Front Door WAFの集約レート制限がプレビュー：JA4の共有と誤遮断を検証する

結論（エンジニアリング判断・要点）

編集上の判断：集約ルールはIP分散型攻撃に対する追加の制御として検証します。正常な集団利用まで止めないよう、対象パスを絞り、まずLogで観測してから遮断の採否を決めます。既存のIP単位ルールを一括置換しません。

個別環境の設計保証や法的助言は行いません。実装適用には検証環境での事前テストと業務範囲の確認が必要です。プレビュー採用、設定変更、誤遮断時の解除、監視と復旧を担当する範囲を事前に確定してください。

背景と技術的要因（機能拡張の経緯）

確認済み事実：Azure公式更新情報は2026年11月11日、Front Door Premium WAFのレート制限グループ化を公開プレビューとして告知しました。複数IPからの要求でも共有属性で数え、IPごとのしきい値を下回る分散トラフィックに対応する機能です。

確認済み事実：JA4、AS番号、国／地域のほか、Noneで一致する要求全体を数えられます。既存ルールは集約方式を選ぶまでIP単位の動作を保持します。既存のHTTP DDoSルールセットの記事とは、カスタムルールのカウンター設計を扱う点が異なります。

具体的な適用期日・数値・対象リソース／APIバージョン

確認済み事実：公式告知のAdded to roadmapとLast modifiedは2026-11-11です。日本語の機能資料の表示上の最終更新日は2026-10-23、当記事の確認日は2026-11-14です。公表・資料更新と環境への適用日を区別します。全環境への適用完了日、GA予定日、非推奨化期日は確認できずnullです。

確認済み事実：追加集約はFront Door Premiumが対象です。API値はSocketAddr、GeoLocation、Asn、Ja4、Noneです。期間は1分または5分で、各ルールの集約変数は1種類です。編集上の提案：資料のサンプル値を本番の許容量とせず、自環境で決定します。

対象はWAFポリシーのカスタムレート制限ルールです。今回確認した資料だけでは、追加集約に必要な最小ARM APIバージョンや最小PowerShell版を確定できずnullです。使用中のBicep型定義やSDKがgroupByを保持するか、検証環境で確認します。

アーキテクチャ設計・実装上の確認事項（IaC・設定・依存関係）

確認済み事実：ARM・Bicep・RESTではカスタムルールのgroupByを設定します。JA4の指定例はgroupBy: [ { variableName: 'Ja4' } ]です。PowerShellにはNew-AzFrontDoorWafCustomRuleGroupByVariableObjectと-GroupByCustomRuleがあります。

編集上の提案：IaC差分ではgroupByだけでなく、対象SKU、ルール種別RateLimitRule、matchConditions、priority、rateLimitThreshold、rateLimitDurationInMinutes、action、enabledState、関連付け先を一緒にレビューします。適用後のGET結果とIaCの値を照合し、旧ツールによる再適用で設定が落ちないことも検証します。

確認済み事実：公式設定手順では複数スコープがある場合にルート、ドメイン、プロファイルの順で優先されます。編集上の提案：設定したポリシーと実際に対象経路へ適用されるポリシーを別々に確認し、APIクライアントにブラウザー向けチャレンジを適用する場合は互換性を試験します。

運用・監視・フェイルオーバー・責任分界上の技術論点

確認済み事実：同じJA4を多数の正常利用者が共有し得ます。前段プロキシやCDNがある場合、ソケットIPと派生する国・ASN・JA4はそのプロキシを表します。編集上の判断：指紋を本人識別や認証・認可の代替にせず、共有された出口ごとの業務影響を評価します。

編集上の提案：アクセスログで対象パスと集約属性ごとの通常時ピークを測定し、WAFログ、アプリの成功率、遅延、サポート問い合わせを突き合わせます。攻撃減少だけで成功と判定せず、正常要求の拒否率と解除までの時間を受入条件にします。

編集上の提案：DR試験では切替先への再試行集中や共有プロキシ経由のアクセスを再現します。WAF担当はポリシー適用と解除、アプリ担当は再試行と業務成否、運用担当は監視と切替判断を担当します。集約制御を厳密な課金上限や全世界で同期する業務クォータの保証として使わない設計にします。