クイックスタート: Azure CLI を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する

[アーティクル]
01/20/2025

すべての仮想ネットワークの接続を管理するため、Azure CLI で Azure Virtual Network Manager を使用する方法を説明します。

このクイックスタートでは、3 つの仮想ネットワークをデプロイし、Azure Virtual Network Manager を使用してメッシュネットワークトポロジを作成します。次に、接続構成が適用されたことを確認します。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
最新の Azure CLI。またはポータルで Azure Cloud Shell を使用することもできます。
Azure Virtual Network Manager 拡張機能。これを追加するには、az extension add -n virtual-network-manager を実行します。
動的ネットワークグループを変更するには、アクセス権の付与が Azure RBAC ロールの割り当てのみを使用して行われている必要があります。従来の管理者/レガシ承認はサポートされていません。

構成を始めるには、Azure アカウントにサインインします。 Cloud Shell の試してみる機能を使用している場合は、自動的にサインインします。

az login

Virtual Network Manager がデプロイされるサブスクリプションを選びます。

az account set \
    --subscription "<subscriptionID>"

Azure CLI 用の Virtual Network Manager 拡張機能を更新します。

az extension update --name virtual-network-manager

リソースグループを作成する

このタスクでは、az group create を使用して、ネットワークマネージャーインスタンスをホストするリソースグループを作成します。この例では、resource-group というリソースグループを "(米国) 西部 2" の場所に作成します。

az group create \
    --name "resource-group" \
    --location "westus2"

Virtual Network Manager インスタンスを作成する

このタスクでは、この Virtual Network Manager インスタンスのスコープとアクセスの種類を定義します。 az network manager create を使用してスコープを作成します。値 <subscriptionID> を、Virtual Network Manager で仮想ネットワークを管理するサブスクリプションに置き換えます。 <mgName\> を、管理する管理グループに置き換えます。

az network manager create \
    --location "westus2" \
    --name "network-manager" \
    --resource-group "resource-group" \
    --scope-accesses "Connectivity" "SecurityAdmin" \
    --network-manager-scopes subscriptions="/subscriptions/<subscriptionID>"

ネットワークグループを作成する

このタスクでは、az network manager group create を使用して、ネットワークグループを作成します。

az network manager group create \
    --name "network-group" \
    --network-manager-name "network-manager" \
    --resource-group "resource-group" \
    --description "Network Group for Production virtual networks"

仮想ネットワークを作成する

このタスクでは、az network vnet create を使用して 3 つの仮想ネットワークを作成します。この例では、three virtual という仮想ネットワークを "(米国) 西部 2" の場所に作成します。各仮想ネットワークには、動的メンバーシップに使用される networkType のタグがあります。作成するメッシュネットワークに含める仮想ネットワークが既にある場合は、次のセクションに進めます。

az network vnet create \
    --name "vnet-00" \
    --resource-group "resource-group" \
    --address-prefix "10.0.0.0/16" \
    --tags "NetworkType=Prod"

az network vnet create \
    --name "vnet-01" \
    --resource-group "resource-group" \
    --address-prefix "10.1.0.0/16" \
    --tags "NetworkType=Prod"

az network vnet create \
    --name "vnet-02" \
    --resource-group "resource-group" \
    --address-prefix "10.2.0.0/16" \
    --tags "NetworkType=Prod"

各仮想ネットワークにサブネットを追加します。

このタスクでは、/24 サブネットをそれぞれに追加して、仮想ネットワークの構成を完了します。 az network vnet subnet create を使用して default という名前のサブネット構成を作成します。

az network vnet subnet create \
    --name "default" \
    --resource-group "resource-group" \
    --vnet-name "vnet-00" \
    --address-prefix "10.0.0.0/24"

az network vnet subnet create \
    --name "default" \
    --resource-group "resource-group" \
    --vnet-name "vnet-01" \
    --address-prefix "10.1.0.0/24"

az network vnet subnet create \
    --name "default" \
    --resource-group "resource-group" \
    --vnet-name "vnet-02" \
    --address-prefix "10.2.0.0/24"

メッシュ構成のメンバーシップを定義する

Azure Virtual Network Manager を使用すると、ネットワークグループにメンバーシップを追加するために 2 つの方法を使用できます。静的メンバーシップでは仮想ネットワークを手動で追加し、動的メンバーシップでは Azure Policy を使用して、条件に基づいて仮想ネットワークを動的に追加します。メッシュ構成メンバーシップに対して実行するオプションを選択します。

手動メンバーシップ
Azure Policy

静的メンバーシップを使用して、az network manager group static-member create で、メッシュ構成用の 3 つの仮想ネットワークをネットワークグループに手動で追加します。 <subscriptionID> を、これらの仮想ネットワークが作成されたときのサブスクリプションに置き換えます。

az network manager group static-member create \
    --name "vnet-00" \
    --network-group "network-group" \
    --network-manager "network-manager" \
    --resource-group "resource-group" \
    --resource-id "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/virtualnetworks/vnet-00"

az network manager group static-member create \
    --name "vnet-01" \
    --network-group "network-group" \
    --network-manager "network-manager" \
    --resource-group "resource-group" \
    --resource-id "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/virtualnetworks/vnet-01"

az network manager group static-member create \
    --name "vnet-02" \
    --network-group "network-group" \
    --network-manager "network-manager" \
    --resource-group "resource-group" \
    --resource-id "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/virtualnetworks/vnet-02"

Azure Policy を使用すると、networkType 値が Prod である 3 つの仮想ネットワークをネットワークグループに動的に追加できます。これら 3 つの仮想ネットワークは、配置されるとメッシュ構成の一部になります。

ポリシーはサブスクリプションまたは管理グループに適用でき、ポリシーは常に、それらを作成したレベル "以上で" 定義する必要があります。ポリシースコープ内の仮想ネットワークのみがネットワークグループに追加されます。

ポリシー定義を作成する

このタスクでは、Prod のタグが付けられた仮想ネットワークに対して、az policy definition create を使用してポリシー定義を作成します。 <subscriptionID> を、このポリシーを適用するサブスクリプションに置き換えます。これを管理グループに適用する場合は、--subscription <subscriptionID> を --management-group <mgName> に置き換えます。

az policy definition create \
    --name "azure-policy" \
    --description "Choose Prod virtual networks only" \
    --rules "{\"if\":{\"allOf\":[{\"field\":\"Name\",\"contains\":\"vnet\"},{\"field\":\"tags['NetworkType']\",\"equals\":\"Prod\"}]},\"then\":{\"effect\":\"addToNetworkGroup\",\"details\":{\"networkGroupId\":\"/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/networkGroups/network-group\"}}}" \
    --subscription <subscriptionID> \
    --mode "Microsoft.Network.Data"

ポリシー定義を適用する

このタスクでは、az policy assignment create を使用して、以前に作成したポリシーを適用します。 <subscriptionID> を、このポリシーを適用するサブスクリプションに置き換えます。管理グループに適用する場合は、--scope "/subscriptions/<subscriptionID>" を --scope "/providers/Microsoft.Management/managementGroups/<mgName> に置き換え、<mgName\> を管理グループに置き換えます。


az policy assignment create \
    --name "azure-policy-assignment" \
    --description "Take only virtual networks tagged NetworkType:Prod" \
    --scope "/subscriptions/<subscriptionID>" \
    --policy "/subscriptions/<subscriptionID>/providers/Microsoft.Authorization/azure-policys/azure-policy"

構成を作成する

このタスクでは、az network manager connect-config create を使用してメッシュネットワークトポロジの構成を作成します。 <subscriptionID> は、サブスクリプション ID で置き換えてください。

az network manager connect-config create \
    --configuration-name "connectivityconfig" \
    --description "Production Mesh Connectivity Config Example" \
    --applies-to-groups '[{"networkGroupId": "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/networkGroups/network-group", "groupConnectivity": "None"}]' \
    --connectivity-topology "Mesh" \
    --network-manager-name "network-manager" \
    --resource-group "resource-group"

デプロイをコミットする

構成を有効にするには、az network manager post-commit を使用して、ターゲットリージョンに構成をコミットします。

az network manager post-commit \
    --network-manager-name "network-manager" \
    --commit-type "Connectivity" \
    --configuration-ids "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/connectivityConfigurations/connectivityconfig" \
    --target-locations "westus2" \
    --resource-group "resource-group"

構成を確認する

az network manager list-effective-connectivity-config を使うと、仮想ネットワークに適用されている構成が表示されます。

az network manager list-effective-connectivity-config \
    --resource-group "resource-group" \
    --virtual-network-name "vnet-00"

az network manager list-effective-connectivity-config \
    --resource-group "resource-group" \
    --virtual-network-name "vnet-01"


az network manager list-effective-connectivity-config \
    --resource-group "resource-group" \
    --virtual-network-name "vnet-02"

接続構成の一部である仮想ネットワークの場合、次の例のような出力が表示されます。

{
  "skipToken": "",
  "value": [
    {
      "appliesToGroups": [
        {
          "groupConnectivity": "None",
          "isGlobal": "False",
          "networkGroupId": "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/networkGroups/network-group",
          "useHubGateway": "False"
        }
      ],
      "configurationGroups": [
        {
          "description": "Network Group for Production virtual networks",
          "id": "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/networkGroups/network-group",
          "provisioningState": "Succeeded",
          "resourceGroup": "resource-group"
        }
      ],
      "connectivityTopology": "Mesh",
      "deleteExistingPeering": "False",
      "description": "Production Mesh Connectivity Config Example",
      "hubs": [],
      "id": "/subscriptions/<subscriptionID>/resourceGroups/resource-group/providers/Microsoft.Network/networkManagers/network-manager/connectivityConfigurations/connectivityconfig",
      "isGlobal": "False",
      "provisioningState": "Succeeded",
      "resourceGroup": "resource-group"
    }
  ]
}

リソースをクリーンアップする

Azure Virtual Network Manager インスタンスとその他のリソースが不要になったら、az group delete を使用してリソースグループを削除します。

az group delete \
    --name "resource-group"

次のステップ

この手順では、セキュリティ管理者の構成を使用してネットワークトラフィックをブロックする方法について説明します。

Azure Virtual Network Manager を使用してネットワークトラフィックをブロックする

次の方法で共有

クイックスタート: Azure CLI を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する

前提条件

リソースグループを作成する

Virtual Network Manager インスタンスを作成する

ネットワークグループを作成する

仮想ネットワークを作成する

各仮想ネットワークにサブネットを追加します。

メッシュ構成のメンバーシップを定義する

ポリシー定義を作成する

ポリシー定義を適用する

構成を作成する

デプロイをコミットする

構成を確認する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

次の方法で共有

クイックスタート: Azure CLI を使用して Azure Virtual Network Manager でメッシュ ネットワーク トポロジを作成する

前提条件

Azure アカウントにサインインしてサブスクリプションを選択する

リソース グループを作成する

Virtual Network Manager インスタンスを作成する

ネットワーク グループを作成する

仮想ネットワークを作成する

各仮想ネットワークにサブネットを追加します。

メッシュ構成のメンバーシップを定義する

構成を作成する

デプロイをコミットする

構成を確認する

リソースをクリーンアップする

次のステップ

フィードバック

その他のリソース

クイックスタート: Azure CLI を使用して Azure Virtual Network Manager でメッシュネットワークトポロジを作成する

リソースグループを作成する

ネットワークグループを作成する