで支援しています。
セキュリティとAIの基盤
Entra ID、Key Vault、API Management、Agentic Securityを組み合わせ、AIサービスとAIエージェントの安全な基盤を支援しています。
14/はじめ方
現状の入口の棚卸しから試験導入・本番切り替えまでの5ステップのスタートプラン
最初は1つの
1
STEP 1 現状の入口の棚卸し
公開しているサービス、接続元の制限、証明書、手作業の切り替えを洗い出し、現行の作業時間と通信量を測ります。ROI試算の前提もここで確かめます。
2
STEP 2 入口の設計
プラン、入口の分け方、WAFのルール、裏側の保護の方法を決めます。
3
STEP 3 検出だけ行う設定での試験導入
1つのサービスで、WAFを「検出だけ行う」設定で動かし、記録から止めるべき通信と止めてはいけない通信を確かめます。
4
STEP 4 本番の切り替え
ルールを調整して「止める」設定に切り替え、裏側への直接のアクセスを断ちます。構成はコードで管理します。
5
STEP 5 運用の自動化と展開
業務の時間帯に合わせた切り替え、記録と通知を整え、他のサービスへ広げます。X-Tech FDEで現場に入り込んで伴走します。
15/関連ソリューション
16/よくあるご質問
Q. Azure Front Door（アジュール フロントドア）とは何ですか。
A. Webサイト、業務システム、API、AIサービスの手前に置き、利用者からのアクセスを最初に受け止めるMicrosoftのクラウドサービスです。世界中の拠点で通信を受けて速く届け（CDN）、WAFとDDoS攻撃への備えで攻撃を入口で止めます。
Q. WAF（ウェブアプリケーションファイアウォール）とは何ですか。
A. Webアプリケーションへの攻撃を見分けて止める仕組みです。Front DoorのWAFでは、Microsoftが用意する標準のルール（マネージドルール）と、接続元の制限などの自社ルール（カスタムルール）を組み合わせます。
Q. DDoS攻撃は完全に防げますか。
A. 完全に防ぐことはできません。Front Doorは大量の通信への基本的な備えとWAFによる対策を提供しますが、国の注意喚起でも、すべての攻撃を未然に防げるものではないとされています。冗長化、監視、案内ページ、連絡体制とあわせて備えます。
Q. StandardとPremiumの違いは何ですか。
A. Premiumでは、悪意のある自動プログラム（ボット）への対策と、裏側のサーバーとインターネットを通さずにつなぐPrivate Linkが使えます。守る対象と求める水準に合わせて選びます。
Q. Front Door（Classic）を使っています。対応は必要ですか。
A. Microsoftは、Front Door（Classic）を2027年3月31日に提供終了とし、StandardまたはPremiumへの移行を案内しています。当社は、設定の移行とWAFのルールの見直しを含めて支援します。
Q. Application Gatewayとは何が違いますか。
A. Front Doorは世界中の拠点で通信を受けるインターネットからの入口で、Application Gatewayは1つの地域の中で通信を振り分ける入口です。社外向けのサービスにはFront Door、社内向けや閉じたネットワークのシステムにはApplication Gatewayを選ぶことが多く、組み合わせる構成もあります。
Q. 国内向けのサービスでも使う意味はありますか。
A. あります。攻撃を入口で止める、海外からの通信を制限する、裏側のサーバーを隠す、証明書の更新を任せるといった効果は、利用者が国内だけでも得られます。
Q. オンプレミスや他のクラウドのサーバーにも使えますか。
A. 使えます。Front Doorの裏側には、Azureのサービスに加え、インターネットからつながるオンプレミスや他のクラウドのサーバーも置けます。
Q. AIサービスやAIエージェントの入口にも使えますか。
A. 使えます。当社は、AIエージェントの統制基盤でFront Doorを外部からの接続口に置き、APIの管理（API Management）や本人確認と権限（Entra ID）と役割を分けた構成を設計しています。
Azure Front Doorの設計・構築に関するご相談
公開サービスの