

ファイアウォールの設定について

現象：AzureVMからAzureに接続できない(Connect-AzAccount、送信できないエラー発生)

改善方法：Azureファイアウォール設定を変更

送信元 プロトコル:ポート 送信先の種類 送信先  
"AzureVMプライベートIPAddress" 80,443 IP アドレス *

上記の設定を「ネットワーク ルール」に新規追加しました。Azureに接続できました。(Connect-AzAccountできました。)

質問：  
送信先を"*"を指定すると、AzureVMの安全として危険だと思います。  
Azureに接続できるように(Connect-
AzAccount、Storageaccountの操作とAzureBackupの操作できる)、最低限の送信先を指定したいと思います。  
その送信先の設定についてを教えていただけますでしょうか。


CC BY-SA 4.0
2022-01-26T06:56:43.527
85945
2022-02-03T15:41:16.227
51097
question
azure
Azureファイアウォールの設定


前提が何かおかしい気がします

AzureのAPIをVMから叩くのは本当の目的なのでしょうか。

それはシステムの都合だとして、APIを叩くVMが「Azureのエンドポイント以外にHTTP/HTTPSで接続できては危険」という想定がよくわかりません。例えばOSのアップデートやソフトのインストールはどうするんでしょうか。

その辺はさておいてどうしても他の通信をブロックしたいのであれば、ホスト名ベースでフィルタすることになります。

普通はProxyでURLベースのフィルタをする方がいいのですが、Proxyサーバは任意のサイトにアクセス可能になるので「危険」と言われそうなので、ホスト名ベースでポリシーの書けるサードパーティーのファイヤーウォールを使うことになるでしょう


CC BY-SA 4.0
2022-01-30T01:01:51.183
86009
2022-01-30T01:01:51.183
5793
85945
answer


Azure PowerShell を利用してストレージアカウントとバックアップを操作したいということであれば、Azure Firewall
のアプリケーションルールで次の URL を許可すればよいと考えます。（動作確認はしておりません）

  * login.microsoftonline.com
  * management.azure.com


CC BY-SA 4.0
2022-02-03T15:41:16.227
86127
2022-02-03T15:41:16.227
32948
85945
answer