クイックサマリー: azure-nettrace は、Azure のリソース名を 1 つ伝えるだけでネットワーク構成図（HTML レポート）を自動生成し、さらに到達性の診断まで行ってくれるエージェント用 Skill です。Claude Code と GitHub Copilot の両方に対応しており、Azure CLI（2.60 以上）があれば動作します。GitHub 上でリポジトリが公開されている OSS プロジェクトです。
azure-nettrace とは — Azure ネットワーク調査の課題を解決する Skill
Azure で構築したシステムが複雑になるほど、「App Service から DB に接続できない」といった障害調査は大変になります。VNet 統合の設定を見て、次に NSG、ルートテーブル、Azure Firewall、ロードバランサー、VNet ピアリング……と、Azure ポータルのブレードを何往復もする経験をお持ちの方は多いと考えられます。
azure-nettrace は、この課題に対して「リソース名を 1 つ伝えるだけで、経路上のリソースをたどって構成図を描き、到達性の赤信号まで指摘してくれる」というアプローチを取る Skill です。作者の yukurash 氏が Zenn の解説記事（【Azure】リソース名一つでネットワーク構成図作成+到達性診断するSkillを作った）で公開しており、リポジトリは GitHub で入手できます（ライセンスの詳細はリポジトリで確認してください）。
- この記事でわかること①: azure-nettrace で何ができるか（構成図生成＋到達性診断の範囲）
- この記事でわかること②: Claude Code / GitHub Copilot へのインストール・有効化手順
- この記事でわかること③: 実際の障害調査フローへの組み込み方と出力例
- この記事でわかること④: Microsoft 公式 Skill（azure-resource-visualizer）との違いと注意点
何ができるか — 機能詳細と対応リソース
対応するエージェント環境は Claude Code と GitHub Copilot の 2 つです。リポジトリには Claude Code 用の skills/azure-nettrace/SKILL.md と、GitHub Copilot 用の .github/agents/・.github/prompts/ の両方の入口が用意されています。
- リソース単位の経路探索: 指定したリソースを起点に、VNet 統合・Private Endpoint・ピアリングなどのエッジをたどって構成を深掘りします（探索アルゴリズムは
references/walker.mdに定義） - 到達性診断: 「赤信号カタログ」として RF-01〜RF-12 の 12 パターンの診断項目を持ち、Private DNS ゾーンの VNet リンク漏れのような接続不能の原因を指摘します
- HTML レポート出力: Mermaid 図ではなくインタラクティブな HTML を生成し、NSG のアイコンをクリックするとルールの詳細を確認できます
- Azure Resource Graph の KQL クエリ集: Q1〜Q12 のクエリが
references/queries.mdにまとまっており、調査の再現性が担保されています - 約 20 種のタイプ別アダプタ: App Service / Functions / VM・VMSS / AKS / Container Apps などのコンピューティング系、SQL / PostgreSQL / Storage / Key Vault / Cosmos DB などのデータ系、Service Bus / API Management などの連携系、Application Gateway / Front Door / Azure Firewall などのネットワーク系に対応。フォールバックも用意されています
解説記事によると、記載外の Azure リソースについても「Skill 使用時に指示すれば追加してくれる」設計とのことで、エージェント Skill ならではの拡張性があります。
インストール・有効化手順
前提条件は次の 3 点です。①Claude Code または GitHub Copilot（必須）、②Azure CLI 2.60 以上＋ resource-graph 拡張（必須）、③Azure MCP サーバー（任意・未設定でも動作します）。
まず Azure CLI の準備をします。
az login
az extension add --name resource-graph
az --version次にリポジトリを取得します。Claude Code の場合、リポジトリの構成説明によると skills/azure-nettrace/ が Skill 本体で、この場所を Claude Code の Skill ディレクトリへリンク（Windows では junction）して読み込ませる方式です。
git clone https://github.com/yukurash/azure-nettrace.git
cd azure-nettrace
# Claude Code: skills/azure-nettrace を .claude/skills 配下へリンクして認識させる作者は「基本的にはこのリポジトリを読み込ませて、『Claude Code / GitHub Copilot で使いたい』と指示すれば適宜抜粋して使える」と説明しており、厳密な配置に迷った場合はエージェント自身にセットアップさせるのが早い方法と考えられます。GitHub Copilot の場合は .github/agents/ と .github/prompts/ がそのまま入口になります。
動作確認は、Skill をスラッシュコマンドとして呼び出すだけです。
/azure-nettrace <リソース名> に関するネットワーク構成図を出して設定例 — アイコン・MCP・出力のカスタマイズ
公式 Azure アイコンの利用（任意）: Microsoft 公式の Azure アーキテクチャアイコンは再配布が許可されていないため、リポジトリには同梱されていません。公式ページから各自ダウンロードして assets/azure-icons/ に配置すると公式アイコンで描画されます。デフォルトはライセンスセーフな内蔵アイコンのため、ダウンロードしなくても動作します。
Azure MCP サーバー（任意）: .vscode/mcp.json に読み取り専用の Azure MCP が登録されています。作者いわく「保険的な役割」で、未設定でも問題ありません。
出力の言語: SKILL.md 本体は日本語・英語の両方で利用できるよう英語で記述されており、HTML 出力仕様（references/output-html.md）には多言語辞書が含まれています。
実開発フローでの活用例 — 障害調査を 1 コマンドに置き換える
作者の検証シナリオが実践イメージとして参考になります。「App Service →（VNet 統合）→ Private Endpoint → Azure SQL」という経路で、あえて Private DNS ゾーンに VNet をリンクしない（＝接続できない）環境を Bicep で構築し、次のように呼び出しています。
/azure-nettrace contoso-app に関するネットワーク構成図を出して結果は「意図したネットワーク構成図を出してくれ、かつ指示していないネットワーク診断まで自動でしてくれました。原因までドンピシャです」とのことです。さらに作者は「Azure ポータルを何ブレードも往復していた作業が、一枚のレポートで見通せるようになりました」と操作感を報告しており、構成図作成と一次切り分けの工数を大きく圧縮できることが示されています。
職種別のユースケースとしては次のような場面が考えられます。
- SRE・インフラエンジニア: 「DB につながらない」障害の一次切り分けで、NSG・ルートテーブル・Firewall・DNS を横断した診断レポートを最初の 1 手として取得する
- アプリケーション開発者: 自分が担当する App Service の接続先と経路を、ネットワークチームに聞く前に自力で可視化して仮説を立てる
- 受託でクラウド構築を行うエンジニア: 納品前のレビューや引き継ぎ資料として、リソースごとの HTML 構成図レポートを添付する（共有前のマスキングには同梱の
scripts/sanitize.ps1の考え方が参考になります）
Claude Code ユーザーであれば、CLAUDE.md に「Azure の接続障害調査ではまず /azure-nettrace を実行する」と一行書いておくだけで、調査の初動を定型化できます。
類似 Skill・代替手段との比較
Microsoft 公式の azure-skills にも azure-resource-visualizer という構成図 Skill がありますが、作者が整理しているとおり守備範囲が異なります。
| ツール名 | 対応CLI | ライセンス | 最終更新 | 特徴 |
|---|---|---|---|---|
| azure-nettrace | Claude Code / GitHub Copilot | OSS（詳細はリポジトリ参照） | 2026年（記事公開時点） | 単一リソース起点で経路を深掘り。到達性診断（RF-01〜12）と NSG ルール等の詳細表示付き HTML を出力 |
| azure-resource-visualizer（公式 azure-skills） | GitHub Copilot ほか | Microsoft 公式 OSS | 継続更新中 | リソースグループ単位の Mermaid 図生成。到達性診断・接続先特定・詳細設定の表示は行わない |
| Azure Network Watcher | Azure ポータル / CLI（エージェント不要） | Azure 標準機能 | Azure と同時更新 | 接続トラブルシューティングや NSG フローログなど個別診断に強いが、構成図と診断を 1 レポートに統合はしない |
「リソースグループ全体を俯瞰したい」なら公式 Skill、「特定リソースの接続問題を追いたい」なら azure-nettrace、という使い分けが実態に合うと考えられます。
注意点・制約・セキュリティ
- Azure への権限: 動作には Azure CLI のログイン済み資格情報を使います。同梱の MCP 設定は読み取り専用ですが、エージェントが
azコマンドを実行できる環境である以上、実行時の権限スコープ（対象サブスクリプション・RBAC）は最小限に絞ることを推奨します。 - 出力レポートの取り扱い: 生成される HTML には IP アドレスや NSG ルールなどの実環境情報が含まれます。社外共有時はマスキングが必須です（リポジトリの examples はサニタイズ済みサンプルで、
connection-inference.mdにマスキング規約が定義されています）。 - 公式アイコンの再配布不可: Azure アーキテクチャアイコンは各自ダウンロード方式です。生成した図への埋め込みは許諾された用途ですが、アイコンセット自体の再配布はできません。
- データ送信先: Skill 自体が独自の外部サーバーへ送信する仕組みは説明されていませんが、Claude Code / GitHub Copilot を経由する以上、取得したリソース情報は各 LLM プロバイダーへ送信されます。組織のポリシー確認が必要です。
- バージョン依存: Azure CLI は 2.60 以上、resource-graph 拡張が必須です。対応リソースは約 20 種のアダプタ＋フォールバックで、記載外リソースは精度が落ちる可能性があります。
まとめ
- azure-nettrace は、リソース名 1 つから Azure のネットワーク構成図（クリックで詳細確認できる HTML）と到達性診断を自動生成する OSS の Skill です
- Claude Code / GitHub Copilot に対応し、Azure CLI 2.60 以上と resource-graph 拡張があれば導入できます。公式 Skill（azure-resource-visualizer）が扱わない「単一リソース起点の経路深掘り＋診断」をカバーします
- 出力には実環境の情報が含まれるため、権限スコープの最小化と共有前のマスキングだけは忘れずに運用してください
Azure ポータルを往復する障害調査を 1 コマンドの初動に置き換えたい方は、まずリポジトリの README と Zenn の解説記事を確認するところから始めるのがよいと考えられます。Claude Code の Skill 機能の詳細は Anthropic 公式ドキュメント、GitHub Copilot のカスタムエージェント設定は GitHub 公式ドキュメントも併せて参照してください。
コメント