クイックスタート: ネットワークセキュリティ境界を作成する - Azure PowerShell

[アーティクル]
11/19/2024

Azure PowerShell を使って Azure Key Vault のネットワークセキュリティ境界を作成し、ネットワークセキュリティ境界の使用を開始します。ネットワークセキュリティ境界を使用すると、Azure サービスとしてのプラットフォーム (PaaS) リソースが明示的に信頼された境界内で通信できるようになります。ネットワークセキュリティ境界プロファイルで PaaS リソースの関連付けを作成して更新します。その後、ネットワークセキュリティ境界アクセス規則を作成して更新します。完了したら、このクイックスタートで作成したすべてのリソースを削除します。

重要

ネットワークセキュリティ境界はパブリックプレビュー段階であり、すべての Azure パブリッククラウドリージョンで利用できます。このプレビューバージョンはサービスレベルアグリーメントなしで提供されています。運用環境のワークロードに使用することはお勧めできません。特定の機能はサポート対象ではなく、機能が制限されることがあります。詳しくは、Microsoft Azure プレビューの追加使用条件に関するページをご覧ください。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。

Azure ネットワークセキュリティ境界パブリックプレビューの登録が必要です。登録するには、AllowNSPInPublicPreview 機能フラグをサブスクリプションに追加します。

機能フラグの追加について詳しくは、「Azure サブスクリプションでプレビュー機能を設定する」を参照してください。
機能フラグが追加された後、サブスクリプションに Microsoft.Network リソースプロバイダーを再登録する必要があります。
- Azure portal で Microsoft.Network リソースプロバイダーを再登録するには、サブスクリプションを選んでから、[リソースプロバイダー] を選択します。 Microsoft.Network を検索し、[再登録] を選択します。
- Microsoft.Network リソースプロバイダーを再登録するには、次の Azure PowerShell コマンドを使用します。
```
# Register the Microsoft.Network resource provider
Register-AzResourceProvider -ProviderNamespace Microsoft.Network
```
- Microsoft.Network リソースプロバイダーを再登録するには、次の Azure CLI コマンドを使用します。
```
# Register the Microsoft.Network resource provider
az provider register --namespace Microsoft.Network
```
リソースプロバイダーの再登録について詳しくは、「Azure リソースプロバイダーと種類」を参照してください。

ネットワークセキュリティ境界用のツールを備えた最新バージョンの Azure PowerShell モジュール。
```
# Install the Az.Tools.Installer module    
Install-Module -Name Az.Tools.Installer -Repository PSGallery
```

Az.Tools.Installer を使用して、Az.Network のプレビュービルドをインストールします。

# Install the preview build of the Az.Network module
Install-Module -Name Az.Tools.Installer -Repository PSGallery -allowprerelease -force

# List the current versions of the Az.Network module available in the PowerShell Gallery
Find-Module -Name Az.Network -Allversions -AllowPrerelease

# Install the preview build of the Az.Network module using the 

Install-AzModule -Name Az.Network -AllowPrerelease -Force
Install-AzModule -Path <previewVersionNumber>

Note

ネットワークセキュリティ境界機能を使用するには、プレビューバージョンの Az.Network モジュールが必要です。最新バージョンの Az.Network モジュールは、PowerShell ギャラリーで入手できます。 -preview で終わる最新バージョンを探します。

Azure PowerShell をローカルで使用する場合は、次のようにします。
- Az PowerShell モジュールの最新バージョンをインストールします。
- Connect-AzAccount コマンドレットを使用して、Azure アカウントに接続します。
Azure Cloud Shell を使用する場合は、次のようにします。
- Azure Cloud Shell の詳細については、「Azure Cloud Shell の概要」を参照してください。

PowerShell コマンドレットのヘルプを表示するには、Get-Help コマンドを使用します。


# Get help for a specific command
get-help -Name <powershell-command> - full

# Example
get-help -Name New-AzNetworkSecurityPerimeter - full

構成を始めるには、Azure アカウントにサインインします。

# Sign in to your Azure account
Connect-AzAccount

次に、サブスクリプションに接続します。

# List all subscriptions
Set-AzContext -Subscription <subscriptionId>

# Register the Microsoft.Network resource provider
Register-AzResourceProvider -ProviderNamespace Microsoft.Network

リソースグループとキーコンテナーを作成する

ネットワークセキュリティ境界を作成する前に、リソースグループとキーコンテナーリソースを作成する必要があります。
この例では、WestCentralUS の場所に test-rg という名前のリソースグループを作成し、次のコマンドを使用してリソースグループに demo-keyvault-<RandomValue> という名前のキーコンテナーを作成します。

# Create a resource group
$rgParams = @{
    Name = "test-rg"
    Location = "westcentralus"
}
New-AzResourceGroup @rgParams

# Create a key vault
$keyVaultName = "demo-keyvault-$(Get-Random)"
$keyVaultParams = @{
    Name = $keyVaultName
    ResourceGroupName = $rgParams.Name
    Location = $rgParams.Location
}
$keyVault = New-AzKeyVault @keyVaultParams

ネットワークセキュリティ境界を作成する

この手順では、次の New-AzNetworkSecurityPerimeter コマンドを使用してネットワークセキュリティ境界を作成します。

Note

ネットワークセキュリティ境界規則またはその他のネットワークセキュリティ境界構成には、個人を特定できるデータや機密データを配置しないでください。


# Create a network security perimeter
$nsp = @{ 
        Name = 'demo-nsp' 
        location = 'westcentralus' 
        ResourceGroupName = $rgParams.name  
        } 

$demoNSP=New-AzNetworkSecurityPerimeter @nsp
$nspId = $demoNSP.Id

PaaS リソースの関連付けを新しいプロファイルに作成して更新する

この手順では、New-AzNetworkSecurityPerimeterProfile と New-AzNetworkSecurityPerimeterAssociation コマンドを使用して、新しいプロファイルを作成し、PaaS リソースである Azure Key Vault をプロファイルに関連付けます。

次のコマンドを使用して、ネットワークセキュリティ境界の新しいプロファイルを作成します。

    # Create a new profile

    $nspProfile = @{ 
        Name = 'nsp-profile' 
        ResourceGroupName = $rgParams.name 
        SecurityPerimeterName = $nsp.name 
        }

    $demoProfileNSP=New-AzNetworkSecurityPerimeterProfile @nspprofile

次のコマンドを使用して、Azure Key Vault (PaaS リソース) をネットワークセキュリティ境界プロファイルに関連付けます。

    # Associate the PaaS resource with the above created profile

    $nspAssociation = @{ 
        AssociationName = 'nsp-association' 
        ResourceGroupName = $rgParams.name 
        SecurityPerimeterName = $nsp.name 
        AccessMode = 'Learning'  
        ProfileId = $demoProfileNSP.Id 
        PrivateLinkResourceId = $keyVault.ResourceID
        }

    New-AzNetworkSecurityPerimeterAssociation @nspassociation | format-list

次のように、Update-AzNetworkSecurityPerimeterAssociation コマンドを使用してアクセスモードを enforced に変更し、関連付けを更新します。

    # Update the association to enforce the access mode
    $updateAssociation = @{ 
        AssociationName = $nspassociation.AssociationName 
        ResourceGroupName = $rgParams.name 
        SecurityPerimeterName = $nsp.name 
        AccessMode = 'Enforced'
        }
    Update-AzNetworkSecurityPerimeterAssociation @updateAssociation | format-list

ネットワークセキュリティ境界アクセス規則を管理する

この手順では、パブリック IP アドレスプレフィックスを使用して、ネットワークセキュリティ境界アクセス規則を作成、更新、削除します。

    # Create an inbound access rule for a public IP address prefix
    $inboundRule = @{ 
        Name = 'nsp-inboundRule' 
        ProfileName = $nspprofile.Name  
        ResourceGroupName = $rgParams.Name  
        SecurityPerimeterName = $nsp.Name  
        Direction = 'Inbound'  
        AddressPrefix = '192.0.2.0/24' 
        } 

    New-AzNetworkSecurityPerimeterAccessRule @inboundrule | format-list

    # Update the inbound access rule to add more public IP address prefixes
    $updateInboundRule = @{ 
        Name = $inboundrule.Name 
        ProfileName = $nspprofile.Name  
        ResourceGroupName = $rgParams.Name  
        SecurityPerimeterName = $nsp.Name  
        AddressPrefix = @('192.0.2.0/24','198.51.100.0/24')
        }
    Update-AzNetworkSecurityPerimeterAccessRule @updateInboundRule | format-list

Note

マネージド ID が、それをサポートするリソースに割り当てられない場合、同じ境界内の他のリソースへの送信アクセスは拒否されます。このリソースからのアクセスを許可することを目的としたサブスクリプションベースの受信規則は有効になりません。

すべてのリソースの削除

ネットワークセキュリティ境界が不要になったら、ネットワークセキュリティ境界に関連付けられているすべてのリソースを削除し、境界を削除してから、リソースグループを削除します。


    # Retrieve the network security perimeter and place it in a variable
    $nsp= Get-AzNetworkSecurityPerimeter -Name demo-nsp -ResourceGroupName $rg.Params.Name

    # Delete the network security perimeter and all associated resources
    $removeNsp = @{ 
        Name = 'nsp-association'
        ResourceGroupName = $rgParams.Name
        SecurityPerimeterName = $nsp.Name
        }
    Remove-AzNetworkSecurityPerimeterAssociation @removeNsp
    
    Remove-AzNetworkSecurityPerimeter -Name $nsp.Name -ResourceGroupName $rgParams.Name
    
    # Remove the resource group
    Remove-AzResourceGroup -Name $rgParams.Name -Force

Note

ネットワークセキュリティ境界からリソースの関連付けを削除すると、アクセス制御が既存のリソースファイアウォール構成にフォールバックされます。これにより、リソースファイアウォール構成に従ってアクセスが許可または拒否される可能性があります。 PublicNetworkAccess が SecuredByPerimeter に設定されていて、関連付けが削除されている場合、リソースはロックダウン状態になります。詳細については、Azure でのネットワークセキュリティ境界への変換に関するページを参照してください。

次のステップ

Azure ネットワークセキュリティ境界の診断ログ

次の方法で共有

クイックスタート: ネットワークセキュリティ境界を作成する - Azure PowerShell

前提条件

リソースグループとキーコンテナーを作成する

ネットワークセキュリティ境界を作成する

PaaS リソースの関連付けを新しいプロファイルに作成して更新する

ネットワークセキュリティ境界アクセス規則を管理する

すべてのリソースの削除

次のステップ

フィードバック

その他のリソース

次の方法で共有

クイックスタート: ネットワーク セキュリティ境界を作成する - Azure PowerShell

前提条件

Azure アカウントにサインインしてサブスクリプションを選択する

リソース グループとキー コンテナーを作成する

ネットワーク セキュリティ境界を作成する

PaaS リソースの関連付けを新しいプロファイルに作成して更新する

ネットワーク セキュリティ境界アクセス規則を管理する

すべてのリソースの削除

次のステップ

フィードバック

その他のリソース

クイックスタート: ネットワークセキュリティ境界を作成する - Azure PowerShell

リソースグループとキーコンテナーを作成する

ネットワークセキュリティ境界を作成する

ネットワークセキュリティ境界アクセス規則を管理する