TECH BLOG

graph TD
    subgraph Internet["インターネット"]
        User["👤 ユーザー<br/>（許可IPのみ）"]
    end

    subgraph Azure["Azure"]
        AFD["Azure Front Door + WAF<br/>IP制限: 許可リストのみ Allow / Default: Block"]

        subgraph VNet["VNet <br/>仮想ネットワーク（閉域網）"]
            VM["Azure VM<br/>Dify コンテナ群"]
            Disk["💾 永続データディスク<br/>（/data）"]
            PE["Private Endpoint<br/>（プライベートIP 10.0.x.x）"]
        end

        AOAI["Azure OpenAI Service<br/>（パブリックアクセス無効）"]
    end

    User -->|"HTTPS"| AFD
    AFD -->|"NSG: AzureFrontDoor.Backend のみ許可"| VM
    VM --- Disk
    VM -->|"VNet内通信<br/>（Internet不使用）"| PE
    PE -->|"Azure Backbone"| AOAI

    style AFD fill:#f96,stroke:#333,stroke-width:2px
    style VM fill:#9cf,stroke:#333,stroke-width:2px
    style AOAI fill:#9f9,stroke:#333,stroke-width:2px
    style PE fill:#fcf,stroke:#333,stroke-width:1px

# 変数定義
RG_NAME="your-rg"
LOCATION="japaneast"
VNET_NAME="dify-vnet"
SUBNET_NAME="dify-subnet"
NSG_NAME="dify-nsg"

# VNet作成（単一サブネット構成）
az network vnet create \
  -g $RG_NAME -n $VNET_NAME \
  --address-prefix 10.0.0.0/16 \
  --subnet-name $SUBNET_NAME \
  --subnet-prefix 10.0.1.0/24

# Web (80/443): Front Doorからのみ許可
az network nsg rule create \
  -g $RG_NAME --nsg-name $NSG_NAME -n AllowWebFromFrontDoor \
  --priority 100 \
  --source-address-prefixes "AzureFrontDoor.Backend" \
  --destination-port-ranges 80 443 \
  --access Allow --protocol Tcp --direction Inbound

# SSH (22): 管理者IPのみ許可
az network nsg rule create \
  -g $RG_NAME --nsg-name $NSG_NAME -n AllowAdminSSH \
  --priority 110 \
  --source-address-prefixes "<YOUR_ADMIN_IP>/32" \
  --destination-port-ranges 22 \
  --access Allow --protocol Tcp --direction Inbound

# データディスクをアタッチ
az vm disk attach \
  -g $RG_NAME --vm-name $VM_NAME \
  --name dify-data-disk \
  --new --size-gb 100

# VM内でマウント（初回のみ）
sudo mkfs.ext4 /dev/sda
sudo mkdir -p /data
sudo mount /dev/sda /data

# fstabに追記（再起動後も自動マウント）
UUID=$(sudo blkid /dev/sda -s UUID -o value)
echo "UUID=$UUID /data ext4 defaults,nofail 0 2" | sudo tee -a /etc/fstab

cd /data
git clone https://github.com/langgenius/dify.git
cd dify/docker
cp .env.example .env
docker compose up -d

【Before】VM → インターネット → AOAI（パブリックエンドポイント）
【After】 VM → VNet内Private IP → Azure Backbone → AOAI（閉域）

AOAI_NAME="your-aoai"

az cognitiveservices account create \
  -g $RG_NAME -n $AOAI_NAME \
  --kind OpenAI --sku s0 -l $LOCATION --yes

# カスタムドメイン有効化（Private Link使用時に必須）
az cognitiveservices account update \
  -g $RG_NAME -n $AOAI_NAME \
  --custom-domain $AOAI_NAME

PE_NAME="dify-pe-aoai"

az network private-endpoint create \
  -g $RG_NAME -n $PE_NAME \
  --vnet-name $VNET_NAME \
  --subnet $SUBNET_NAME \
  --private-connection-resource-id \
    $(az cognitiveservices account show -g $RG_NAME -n $AOAI_NAME --query id -o tsv) \
  --group-id account \
  --connection-name aoai-conn

DNS_ZONE="privatelink.openai.azure.com"

# DNS Zone作成
az network private-dns zone create \
  -g $RG_NAME -n $DNS_ZONE

# VNetとリンク
az network private-dns link vnet create \
  -g $RG_NAME -n aoai-dns-link \
  --zone-name $DNS_ZONE \
  --virtual-network $VNET_NAME \
  --registration-enabled false

# Private EndpointのDNSレコードを自動作成
az network private-endpoint dns-zone-group create \
  -g $RG_NAME --endpoint-name $PE_NAME \
  -n aoai-dns-group \
  --private-dns-zone $DNS_ZONE \
  --zone-name aoai-zone

# VM内から実行
nslookup your-aoai.openai.azure.com

# 期待する結果：
# Name:    your-aoai.privatelink.openai.azure.com
# Address: 10.0.1.x  ← VNet内のプライベートIPが返ればOK

ポリシーモード：Prevention（遮断）

ルール1: AllowOfficeIPs（優先度100）
  条件: RemoteAddr が 許可IPリスト に一致
  アクション: Allow

ルール2: DenyAll（優先度1000）
  条件: RemoteAddr が 0.0.0.0/0
  アクション: Deny

# .env の該当箇所を修正
CONSOLE_API_URL=https://your-endpoint.azurefd.net
CONSOLE_WEB_URL=https://your-endpoint.azurefd.net
SERVICE_API_URL=https://your-endpoint.azurefd.net
APP_WEB_URL=https://your-endpoint.azurefd.net

# 反映
docker compose down && docker compose up -d

az monitor metrics alert create \
  -g "$RG_NAME" \
  -n "alert-vm-cpu-high" \
  --scopes "$VM_ID" \
  --condition "avg Percentage CPU > 80" \
  --window-size 5m \
  --evaluation-frequency 1m \
  --severity 2 \
  --action "$ACTION_GROUP_ID"

az monitor metrics alert create \
  -g "$RG_NAME" \
  -n "alert-afd-origin-health" \
  --scopes "$AFD_ID" \
  --condition "avg OriginHealthPercentage < 100" \
  --window-size 1m \
  --evaluation-frequency 1m \
  --severity 1 \
  --action "$ACTION_GROUP_ID"