Azure Firewallを別のリージョンに再配置する

1. Azure ポータルにサインインします。
2. すべてのリソースを選択し、Azure Firewall リソースを選択します。
3. Azure Firewall ページで、左側のメニューの Automation> の下にある Export template を選択します。
4. エクスポート テンプレート ページで、ダウンロード を選択します。
5. ポータルからダウンロードした .zip ファイルを見つけて、選択したフォルダーにそのファイルを解凍します。

このzipファイルには、テンプレートを展開するためのテンプレートとスクリプトを含む.jsonファイルが含まれています。

1. Connect-AzAccount コマンドを使用してAzure サブスクリプションにサインインし、画面の指示に従います。

   Connect-AzAccount
   

2. ID が複数のサブスクリプションに関連付けられている場合は、アクティブなサブスクリプションを、移動するAzure Firewall リソースのサブスクリプションに設定します。

   $context = Get-AzSubscription -SubscriptionId <subscription-id>
   Set-AzContext $context
   

3. 次のコマンドを実行して、ソース Azure Firewall リソースのテンプレートをエクスポートします。

   $resource = Get-AzResource `
     -ResourceGroupName <resource-group-name> `
     -ResourceName <resource-name> `
     -ResourceType <resource-type>
   
   Export-AzResourceGroup `
     -ResourceGroupName <resource-group-name> `
     -Resource $resource.ResourceId
   

4. 現在のディレクトリで template.json を見つけます。

1. Azure ポータルにサインインします。

2. TLS 検査を有効にした Premium SKU を使用している場合は、次の手順を行います。

   1. 新しいターゲット リージョンに、TLS 検査に使用されるキー コンテナーを再配置します。 次に、手順に従って、ターゲット リージョンの新しいキー コンテナーに TLS 検査用の証明書を移動するか、新しく生成します。
   2. 新しいターゲット リージョンにマネージド ID を再配置します。 ターゲット リージョンとサブスクリプションで、キー コンテナーの対応するロールを再割り当てします。

3. Azure ポータルで、リソースの作成 を選択します。

4. [Marketplace を検索] に「template deployment」と入力し、Enter キーを押します。

5. [テンプレートのデプロイ]、[作成] の順に選択します。

6. 独自のテンプレートをエディターに作成を選択します。

7. [ファイルを読み込む] を選択し、手順に従って、前のセクションでダウンロードした template.json ファイルを読み込みます

8. template.json ファイルで、次のように置き換えます。

   • Azure Firewall 名の既定値を持つ firewallName
   • azureFirewallPublicIpId をターゲット地域のあなたのパブリック IP アドレスの ID に置き換えます。
   • virtualNetworkName をターゲット リージョンの仮想ネットワークの名前に置き換えます。
   • firewallPolicy.id をポリシー ID に置き換えます。

9. ソース リージョンの構成を使用して新しいファイアウォール ポリシーを作成し、新しいターゲット リージョンによって導入された変更 (IP アドレス範囲、パブリック IP、ルール コレクション) を反映します。

10. Premium SKU を使用しており、TLS 検査を有効にする場合は、新しく作成したファイアウォール ポリシーを更新し、こちらの手順に従って TLS 検査を有効にします。

11. 次の設定を確認して更新し、ターゲット リージョンに必要な変更を反映します。

    • IP グループ。 ターゲット リージョンの IP アドレスがソースと異なる場合は、それを含めるために、"IP グループ" を確認する必要があります。 グループに含まれている IP アドレスを変更する必要があります。
    • ゾーン。 ターゲット リージョンの可用性ゾーン (AZ) を構成します。
    • Forced Tunneling.仮想ネットワークを再配置したことAzure Firewallが再配置される前にファイアウォール 管理サブネットが存在することを確認します。 Azure Firewallがトラフィックをリダイレクトするネットワーク仮想アプライアンス (NVA) のターゲット リージョンの IP アドレスを、ユーザー定義ルート (UDR) で更新します。
    • DNS。 カスタム DNS サーバー の IP アドレスを確認して、ターゲット リージョンを反映します。 DNS プロキシ機能が有効になっている場合は、仮想ネットワーク DNS サーバーの設定を構成し、Azure Firewallのプライベート IP アドレスを Custom DNS サーバーとして設定してください。
    • プライベート IP 範囲 (SNAT)。 - SNAT にカスタム範囲が定義されている場合は、ターゲット リージョンのアドレス空間が含まれていることを確認し、最終的に調整することをお勧めします。
    • タグ。 - 新しいファイアウォールの場所を反映または参照するタグを確認して更新します。
    • 診断設定。 ターゲット リージョンでAzure Firewallを再作成するときは、必ず Diagnostic Setting を確認し、ターゲット リージョン (Log Analytics ワークスペース、ストレージ アカウント、イベント ハブ、またはサード パーティ のパートナー ソリューション) を反映するように構成してください。

12. location ファイルの template.json プロパティをターゲット リージョンに編集します (次の例は、ターゲット リージョンを centralus に設定しています)。

    "resources": [
    {
      "type": "Microsoft.Network/azureFirewalls",
      "apiVersion": "2023-09-01",
      "name": "[parameters('azureFirewalls_fw_name')]",
      "location": "centralus",}]
    

    ターゲットリージョンのロケーションコードを見つけるには、Azure におけるデータレジデンシーのページを参照してください。

13. template.json ファイルを保存します。

1. Azure ポータルにサインインします。

2. TLS 検査を有効にした Premium SKU を使用している場合は、次の手順を行います。

   1. 新しいターゲット リージョンに、TLS に使用されるキー コンテナーを再配置し、手順に従って、新しいターゲット リージョンに、TLS 検査用の証明書を移動するか、新しく生成します。
   2. 新しいターゲット リージョンにマネージド ID を再配置し、ターゲット リージョンとサブスクリプションでキー コンテナーの対応するロールを再割り当てします。

3. template.json ファイルで、次のように置き換えます。

   • Azure Firewall 名の既定値を持つ firewallName
   • azureFirewallPublicIpId をターゲット地域のあなたのパブリック IP アドレスの ID に置き換えます。
   • virtualNetworkName をターゲット リージョンの仮想ネットワークの名前に置き換えます。
   • firewallPolicy.id をポリシー ID に置き換えます。

4. ソース リージョンの構成を使用して新しいファイアウォール ポリシーを作成し、新しいターゲット リージョンによって導入された変更 (IP アドレス範囲、パブリック IP、ルール コレクション) を反映します。

5. 次のプロパティを確認して更新し、ターゲット リージョンに必要な変更を反映します。

   • IP グループ。 ターゲット リージョンの IP アドレスがソースと異なる場合は、それを含めるために、"IP グループ" を確認する必要があります。 グループに含まれている IP アドレスを変更する必要があります。
   • ゾーン。 ターゲット リージョンの可用性ゾーン (AZ) を構成します。
   • Forced Tunneling.仮想ネットワークを再配置したことAzure Firewallが再配置される前にファイアウォール 管理サブネットが存在することを確認します。 Azure Firewallがトラフィックをリダイレクトするネットワーク仮想アプライアンス (NVA) のターゲット リージョンの IP アドレスを、ユーザー定義ルート (UDR) で更新します。
   • DNS。 カスタム DNS サーバー の IP アドレスを確認して、ターゲット リージョンを反映します。 DNS プロキシ機能が有効になっている場合は、仮想ネットワーク DNS サーバーの設定を構成し、Azure Firewallのプライベート IP アドレスを Custom DNS サーバーとして設定してください。
   • プライベート IP 範囲 (SNAT)。 - SNAT にカスタム範囲が定義されている場合は、ターゲット リージョンのアドレス空間が含まれていることを確認し、最終的に調整することをお勧めします。
   • タグ。 - 新しいファイアウォールの場所を反映または参照するタグを確認して更新します。
   • 診断設定。 ターゲット リージョンでAzure Firewallを再作成するときは、必ず Diagnostic Setting を確認し、ターゲット リージョン (Log Analytics ワークスペース、ストレージ アカウント、イベント ハブ、またはサード パーティのパートナー ソリューション) を反映するように構成してください。

6. location ファイルの template.json プロパティをターゲット リージョンに編集します (次の例は、ターゲット リージョンを centralus に設定しています)。

   "resources": [
     {
       "type": "Microsoft.Network/azureFirewalls",
       "apiVersion": "2023-09-01",
       "name": "[parameters('azureFirewalls_fw_name')]",
       "location": "centralus",
     }
   ]
   

ターゲットリージョンのロケーションコードを見つけるには、Azure におけるデータレジデンシーのページを参照してください。

1. プロパティ値を入力または選択します。

   • サブスクリプション: Azure サブスクリプションを選択します。
   • [リソース グループ] : [新規作成] を選択して、リソース グループに名前を付けます。
   • 場所: Azureの場所を選択します。

2. Azure Firewallは、ターゲット リージョンで必要な変更を反映するために、採用された構成でデプロイされるようになりました。

3. 構成と機能を確認します。

1. 次のコマンドを実行して、ターゲット パブリック IP をデプロイするサブスクリプション ID を取得します。

   Get-AzSubscription
   

2. 次のコマンドを実行して、テンプレートをデプロイします。

   $resourceGroupName = Read-Host -Prompt "Enter the Resource Group name"
   $location = Read-Host -Prompt "Enter the location (i.e. eastus)"
   
   New-AzResourceGroup -Name $resourceGroupName -Location "$location"
   New-AzResourceGroupDeployment -ResourceGroupName $resourceGroupName -TemplateUri "<name of your local template file>"
   

3. Azure Firewallは、ターゲット リージョンで必要な変更を反映するために、採用された構成でデプロイされるようになりました。

4. 構成と機能を確認します。