Firewall de Microsoft.NetworkPolicies 2021-05-01
- más reciente
- 2024-03-01
- 2024-01-01
- 2023-11-01
- 2023-09-01
- 2023-06-01
- 2023-05-01
- 2023-04-01
- 2023-02-01
- 2022-11-01
- 2022-09-01
- 2022-07-01
- 2022-05-01
- 2022-01-01
- 2021-08-01
- 2021-05-01
- 2021-03-01
- 2021-02-01
- 2020-11-01
- 2020-08-01
- 2020-07-01
- 2020-06-01
- 2020-05-01
- 2020-04-01
- 2020-03-01
- 2019-12-01
- 2019-11-01
- 2019-09-01
- 2019-08-01
- 2019-07-01
- 2019-06-01
Definición de recursos de Bicep
El tipo de recurso firewallPolicies se puede implementar con operaciones destinadas a:
- grupos de recursos: consulte comandos de implementación de grupos de recursos
Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.
Formato de recurso
Para crear un recurso Microsoft.Network/firewallPolicies, agregue lo siguiente a la plantilla de Bicep.
resource symbolicname 'Microsoft.Network/firewallPolicies@2021-05-01' = {
identity: {
type: 'string'
userAssignedIdentities: {
{customized property}: {}
}
}
location: 'string'
name: 'string'
properties: {
basePolicy: {
id: 'string'
}
dnsSettings: {
enableProxy: bool
requireProxyForNetworkRules: bool
servers: [
'string'
]
}
explicitProxySettings: {
enableExplicitProxy: bool
httpPort: int
httpsPort: int
pacFile: 'string'
pacFilePort: int
}
insights: {
isEnabled: bool
logAnalyticsResources: {
defaultWorkspaceId: {
id: 'string'
}
workspaces: [
{
region: 'string'
workspaceId: {
id: 'string'
}
}
]
}
retentionDays: int
}
intrusionDetection: {
configuration: {
bypassTrafficSettings: [
{
description: 'string'
destinationAddresses: [
'string'
]
destinationIpGroups: [
'string'
]
destinationPorts: [
'string'
]
name: 'string'
protocol: 'string'
sourceAddresses: [
'string'
]
sourceIpGroups: [
'string'
]
}
]
signatureOverrides: [
{
id: 'string'
mode: 'string'
}
]
}
mode: 'string'
}
sku: {
tier: 'string'
}
snat: {
privateRanges: [
'string'
]
}
sql: {
allowSqlRedirect: bool
}
threatIntelMode: 'string'
threatIntelWhitelist: {
fqdns: [
'string'
]
ipAddresses: [
'string'
]
}
transportSecurity: {
certificateAuthority: {
keyVaultSecretId: 'string'
name: 'string'
}
}
}
tags: {
{customized property}: 'string'
}
}
Valores de propiedad
Components1Jq1T4ISchemasManagedserviceidentityPropertiesUserassignedidentitiesAdditionalproperties
| Nombre | Descripción | Valor |
|---|
DnsSettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableProxy | Habilite el proxy DNS en firewalls conectados a la directiva de firewall. | Bool |
| requireProxyForNetworkRules | Los FQDN en reglas de red se admiten cuando se establece en true. | Bool |
| Servidores | Lista de servidores DNS personalizados. | string[] |
ExplicitProxySettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableExplicitProxy | Cuando se establece en true, el modo proxy explícito está habilitado. | Bool |
| httpPort | El número de puerto para el protocolo HTTP proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| httpsPort | El número de puerto para el protocolo https de proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| pacFile | DIRECCIÓN URL de SAS para el archivo PAC. | cuerda |
| pacFilePort | Número de puerto para que el firewall sirva el archivo PAC. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
FirewallPolicyCertificateAuthority
| Nombre | Descripción | Valor |
|---|---|---|
| keyVaultSecretId | Id. de secreto del objeto "Secret" o "Certificate" almacenado en KeyVault (codificado en base 64 pfx sin cifrar). | cuerda |
| nombre | Nombre del certificado de entidad de certificación. | cuerda |
FirewallPolicyInsights
| Nombre | Descripción | Valor |
|---|---|---|
| isEnabled | Marca para indicar si la información está habilitada en la directiva. | Bool |
| logAnalyticsResources | Áreas de trabajo necesarias para configurar Firewall Policy Insights. | FirewallPolicyLogAnalyticsResources |
| retentionDays | Número de días que la información debe habilitarse en la directiva. | Int |
FirewallPolicyIntrusionDetection
| Nombre | Descripción | Valor |
|---|---|---|
| configuración | Propiedades de configuración de detección de intrusiones. | FirewallPolicyIntrusionDetectionConfiguration |
| modo | Estado general de detección de intrusiones. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyIntrusionDetectionBypassTrafficSpecifications
| Nombre | Descripción | Valor |
|---|---|---|
| descripción | Descripción de la regla de tráfico de omisión. | cuerda |
| destinationAddresses | Lista de direcciones IP o intervalos de destino para esta regla. | string[] |
| destinationIpGroups | Lista de ipGroups de destino para esta regla. | string[] |
| destinationPorts | Lista de puertos o intervalos de destino. | string[] |
| nombre | Nombre de la regla de tráfico de omisión. | cuerda |
| protocolo | Protocolo de omisión de reglas. | 'ANY' 'ICMP' 'TCP' 'UDP' |
| sourceAddresses | Lista de direcciones IP de origen o intervalos para esta regla. | string[] |
| sourceIpGroups | Lista de ipGroups de origen para esta regla. | string[] |
FirewallPolicyIntrusionDetectionConfiguration
| Nombre | Descripción | Valor |
|---|---|---|
| bypassTrafficSettings | Lista de reglas para que el tráfico omita. | FirewallPolicyIntrusionDetectionBypassTrafficSpecifications[] |
| signatureOverrides | Lista de estados de firmas específicos. | FirewallPolicyIntrusionDetectionSignatureSpecification[] |
FirewallPolicyIntrusionDetectionSignatureSpecification
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de firma. | cuerda |
| modo | Estado de firma. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyLogAnalyticsResources
| Nombre | Descripción | Valor |
|---|---|---|
| defaultWorkspaceId | Identificador de área de trabajo predeterminado para Firewall Policy Insights. | SubResource |
| áreas de trabajo | Lista de áreas de trabajo para Firewall Policy Insights. | FirewallPolicyLogAnalyticsWorkspace[] |
FirewallPolicyLogAnalyticsWorkspace
| Nombre | Descripción | Valor |
|---|---|---|
| región | Región para configurar el área de trabajo. | cuerda |
| workspaceId | Identificador del área de trabajo de Firewall Policy Insights. | SubResource |
FirewallPolicyPropertiesFormat
| Nombre | Descripción | Valor |
|---|---|---|
| basePolicy | Directiva de firewall primaria de la que se heredan las reglas. | SubResource |
| dnsSettings | Definición de configuración del proxy DNS. | dnsSettings |
| explicitProxySettings | Definición de configuración de proxy explícita. | ExplicitProxySettings |
| Ideas | Información sobre la directiva de firewall. | FirewallPolicyInsights |
| intrusionDetection | Configuración para la detección de intrusiones. | firewallPolicyIntrusionDetection de |
| Sku | SKU de directiva de firewall. | FirewallPolicySku |
| snat | Las direcciones IP privadas o los intervalos IP a los que el tráfico no será SNAT. | FirewallPolicySnat |
| SQL | Definición de configuración de SQL. | FirewallPolicySQL |
| threatIntelMode | Modo de operación para inteligencia sobre amenazas. | "Alerta" 'Denegar' 'Desactivado' |
| threatIntelWhitelist | Lista de permitidos de ThreatIntel para la directiva de firewall. | FirewallPolicyThreatIntelWhitelist |
| transportSecurity | Definición de configuración de TLS. | firewallPolicyTransportSecurity de |
FirewallPolicySku
| Nombre | Descripción | Valor |
|---|---|---|
| nivel | Nivel de directiva de firewall. | "Básico" 'Premium' 'Estándar' |
FirewallPolicySnat
| Nombre | Descripción | Valor |
|---|---|---|
| privateRanges | Lista de direcciones IP privadas o intervalos de direcciones IP que no deben ser SNAT. | string[] |
FirewallPolicySQL
| Nombre | Descripción | Valor |
|---|---|---|
| allowSqlRedirect | Marca que indica si está habilitado el filtrado de tráfico de redirección de SQL. Activar la marca no requiere ninguna regla mediante el puerto 11000-11999. | Bool |
FirewallPolicyThreatIntelWhitelist
| Nombre | Descripción | Valor |
|---|---|---|
| fqdns | Lista de FQDN para la lista blanca threatIntel. | string[] |
| ipAddresses | Lista de direcciones IP de la lista blanca ThreatIntel. | string[] |
FirewallPolicyTransportSecurity
| Nombre | Descripción | Valor |
|---|---|---|
| certificateAuthority | Entidad de certificación usada para la generación de CA intermedia. | FirewallPolicyCertificateAuthority |
ManagedServiceIdentity
| Nombre | Descripción | Valor |
|---|---|---|
| tipo | Tipo de identidad que se usa para el recurso. El tipo "SystemAssigned, UserAssigned" incluye una identidad creada implícitamente y un conjunto de identidades asignadas por el usuario. El tipo "None" quitará las identidades de la máquina virtual. | 'Ninguno' 'SystemAssigned' 'SystemAssigned, UserAssigned' 'UserAssigned' |
| userAssignedIdentities | Lista de identidades de usuario asociadas al recurso. Las referencias de clave de diccionario de identidad de usuario serán identificadores de recursos de ARM con el formato: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}'. | managedServiceIdentityUserAssignedIdentities |
ManagedServiceIdentityUserAssignedIdentities
| Nombre | Descripción | Valor |
|---|
Microsoft.Network/firewallPolicies
| Nombre | Descripción | Valor |
|---|---|---|
| identidad | Identidad de la directiva de firewall. | managedServiceIdentity |
| ubicación | Ubicación del recurso. | cuerda |
| nombre | El nombre del recurso | string (obligatorio) |
| Propiedades | Propiedades de la directiva de firewall. | FirewallPolicyPropertiesFormat |
| Etiquetas | Etiquetas del recurso | Diccionario de nombres y valores de etiqueta. Consulte etiquetas de en plantillas |
ResourceTags
| Nombre | Descripción | Valor |
|---|
SubResource
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de recurso. | cuerda |
Ejemplos de inicio rápido
En los ejemplos de inicio rápido siguientes se implementa este tipo de recurso.
| Archivo de Bicep | Descripción |
|---|---|
| crear un firewall y firewallPolicy con reglas e ipgroups | Esta plantilla implementa una directiva de firewall de Azure Firewall (incluidas varias reglas de aplicación y de red) que hace referencia a grupos ip en reglas de red y aplicaciones. |
| centros virtuales protegidos | Esta plantilla crea un centro virtual protegido mediante Azure Firewall para proteger el tráfico de red en la nube destinado a Internet. |
| suscripción de SharePoint / 2019 / 2016 totalmente configurado | Cree un controlador de dominio, una granja de SQL Server 2022 y de 1 a 5 servidores que hospedan una suscripción de SharePoint / 2019 / 2016 con una amplia configuración, incluida la autenticación de confianza, perfiles de usuario con sitios personales, una confianza de OAuth (mediante un certificado), un sitio IIS dedicado para hospedar complementos de elevada confianza, etc... Se instala la versión más reciente de los softwares clave (incluido Fiddler, vscode, np++, 7zip, ULS Viewer). Las máquinas de SharePoint tienen un ajuste adicional para que se puedan usar inmediatamente (herramientas de administración remota, directivas personalizadas para Edge y Chrome, accesos directos, etc.). |
| entorno de pruebas de para Azure Firewall Premium | Esta plantilla crea una directiva de Firewall Premium y firewall de Azure Firewall con características premium, como detección de inspección de intrusiones (IDPS), inspección de TLS y filtrado de categoría web |
| Uso de Azure Firewall como proxy DNS en una topología en estrella tipo Hub & Spoke | En este ejemplo se muestra cómo implementar una topología en estrella tipo hub-spoke en Azure mediante Azure Firewall. La red virtual del concentrador actúa como un punto central de conectividad a muchas redes virtuales de radio que están conectadas a la red virtual del concentrador a través del emparejamiento de redes virtuales. |
Definición de recursos de plantilla de ARM
El tipo de recurso firewallPolicies se puede implementar con operaciones destinadas a:
- grupos de recursos: consulte comandos de implementación de grupos de recursos
Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.
Formato de recurso
Para crear un recurso Microsoft.Network/firewallPolicies, agregue el siguiente JSON a la plantilla.
{
"type": "Microsoft.Network/firewallPolicies",
"apiVersion": "2021-05-01",
"name": "string",
"identity": {
"type": "string",
"userAssignedIdentities": {
"{customized property}": {
}
}
},
"location": "string",
"properties": {
"basePolicy": {
"id": "string"
},
"dnsSettings": {
"enableProxy": "bool",
"requireProxyForNetworkRules": "bool",
"servers": [ "string" ]
},
"explicitProxySettings": {
"enableExplicitProxy": "bool",
"httpPort": "int",
"httpsPort": "int",
"pacFile": "string",
"pacFilePort": "int"
},
"insights": {
"isEnabled": "bool",
"logAnalyticsResources": {
"defaultWorkspaceId": {
"id": "string"
},
"workspaces": [
{
"region": "string",
"workspaceId": {
"id": "string"
}
}
]
},
"retentionDays": "int"
},
"intrusionDetection": {
"configuration": {
"bypassTrafficSettings": [
{
"description": "string",
"destinationAddresses": [ "string" ],
"destinationIpGroups": [ "string" ],
"destinationPorts": [ "string" ],
"name": "string",
"protocol": "string",
"sourceAddresses": [ "string" ],
"sourceIpGroups": [ "string" ]
}
],
"signatureOverrides": [
{
"id": "string",
"mode": "string"
}
]
},
"mode": "string"
},
"sku": {
"tier": "string"
},
"snat": {
"privateRanges": [ "string" ]
},
"sql": {
"allowSqlRedirect": "bool"
},
"threatIntelMode": "string",
"threatIntelWhitelist": {
"fqdns": [ "string" ],
"ipAddresses": [ "string" ]
},
"transportSecurity": {
"certificateAuthority": {
"keyVaultSecretId": "string",
"name": "string"
}
}
},
"tags": {
"{customized property}": "string"
}
}
Valores de propiedad
Components1Jq1T4ISchemasManagedserviceidentityPropertiesUserassignedidentitiesAdditionalproperties
| Nombre | Descripción | Valor |
|---|
DnsSettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableProxy | Habilite el proxy DNS en firewalls conectados a la directiva de firewall. | Bool |
| requireProxyForNetworkRules | Los FQDN en reglas de red se admiten cuando se establece en true. | Bool |
| Servidores | Lista de servidores DNS personalizados. | string[] |
ExplicitProxySettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableExplicitProxy | Cuando se establece en true, el modo proxy explícito está habilitado. | Bool |
| httpPort | El número de puerto para el protocolo HTTP proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| httpsPort | El número de puerto para el protocolo https de proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| pacFile | DIRECCIÓN URL de SAS para el archivo PAC. | cuerda |
| pacFilePort | Número de puerto para que el firewall sirva el archivo PAC. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
FirewallPolicyCertificateAuthority
| Nombre | Descripción | Valor |
|---|---|---|
| keyVaultSecretId | Id. de secreto del objeto "Secret" o "Certificate" almacenado en KeyVault (codificado en base 64 pfx sin cifrar). | cuerda |
| nombre | Nombre del certificado de entidad de certificación. | cuerda |
FirewallPolicyInsights
| Nombre | Descripción | Valor |
|---|---|---|
| isEnabled | Marca para indicar si la información está habilitada en la directiva. | Bool |
| logAnalyticsResources | Áreas de trabajo necesarias para configurar Firewall Policy Insights. | FirewallPolicyLogAnalyticsResources |
| retentionDays | Número de días que la información debe habilitarse en la directiva. | Int |
FirewallPolicyIntrusionDetection
| Nombre | Descripción | Valor |
|---|---|---|
| configuración | Propiedades de configuración de detección de intrusiones. | FirewallPolicyIntrusionDetectionConfiguration |
| modo | Estado general de detección de intrusiones. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyIntrusionDetectionBypassTrafficSpecifications
| Nombre | Descripción | Valor |
|---|---|---|
| descripción | Descripción de la regla de tráfico de omisión. | cuerda |
| destinationAddresses | Lista de direcciones IP o intervalos de destino para esta regla. | string[] |
| destinationIpGroups | Lista de ipGroups de destino para esta regla. | string[] |
| destinationPorts | Lista de puertos o intervalos de destino. | string[] |
| nombre | Nombre de la regla de tráfico de omisión. | cuerda |
| protocolo | Protocolo de omisión de reglas. | 'ANY' 'ICMP' 'TCP' 'UDP' |
| sourceAddresses | Lista de direcciones IP de origen o intervalos para esta regla. | string[] |
| sourceIpGroups | Lista de ipGroups de origen para esta regla. | string[] |
FirewallPolicyIntrusionDetectionConfiguration
| Nombre | Descripción | Valor |
|---|---|---|
| bypassTrafficSettings | Lista de reglas para que el tráfico omita. | FirewallPolicyIntrusionDetectionBypassTrafficSpecifications[] |
| signatureOverrides | Lista de estados de firmas específicos. | FirewallPolicyIntrusionDetectionSignatureSpecification[] |
FirewallPolicyIntrusionDetectionSignatureSpecification
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de firma. | cuerda |
| modo | Estado de firma. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyLogAnalyticsResources
| Nombre | Descripción | Valor |
|---|---|---|
| defaultWorkspaceId | Identificador de área de trabajo predeterminado para Firewall Policy Insights. | SubResource |
| áreas de trabajo | Lista de áreas de trabajo para Firewall Policy Insights. | FirewallPolicyLogAnalyticsWorkspace[] |
FirewallPolicyLogAnalyticsWorkspace
| Nombre | Descripción | Valor |
|---|---|---|
| región | Región para configurar el área de trabajo. | cuerda |
| workspaceId | Identificador del área de trabajo de Firewall Policy Insights. | SubResource |
FirewallPolicyPropertiesFormat
| Nombre | Descripción | Valor |
|---|---|---|
| basePolicy | Directiva de firewall primaria de la que se heredan las reglas. | SubResource |
| dnsSettings | Definición de configuración del proxy DNS. | dnsSettings |
| explicitProxySettings | Definición de configuración de proxy explícita. | ExplicitProxySettings |
| Ideas | Información sobre la directiva de firewall. | FirewallPolicyInsights |
| intrusionDetection | Configuración para la detección de intrusiones. | firewallPolicyIntrusionDetection de |
| Sku | SKU de directiva de firewall. | FirewallPolicySku |
| snat | Las direcciones IP privadas o los intervalos IP a los que el tráfico no será SNAT. | FirewallPolicySnat |
| SQL | Definición de configuración de SQL. | FirewallPolicySQL |
| threatIntelMode | Modo de operación para inteligencia sobre amenazas. | "Alerta" 'Denegar' 'Desactivado' |
| threatIntelWhitelist | Lista de permitidos de ThreatIntel para la directiva de firewall. | FirewallPolicyThreatIntelWhitelist |
| transportSecurity | Definición de configuración de TLS. | firewallPolicyTransportSecurity de |
FirewallPolicySku
| Nombre | Descripción | Valor |
|---|---|---|
| nivel | Nivel de directiva de firewall. | "Básico" 'Premium' 'Estándar' |
FirewallPolicySnat
| Nombre | Descripción | Valor |
|---|---|---|
| privateRanges | Lista de direcciones IP privadas o intervalos de direcciones IP que no deben ser SNAT. | string[] |
FirewallPolicySQL
| Nombre | Descripción | Valor |
|---|---|---|
| allowSqlRedirect | Marca que indica si está habilitado el filtrado de tráfico de redirección de SQL. Activar la marca no requiere ninguna regla mediante el puerto 11000-11999. | Bool |
FirewallPolicyThreatIntelWhitelist
| Nombre | Descripción | Valor |
|---|---|---|
| fqdns | Lista de FQDN para la lista blanca threatIntel. | string[] |
| ipAddresses | Lista de direcciones IP de la lista blanca ThreatIntel. | string[] |
FirewallPolicyTransportSecurity
| Nombre | Descripción | Valor |
|---|---|---|
| certificateAuthority | Entidad de certificación usada para la generación de CA intermedia. | FirewallPolicyCertificateAuthority |
ManagedServiceIdentity
| Nombre | Descripción | Valor |
|---|---|---|
| tipo | Tipo de identidad que se usa para el recurso. El tipo "SystemAssigned, UserAssigned" incluye una identidad creada implícitamente y un conjunto de identidades asignadas por el usuario. El tipo "None" quitará las identidades de la máquina virtual. | 'Ninguno' 'SystemAssigned' 'SystemAssigned, UserAssigned' 'UserAssigned' |
| userAssignedIdentities | Lista de identidades de usuario asociadas al recurso. Las referencias de clave de diccionario de identidad de usuario serán identificadores de recursos de ARM con el formato: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}'. | managedServiceIdentityUserAssignedIdentities |
ManagedServiceIdentityUserAssignedIdentities
| Nombre | Descripción | Valor |
|---|
Microsoft.Network/firewallPolicies
| Nombre | Descripción | Valor |
|---|---|---|
| apiVersion | La versión de api | '2021-05-01' |
| identidad | Identidad de la directiva de firewall. | managedServiceIdentity |
| ubicación | Ubicación del recurso. | cuerda |
| nombre | El nombre del recurso | string (obligatorio) |
| Propiedades | Propiedades de la directiva de firewall. | FirewallPolicyPropertiesFormat |
| Etiquetas | Etiquetas del recurso | Diccionario de nombres y valores de etiqueta. Consulte etiquetas de en plantillas |
| tipo | El tipo de recurso | "Microsoft.Network/firewallPolicies" |
ResourceTags
| Nombre | Descripción | Valor |
|---|
SubResource
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de recurso. | cuerda |
Plantillas de inicio rápido
Las siguientes plantillas de inicio rápido implementan este tipo de recurso.
| Plantilla | Descripción |
|---|---|
crear un firewall y firewallPolicy con reglas e ipgroups
|
Esta plantilla implementa una directiva de firewall de Azure Firewall (incluidas varias reglas de aplicación y de red) que hace referencia a grupos ip en reglas de red y aplicaciones. |
|
Crear un firewall con FirewallPolicy e IpGroups
|
Esta plantilla crea una instancia de Azure Firewall con FirewalllPolicy que hace referencia a reglas de red con IpGroups. Además, incluye una configuración de máquina virtual de Jumpbox linux |
|
Crear un firewall, FirewallPolicy con proxy explícito
|
Esta plantilla crea una instancia de Azure Firewall, FirewalllPolicy con reglas de red y proxy explícitas con IpGroups. Además, incluye una configuración de máquina virtual de Jumpbox linux |
|
Crear una configuración de espacio aislado con la directiva de firewall
|
Esta plantilla crea una red virtual con 3 subredes (subred de servidor, subet de jumpbox y subred AzureFirewall), una máquina virtual de jumpbox con ip pública, una máquina virtual de servidor, una ruta UDR para que apunte a Azure Firewall para la subred del servidor y una instancia de Azure Firewall con 1 o más direcciones IP públicas. También crea una directiva de firewall con una regla de aplicación de ejemplo, una regla de red de ejemplo y intervalos privados predeterminados. |
|
centros virtuales protegidos
|
Esta plantilla crea un centro virtual protegido mediante Azure Firewall para proteger el tráfico de red en la nube destinado a Internet. |
|
suscripción de SharePoint / 2019 / 2016 totalmente configurado
|
Cree un controlador de dominio, una granja de SQL Server 2022 y de 1 a 5 servidores que hospedan una suscripción de SharePoint / 2019 / 2016 con una amplia configuración, incluida la autenticación de confianza, perfiles de usuario con sitios personales, una confianza de OAuth (mediante un certificado), un sitio IIS dedicado para hospedar complementos de elevada confianza, etc... Se instala la versión más reciente de los softwares clave (incluido Fiddler, vscode, np++, 7zip, ULS Viewer). Las máquinas de SharePoint tienen un ajuste adicional para que se puedan usar inmediatamente (herramientas de administración remota, directivas personalizadas para Edge y Chrome, accesos directos, etc.). |
| entorno de pruebas de para Azure Firewall Premium
|
Esta plantilla crea una directiva de Firewall Premium y firewall de Azure Firewall con características premium, como detección de inspección de intrusiones (IDPS), inspección de TLS y filtrado de categoría web |
|
Uso de Azure Firewall como proxy DNS en una topología en estrella tipo Hub & Spoke
|
En este ejemplo se muestra cómo implementar una topología en estrella tipo hub-spoke en Azure mediante Azure Firewall. La red virtual del concentrador actúa como un punto central de conectividad a muchas redes virtuales de radio que están conectadas a la red virtual del concentrador a través del emparejamiento de redes virtuales. |
Definición de recursos de Terraform (proveedor AzAPI)
El tipo de recurso firewallPolicies se puede implementar con operaciones destinadas a:
- grupos de recursos de
Para obtener una lista de las propiedades modificadas en cada versión de API, consulte registro de cambios.
Formato de recurso
Para crear un recurso Microsoft.Network/firewallPolicies, agregue el siguiente Terraform a la plantilla.
resource "azapi_resource" "symbolicname" {
type = "Microsoft.Network/firewallPolicies@2021-05-01"
name = "string"
identity = {
type = "string"
userAssignedIdentities = {
{customized property} = {
}
}
}
location = "string"
body = jsonencode({
properties = {
basePolicy = {
id = "string"
}
dnsSettings = {
enableProxy = bool
requireProxyForNetworkRules = bool
servers = [
"string"
]
}
explicitProxySettings = {
enableExplicitProxy = bool
httpPort = int
httpsPort = int
pacFile = "string"
pacFilePort = int
}
insights = {
isEnabled = bool
logAnalyticsResources = {
defaultWorkspaceId = {
id = "string"
}
workspaces = [
{
region = "string"
workspaceId = {
id = "string"
}
}
]
}
retentionDays = int
}
intrusionDetection = {
configuration = {
bypassTrafficSettings = [
{
description = "string"
destinationAddresses = [
"string"
]
destinationIpGroups = [
"string"
]
destinationPorts = [
"string"
]
name = "string"
protocol = "string"
sourceAddresses = [
"string"
]
sourceIpGroups = [
"string"
]
}
]
signatureOverrides = [
{
id = "string"
mode = "string"
}
]
}
mode = "string"
}
sku = {
tier = "string"
}
snat = {
privateRanges = [
"string"
]
}
sql = {
allowSqlRedirect = bool
}
threatIntelMode = "string"
threatIntelWhitelist = {
fqdns = [
"string"
]
ipAddresses = [
"string"
]
}
transportSecurity = {
certificateAuthority = {
keyVaultSecretId = "string"
name = "string"
}
}
}
})
tags = {
{customized property} = "string"
}
}
Valores de propiedad
Components1Jq1T4ISchemasManagedserviceidentityPropertiesUserassignedidentitiesAdditionalproperties
| Nombre | Descripción | Valor |
|---|
DnsSettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableProxy | Habilite el proxy DNS en firewalls conectados a la directiva de firewall. | Bool |
| requireProxyForNetworkRules | Los FQDN en reglas de red se admiten cuando se establece en true. | Bool |
| Servidores | Lista de servidores DNS personalizados. | string[] |
ExplicitProxySettings
| Nombre | Descripción | Valor |
|---|---|---|
| enableExplicitProxy | Cuando se establece en true, el modo proxy explícito está habilitado. | Bool |
| httpPort | El número de puerto para el protocolo HTTP proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| httpsPort | El número de puerto para el protocolo https de proxy explícito no puede ser mayor que 64000. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
| pacFile | DIRECCIÓN URL de SAS para el archivo PAC. | cuerda |
| pacFilePort | Número de puerto para que el firewall sirva el archivo PAC. | Int Restricciones: Valor mínimo = 0 Valor máximo = 64000 |
FirewallPolicyCertificateAuthority
| Nombre | Descripción | Valor |
|---|---|---|
| keyVaultSecretId | Id. de secreto del objeto "Secret" o "Certificate" almacenado en KeyVault (codificado en base 64 pfx sin cifrar). | cuerda |
| nombre | Nombre del certificado de entidad de certificación. | cuerda |
FirewallPolicyInsights
| Nombre | Descripción | Valor |
|---|---|---|
| isEnabled | Marca para indicar si la información está habilitada en la directiva. | Bool |
| logAnalyticsResources | Áreas de trabajo necesarias para configurar Firewall Policy Insights. | FirewallPolicyLogAnalyticsResources |
| retentionDays | Número de días que la información debe habilitarse en la directiva. | Int |
FirewallPolicyIntrusionDetection
| Nombre | Descripción | Valor |
|---|---|---|
| configuración | Propiedades de configuración de detección de intrusiones. | FirewallPolicyIntrusionDetectionConfiguration |
| modo | Estado general de detección de intrusiones. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyIntrusionDetectionBypassTrafficSpecifications
| Nombre | Descripción | Valor |
|---|---|---|
| descripción | Descripción de la regla de tráfico de omisión. | cuerda |
| destinationAddresses | Lista de direcciones IP o intervalos de destino para esta regla. | string[] |
| destinationIpGroups | Lista de ipGroups de destino para esta regla. | string[] |
| destinationPorts | Lista de puertos o intervalos de destino. | string[] |
| nombre | Nombre de la regla de tráfico de omisión. | cuerda |
| protocolo | Protocolo de omisión de reglas. | 'ANY' 'ICMP' 'TCP' 'UDP' |
| sourceAddresses | Lista de direcciones IP de origen o intervalos para esta regla. | string[] |
| sourceIpGroups | Lista de ipGroups de origen para esta regla. | string[] |
FirewallPolicyIntrusionDetectionConfiguration
| Nombre | Descripción | Valor |
|---|---|---|
| bypassTrafficSettings | Lista de reglas para que el tráfico omita. | FirewallPolicyIntrusionDetectionBypassTrafficSpecifications[] |
| signatureOverrides | Lista de estados de firmas específicos. | FirewallPolicyIntrusionDetectionSignatureSpecification[] |
FirewallPolicyIntrusionDetectionSignatureSpecification
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de firma. | cuerda |
| modo | Estado de firma. | "Alerta" 'Denegar' 'Desactivado' |
FirewallPolicyLogAnalyticsResources
| Nombre | Descripción | Valor |
|---|---|---|
| defaultWorkspaceId | Identificador de área de trabajo predeterminado para Firewall Policy Insights. | SubResource |
| áreas de trabajo | Lista de áreas de trabajo para Firewall Policy Insights. | FirewallPolicyLogAnalyticsWorkspace[] |
FirewallPolicyLogAnalyticsWorkspace
| Nombre | Descripción | Valor |
|---|---|---|
| región | Región para configurar el área de trabajo. | cuerda |
| workspaceId | Identificador del área de trabajo de Firewall Policy Insights. | SubResource |
FirewallPolicyPropertiesFormat
| Nombre | Descripción | Valor |
|---|---|---|
| basePolicy | Directiva de firewall primaria de la que se heredan las reglas. | SubResource |
| dnsSettings | Definición de configuración del proxy DNS. | dnsSettings |
| explicitProxySettings | Definición de configuración de proxy explícita. | ExplicitProxySettings |
| Ideas | Información sobre la directiva de firewall. | FirewallPolicyInsights |
| intrusionDetection | Configuración para la detección de intrusiones. | firewallPolicyIntrusionDetection de |
| Sku | SKU de directiva de firewall. | FirewallPolicySku |
| snat | Las direcciones IP privadas o los intervalos IP a los que el tráfico no será SNAT. | FirewallPolicySnat |
| SQL | Definición de configuración de SQL. | FirewallPolicySQL |
| threatIntelMode | Modo de operación para inteligencia sobre amenazas. | "Alerta" 'Denegar' 'Desactivado' |
| threatIntelWhitelist | Lista de permitidos de ThreatIntel para la directiva de firewall. | FirewallPolicyThreatIntelWhitelist |
| transportSecurity | Definición de configuración de TLS. | firewallPolicyTransportSecurity de |
FirewallPolicySku
| Nombre | Descripción | Valor |
|---|---|---|
| nivel | Nivel de directiva de firewall. | "Básico" 'Premium' 'Estándar' |
FirewallPolicySnat
| Nombre | Descripción | Valor |
|---|---|---|
| privateRanges | Lista de direcciones IP privadas o intervalos de direcciones IP que no deben ser SNAT. | string[] |
FirewallPolicySQL
| Nombre | Descripción | Valor |
|---|---|---|
| allowSqlRedirect | Marca que indica si está habilitado el filtrado de tráfico de redirección de SQL. Activar la marca no requiere ninguna regla mediante el puerto 11000-11999. | Bool |
FirewallPolicyThreatIntelWhitelist
| Nombre | Descripción | Valor |
|---|---|---|
| fqdns | Lista de FQDN para la lista blanca threatIntel. | string[] |
| ipAddresses | Lista de direcciones IP de la lista blanca ThreatIntel. | string[] |
FirewallPolicyTransportSecurity
| Nombre | Descripción | Valor |
|---|---|---|
| certificateAuthority | Entidad de certificación usada para la generación de CA intermedia. | FirewallPolicyCertificateAuthority |
ManagedServiceIdentity
| Nombre | Descripción | Valor |
|---|---|---|
| tipo | Tipo de identidad que se usa para el recurso. El tipo "SystemAssigned, UserAssigned" incluye una identidad creada implícitamente y un conjunto de identidades asignadas por el usuario. El tipo "None" quitará las identidades de la máquina virtual. | 'Ninguno' 'SystemAssigned' 'SystemAssigned, UserAssigned' 'UserAssigned' |
| userAssignedIdentities | Lista de identidades de usuario asociadas al recurso. Las referencias de clave de diccionario de identidad de usuario serán identificadores de recursos de ARM con el formato: '/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/{identityName}'. | managedServiceIdentityUserAssignedIdentities |
ManagedServiceIdentityUserAssignedIdentities
| Nombre | Descripción | Valor |
|---|
Microsoft.Network/firewallPolicies
| Nombre | Descripción | Valor |
|---|---|---|
| identidad | Identidad de la directiva de firewall. | managedServiceIdentity |
| ubicación | Ubicación del recurso. | cuerda |
| nombre | El nombre del recurso | string (obligatorio) |
| Propiedades | Propiedades de la directiva de firewall. | FirewallPolicyPropertiesFormat |
| Etiquetas | Etiquetas del recurso | Diccionario de nombres y valores de etiqueta. |
| tipo | El tipo de recurso | "Microsoft.Network/firewallPolicies@2021-05-01" |
ResourceTags
| Nombre | Descripción | Valor |
|---|
SubResource
| Nombre | Descripción | Valor |
|---|---|---|
| identificación | Identificador de recurso. | cuerda |