インフラストラクチャに関する考慮事項

ネットワーク

プロキシを避ける

初期導入には直接インターネット接続が必要です。理想的にはプロキシなしですが、透過型プロキシ（真に透過的である場合）は問題なく動作するはずです。プロキシがどうしても避けられない場合、最低限以下のサービス／アドレスに直接アクセスできる必要があります：

対応する IP 範囲の一覧については、次のリンクをクリックしてください：

Azure IP 範囲とサービス タグ – パブリック クラウド

このファイルには、Microsoft Azure データセンターで使用されるコンピュート IP アドレス範囲（SQL 範囲を含む）が含まれています。新しい予定 IP アドレス範囲を含む XML ファイルが毎週水曜日（太平洋時間）にアップロードされます。新しい IP アドレス範囲は翌週の月曜日（太平洋時間）に有効になります。 新しい XML ファイルをダウンロードし、月曜日までにサイト上で必要な変更を行ってください。

Office 365 の URL と IP アドレス範囲

この記事は、Office 365 を正常に利用できるようにアウトバウンド許可リストに含めるべきコンピュート IP アドレス範囲を含むファイルへのリンクを示しています。

IP アドレスのみのフィルタリングは、ドメイン ネーム サービス（DNS）、コンテンツ配信ネットワーク（CDN）、証明書失効リストやその他のサードパーティまたは動的サービスなど、インターネットベースのサービスへの依存関係のために完全な解決策ではありません。これらの依存関係には Azure コンテンツ配信ネットワークなど他の Microsoft サービスへの依存も含まれ、サードパーティや Microsoft が所有するが本ページに記載されていない IP アドレスへの接続を示すネットワークトレースやファイアウォールログが発生することがあります。これら未記載の IP アドレスは、サードパーティまたは Microsoft 所有の CDN や DNS サービスからのものであれ動的に割り当てられ、いつでも変更される可能性があります。

BranchCache とデバイス分離

BranchCache は次の目的で設計された Windows の技術です： WAN トラフィックを削減する および コンテンツ配信を高速化する 社内ネットワーク内で。これは、クラウドから同じコンテンツを各デバイスが繰り返し取得する代わりに、Windows クライアント同士がダウンロードしたデータを共有できるようにすることで実現します。

RealmJoin において、BranchCache は デフォルトで有効 に設定されています（CDN 側およびクライアント側）。

Delivery Optimization を使わない理由：この仕組みはサードパーティのパッケージソースをサポートしていません。Windows Update、Store、M365 アプリや Intune など、Microsoft が管理するエンドポイントでのみ動作します。

したがって RealmJoin では、BranchCache に依存しています。なぜならそれは サードパーティのコンテンツにも対応する組み込みの Windows ピアリング機構 だからです：

• CDN 側：デフォルトで有効になっています。要望があれば、CDN 側で BranchCache を完全に無効化することができます（テナント単位）。そうするとクライアント側の設定は無関係になります。

• クライアント 側では、この機能もデフォルトで有効です。BranchCache.Mode = "Undefined" を設定することで（参照： BranchCache.Mode = "Undefined" （参照： ユーザーおよびグループの設定））、このデフォルトの動作を変更できます。ただし、既存のクライアントについては、一度有効化された機能は積極的に無効化されません。無効化するには、対象デバイスで Disable-BC を実行してください。

BranchCache を効果的に機能させるには、クライアント同士が直接通信できる必要があります。したがって、異なる VLAN やサブネットで分離されたり、デバイス分離によって通信が遮断されてはいけません。私たちは BranchCache を 分散キャッシュ モードで使用しており、そこでは各クライアントがローカルキャッシュを保持し、ピアからキャッシュされたデータを取得します。オプションの ホスト型キャッシュ モードは、専用の Windows Server を必要とし、「ホスト型キャッシュ サーバーの構成」ポリシーを通じてクライアントに設定されますが、 RealmJoin ではサポートされていません 。

クライアントデバイスがソフトウェアパッケージを初めてダウンロードすると、ファイルは元のコンテンツよりもかなり小さいチャンクに分割され、デバイス上にキャッシュされます。もし同じパッケージが同一ネットワーク内の別のクライアントデバイスから要求された場合、サーバーから完全なコンテンツをダウンロードするのではなく、コンテンツ情報をダウンロードします。コンテンツ情報はネットワーク内の他のデバイス上で目的のコンテンツを見つけるために使われます。 クライアントのピア検出 は「分散キャッシュ モード」で次のように動作します：

• クライアントは「誰かコンテンツ ID XYZ を持っていませんか？」のようなマルチキャストクエリを送信します。

• 要求されたセグメントを保持する任意のピアは、ユニキャストで直接応答します。

サーバーからパッケージをダウンロードする代わりに、分割されたチャンクの形でコンテンツがクライアントデバイスに転送されます。要求されたソフトウェアが複数のデバイスで利用可能な場合、負荷はそれらのデバイス間で分散されます。

詳細については Microsoft Learn を参照してください： BranchCache

RealmJoin 接続エンドポイント

RealmJoin は、ファイアウォール設定で考慮される可能性のある次のホストに（HTTPS を使用して）接続します：

• cdn.realmjoin.com

• x1.c.lencr.org

• client-api.realmjoin.com

• client-api-staging.realmjoin.com

• realmjoin-backend.azurewebsites.net

• realmjoin-backend-staging.azurewebsites.net

• nuget.realmjoin.com

• enterpriseregistration.windows.net

• gkrealmjoin.s3.amazonaws.com

• login.microsoftonline.com

• graph.microsoft.com

• realmjoinstaticcdn.azureedge.net （通知）