Verschieben einer Azure Netzwerksicherheitsgruppe (NSG) in eine andere Region

Artikel
03/11/2024

In diesem Artikel wird gezeigt, wie Sie eine NSG in eine neue Region verschieben, indem Sie eine Kopie der Quellkonfiguration und Sicherheitsregeln der NSG in eine andere Region erstellen.

Voraussetzungen

Stellen Sie sicher, dass sich die Azure-Netzwerksicherheitsgruppe in der Azure-Zielregion befindet.
Verknüpfen Sie den neuen NSG mit Ressourcen in der Zielregion.
Damit Sie eine NSG-Konfiguration exportieren und eine Vorlage bereitstellen können, um eine NSG in einer anderen Region zu erstellen, benötigen Sie mindestens die Rolle „Netzwerkmitwirkender“.
Identifizieren Sie das Layout des Quellnetzwerks und alle Ressourcen, die Sie aktuell verwenden. Dieses Layout umfasst Load Balancer, Netzwerksicherheitsgruppen, öffentliche IP-Adressen und virtuelle Netzwerke, ohne darauf beschränkt zu sein.
Vergewissern Sie sich, dass Sie mit Ihrem Azure-Abonnement NSGs in der verwendeten Zielregion erstellen können. Wenden Sie sich an den Support, um das erforderliche Kontingent zu aktivieren.
Stellen Sie sicher, dass Ihr Abonnement genügend Ressourcen hat, um das Hinzufügen von NSGs für diesen Prozess zu unterstützen. Weitere Informationen finden Sie unter Einschränkungen für Azure-Abonnements und Dienste, Kontingente und Einschränkungen.

Ausfallzeit

Informationen zu den möglichen Ausfallzeiten finden Sie unter Cloud Adoption Framework für Azure: Auswählen einer Verlagerungsmethode.

Vorbereiten

In den folgenden Schritten wird gezeigt, wie Sie eine Netzwerksicherheitsgruppe vorbereiten, damit deren Konfiguration und Sicherheitsregeln mit einer Resource Manager-Vorlage verschoben werden können, und wie Sie die NSG-Konfiguration und -Sicherheitsregeln über das Portal in die Zielregion verschieben.

So exportieren und ändern Sie eine Vorlage mithilfe des Azure-Portals:

Melden Sie sich beim Azure-Portal an.
Wählen Sie die Option Alle Ressourcen und dann Ihr Speicherkonto aus.
Wählen Sie >Automation>Vorlage exportieren aus.
Wählen Sie Bereitstellen auf dem Blatt Vorlage exportieren aus.
Wählen Sie VORLAGE>Parameter bearbeiten aus, um die Datei parameters.json im Online-Editor zu öffnen.

Um den Parameter für den Namen der NSG zu bearbeiten, ändern Sie Eigenschaft value unter parameters:

        {
        "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
        "contentVersion": "1.0.0.0",
        "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
           "value": "<target-nsg-name>"
            }
           }
        }

Ändern Sie den für die Quell-NSG angegebenen Namen im Editor in den Namen für die Ziel-NSG. Stellen Sie sicher, dass Sie den Namen in Anführungszeichen einschließen.
Wählen Sie im Editor die Option Speichern aus.
Wählen Sie VORLAGE>Parameter bearbeiten aus, um die Datei template.json im Online-Editor zu öffnen.

Um die Zielregion zu bearbeiten, in die die NSG-Konfiguration und -Sicherheitsregeln verschoben werden, ändern Sie im Online-Editor die Eigenschaft location unter resources:

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
         }
        }
       ]

Informationen zum Abrufen von Regionsstandortcodes finden Sie unter Azure-Standorte. Der Code für eine Region ist der Regionsname ohne Leerzeichen, USA, Mitte = centralus.

Sie können wahlweise auch andere Parameter in der Vorlage ändern, die abhängig von Ihren Anforderungen optional sind:

Sicherheitsregeln: Sie können festlegen, welche Regeln in der Ziel-NSG bereitgestellt werden, indem Sie dem Abschnitt securityRules in der Datei template.json Regeln hinzufügen oder Regeln aus diesem Abschnitt entfernen:

   "resources": [
    {
    "type": "Microsoft.Network/networkSecurityGroups",
    "apiVersion": "2019-06-01",
    "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
    "location": "<target-region>",
    "properties": {
        "provisioningState": "Succeeded",
        "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
        "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                    "provisioningState": "Succeeded",
                    "protocol": "TCP",
                    "sourcePortRange": "*",
                    "destinationPortRange": "3389",
                    "sourceAddressPrefix": "*",
                    "destinationAddressPrefix": "*",
                    "access": "Allow",
                    "priority": 300,
                    "direction": "Inbound",
                    "sourcePortRanges": [],
                    "destinationPortRanges": [],
                    "sourceAddressPrefixes": [],
                    "destinationAddressPrefixes": []
                     }
            },
        ]
    }

Um das Hinzufügen oder Entfernen von Regeln in der Ziel-NSG abzuschließen, müssen Sie außerdem die benutzerdefinierten Regeltypen am Ende der Datei template.json im Format des folgenden Beispiels bearbeiten:

     {
      "type": "Microsoft.Network/networkSecurityGroups/securityRules",
      "apiVersion": "2019-06-01",
      "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
      "dependsOn": [
          "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
      ],
      "properties": {
          "provisioningState": "Succeeded",
          "protocol": "*",
          "sourcePortRange": "*",
          "destinationPortRange": "80",
          "sourceAddressPrefix": "*",
          "destinationAddressPrefix": "*",
          "access": "Allow",
          "priority": 310,
          "direction": "Inbound",
          "sourcePortRanges": [],
          "destinationPortRanges": [],
          "sourceAddressPrefixes": [],
          "destinationAddressPrefixes": []
      }

Wählen Sie im Online-Editor die Option Speichern aus.

So exportieren und ändern Sie eine Vorlage mithilfe von PowerShell:

Melden Sie sich mit dem Befehl Connect-AzAccount bei Ihrem Azure-Abonnement an, und befolgen Sie die Anweisungen auf dem Bildschirm:
```
Connect-AzAccount
```
Verwenden Sie Get-AzNetworkSecurityGroup, um die Ressourcen-ID der NSG, die Sie in die Zielregion verschieben möchten, abzurufen und zu einer Variablen zuzuweisen:
```
$sourceNSGID = (Get-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>).Id
```

Exportieren Sie die Quell-NSG in eine JSON-Datei in dem Verzeichnis, in dem Sie den Befehl Export-AzResourceGroup ausführen:

Export-AzResourceGroup -ResourceGroupName <source-resource-group-name> -Resource $sourceNSGID -IncludeParameterDefaultValue

Die heruntergeladene Datei wird nach der Ressourcengruppe benannt, aus der die Ressource exportiert wurde. Suchen Sie die Datei <resource-group-name>.json, die mit dem Befehl exportiert wurde, und öffnen Sie diese in einem Editor Ihrer Wahl:
```
notepad <source-resource-group-name>.json
```

Um den Parameter für den NSG-Namen zu bearbeiten, ändern Sie die Eigenschaft defaultValue des Namens der Quell-NSG in den Namen Ihrer Ziel-NSG, wobei Sie den Namen in Anführungszeichen einschließen müssen:

        {
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "networkSecurityGroups_myVM1_nsg_name": {
        "defaultValue": "<target-nsg-name>",
        "type": "String"
        }
    }

Um die Zielregion zu bearbeiten, in die die NSG-Konfiguration und -Sicherheitsregeln verschoben werden, ändern Sie die Eigenschaft location unter resources:

        "resources": [
        {
        "type": "Microsoft.Network/networkSecurityGroups",
        "apiVersion": "2019-06-01",
        "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
        "location": "<target-region>",
        "properties": {
            "provisioningState": "Succeeded",
            "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78", 
         }
        }

Zum Abrufen von Regionsstandortcodes können Sie das Azure PowerShell-Cmdlet Get-AzLocation verwenden, indem Sie den folgenden Befehl ausführen:
```
Get-AzLocation | format-table
```

Sie können wahlweise auch andere Parameter in der Datei <resource-group-name>.json ändern. Diese sind abhängig von Ihren Anforderungen optional:

Sicherheitsregeln: Sie können festlegen, welche Regeln in der Ziel-NSG bereitgestellt werden, indem Sie dem Abschnitt securityRules in der Datei <resource-group-name>.json Regeln hinzufügen oder Regeln aus diesem Abschnitt entfernen:

   "resources": [
          {
          "type": "Microsoft.Network/networkSecurityGroups",
          "apiVersion": "2019-06-01",
          "name": "[parameters('networkSecurityGroups_myVM1_nsg_name')]",
          "location": "TARGET REGION",
          "properties": {
               "provisioningState": "Succeeded",
               "resourceGuid": "2c846acf-58c8-416d-be97-ccd00a4ccd78",
          "securityRules": [
            {
                "name": "RDP",
                "etag": "W/\"c630c458-6b52-4202-8fd7-172b7ab49cf5\"",
                "properties": {
                     "provisioningState": "Succeeded",
                     "protocol": "TCP",
                     "sourcePortRange": "*",
                     "destinationPortRange": "3389",
                     "sourceAddressPrefix": "*",
                     "destinationAddressPrefix": "*",
                     "access": "Allow",
                     "priority": 300,
                     "direction": "Inbound",
                     "sourcePortRanges": [],
                     "destinationPortRanges": [],
                     "sourceAddressPrefixes": [],
                     "destinationAddressPrefixes": []
                    }
                ]
    }

Um das Hinzufügen oder Entfernen von Regeln in der Ziel-NSG abzuschließen, müssen Sie außerdem die benutzerdefinierten Regeltypen am Ende der Datei <resource-group-name>.json im Format des folgenden Beispiels bearbeiten:

   {
    "type": "Microsoft.Network/networkSecurityGroups/securityRules",
    "apiVersion": "2019-06-01",
    "name": "[concat(parameters('networkSecurityGroups_myVM1_nsg_name'), '/Port_80')]",
    "dependsOn": [
        "[resourceId('Microsoft.Network/networkSecurityGroups', parameters('networkSecurityGroups_myVM1_nsg_name'))]"
    ],
    "properties": {
        "provisioningState": "Succeeded",
        "protocol": "*",
        "sourcePortRange": "*",
        "destinationPortRange": "80",
        "sourceAddressPrefix": "*",
        "destinationAddressPrefix": "*",
        "access": "Allow",
        "priority": 310,
        "direction": "Inbound",
        "sourcePortRanges": [],
        "destinationPortRanges": [],
        "sourceAddressPrefixes": [],
        "destinationAddressPrefixes": []
    }

Speichern Sie die Datei <resource-group-name>.json.

Erneute Bereitstellung

Portal
PowerShell

Wählen Sie GRUNDEINSTELLUNGEN>Abonnement, um das Abonnement auszuwählen, in dem die Ziel-NSG bereitgestellt wird.
Wählen Sie GRUNDEINSTELLUNGEN>Ressourcengruppe, um die Ressourcengruppe auszuwählen, in der die Ziel-NSG bereitgestellt wird. Sie können auf Neu erstellen klicken, um eine neue Ressourcengruppe für die Ziel-NSG zu erstellen. Stellen Sie sicher, dass der Name nicht mit dem Namen der Quellressourcengruppe der vorhandenen NSG übereinstimmt.
Wählen Sie GRUNDEINSTELLUNGEN>Standort und legen Sie diesen Wert auf den Zielstandort fest, an dem die NSG bereitgestellt werden soll.
Stellen Sie unter EINSTELLUNGEN sicher, dass der Name mit dem Namen übereinstimmt, den Sie oben im Parameter-Editor eingegeben haben.
Aktivieren Sie das Kontrollkästchen unter NUTZUNGSBEDINGUNGEN.
Wählen Sie die Schaltfläche Erwerben, um die Zielnetzwerksicherheitsgruppe bereitzustellen.

Erstellen Sie mithilfe von New-AzResourceGroup eine Ressourcengruppe in der Zielregion für die Ziel-NSG, die bereitgestellt werden soll:
```
New-AzResourceGroup -Name <target-resource-group-name> -location <target-region>
```
Stellen Sie die bearbeitete Datei <resource-group-name>.json mit New-AzResourceGroupDeployment in der im vorherigen Schritt erstellten Ressourcengruppe bereit:
```
New-AzResourceGroupDeployment -ResourceGroupName <target-resource-group-name> -TemplateFile <source-resource-group-name>.json
```

Um zu überprüfen, ob die Ressourcen in der Zielregion erstellt wurden, verwenden Sie Get-AzResourceGroup und Get-AzNetworkSecurityGroup:


Get-AzResourceGroup -Name <target-resource-group-name>


Get-AzNetworkSecurityGroup -Name <target-nsg-name> -ResourceGroupName <target-resource-group-name>

Verwerfen

Portal
PowerShell

Wenn Sie die Ziel-NSG verwerfen möchten, löschen Sie die Ressourcengruppe, die die Ziel-NSG enthält. Wählen Sie hierzu im Portal die Ressourcengruppe im Dashboard aus, und klicken Sie oben auf der Übersichtsseite auf Löschen.

Wenn Sie nach der Bereitstellung neu starten oder die NSG im Ziel verwerfen möchten, löschen Sie die im Ziel erstellte Ressourcengruppe. Die verschobene NSG wird dann gelöscht. Um die Ressourcengruppe zu entfernen, verwenden Sie Remove-AzResourceGroup:


Remove-AzResourceGroup -Name <target-resource-group-name>

Bereinigung

Portal
PowerShell

Um die Änderungen zu übernehmen und das Verschieben der NSG abzuschließen, löschen Sie die Quell-NSG oder -ressourcengruppe. Wählen Sie hierzu im Portal die Netzwerksicherheitsgruppe oder Ressourcengruppe im Dashboard aus, und klicken Sie oben auf jeder Seite auf Löschen.

Um die Änderungen zu übernehmen und die Verschiebung der NSG abzuschließen, löschen Sie die Quell-NSG oder -Ressourcengruppe mit Remove-AzResourceGroup oder Remove-AzNetworkSecurityGroup:


Remove-AzResourceGroup -Name <source-resource-group-name>


Remove-AzNetworkSecurityGroup -Name <source-nsg-name> -ResourceGroupName <source-resource-group-name>

Nächste Schritte

In diesem Tutorial haben Sie eine Azure-Netzwerksicherheitsgruppe aus einer Region in eine andere verschoben und die Quellressourcen bereinigt. Weitere Informationen zum Verschieben von Ressourcen zwischen Regionen und zur Notfallwiederherstellung in Azure finden Sie unter:

Freigeben über